Пробивът в данните на ADT засяга 5,5 милиона клиенти след атака с вишинг
Компанията за домашна сигурност ADT потвърди пробив в данните, засягащ приблизително 5,5 милиона клиенти, при който са изложени имена, телефонни номера и домашни адреси. В по-малък брой случаи са изтекли и номера на социално осигуряване. Пробивът не е резултат от сложна мрежова атака или експлойт от тип „нулев ден". Всичко започна с телефонно обаждане.
Според доклади хакерската група ShinyHunters е използвала техника за гласов фишинг, известна като вишинг, за да подмами служител на ADT да предаде своите идентификационни данни за единно влизане (SSO) в Okta. С тези данни в ръце нападателите са получили достъп до средата на Salesforce на ADT, където се съхраняват клиентски записи. Пробивът е ясно напомняне, че дори компании, чийто целият бизнес модел е изграден около защитата на домовете на хората, могат да бъдат компрометирани чрез един-единствен пробит акаунт на служител.
Какво е вишинг и защо е толкова ефективен?
Вишингът е атака чрез социално инженерство, провеждана по телефона. Нападателят обикновено се представя за доверена страна — колега, служител от IT поддръжката или представител на доставчик — и манипулира целта да разкрие чувствителна информация или идентификационни данни. За разлика от зловреден софтуер или мрежови атаки, вишингът експлоатира човешкото доверие, а не технически уязвимости.
В случая нападателят е убедил служител на ADT да предаде своите идентификационни данни за SSO в Okta. Системите за единно влизане са проектирани да опростят достъпа, като позволяват на служителите да използват един набор от идентификационни данни за множество платформи. Това удобство се превръща в уязвимост, когато тези данни попаднат в грешни ръце — тъй като един-единствен компромис може едновременно да отвори вратите към множество вътрешни системи.
ShinyHunters е добре известна киберпрестъпна група с история на мащабни кражби на данни. Способността им да превърнат едно обикновено телефонно обаждане в оръжие срещу голяма охранителна компания подчертава колко ефективно остава социалното инженерство, дори срещу организации с dedikирани екипи по сигурността.
Какви данни бяха разкрити при пробива в ADT
По-голямата част от засегнатите 5,5 милиона клиенти са имали следната информация разкрита:
- Пълни имена
- Телефонни номера
- Домашни адреси
При по-малка подгрупа клиенти са компрометирани и номера на социално осигуряване. ADT не е посочила публично точния брой лица, попадащи в тази категория с по-висок риск.
Въпреки че имена, телефонни номера и адреси може да изглеждат по-малко тревожни от финансови данни, тази комбинация е изключително полезна за последващи атаки. Престъпниците могат да я използват за изготвяне на убедителни фишинг имейли, за целенасочени вишинг обаждания към самите клиенти или за изграждане на профили с цел кражба на самоличност. Когато домашен адрес е свързан с известен клиент на охранителна система, съществуват и физически последици за безопасността, които си струва да се вземат предвид.
Номерата на социално осигуряване, дори когато са изтекли в по-малка част от случаите, представляват по-сериозен риск. Те могат да бъдат използвани за откриване на измамни кредитни сметки, подаване на фалшиви данъчни декларации или представяне за жертвите в системи за държавни помощи.
Какво означава това за вас
Ако сте или сте били клиент на ADT, първото предположение, което трябва да направите, е, че вашите данни за контакт може да циркулират сред злонамерени лица. Това променя начина, по който трябва да оценявате нежелани комуникации занапред.
Този пробив илюстрира и по-широка гледна точка относно цифровата поверителност: нито един инструмент или услуга не осигурява пълна защита. VPN например защитава интернет трафика ви и пази вашия IP адрес, но не би предотвратил този пробив. Векторът на атаката тук беше човешки, а не технически. Всеобхватната защита на поверителността изисква комбинирането на множество навици и инструменти.
Конкретни стъпки, ако сте клиент на ADT:
- Наблюдавайте своите кредитни отчети. Поискайте безплатни отчети от трите основни бюра и потърсете непознати сметки или запитвания. Помислете за поставяне на кредитно замразяване, ако вашият номер на социално осигуряване е бил разкрит.
- Бъдете подозрителни към нежелани контакти. Престъпниците могат да използват вашите разкрити данни, за да се представят за ADT или други доверени организации. Проверявайте самоличността на всеки, който иска лична информация, преди да се ангажирате.
- Активирайте многофакторна автентикация (MFA) за всички акаунти. Ако дадена услуга поддържа MFA, включете я. Тя добавя ниво на защита, което само откраднатата парола не може да заобиколи.
- Използвайте уникални, силни пароли. Мениджърът на пароли прави това лесно управляемо. Ако идентификационните данни от една услуга бъдат разкрити, уникалните пароли предотвратяват достъпа на нападателите до другите ви акаунти.
- Помислете за услуга за наблюдение на самоличността. Тези услуги ви предупреждават, когато вашата лична информация се появи в брокери на данни, форуми в тъмната мрежа или заявления за нови акаунти.
Пробивът в данните на ADT е полезен казус за това как нарушенията на сигурността често произхождат не от дефектен код, а от нарушено доверие. Едно-единствено добре изпълнено телефонно обаждане беше достатъчно, за да изложи личните данни на милиони клиенти. Изграждането на истинска устойчивост на поверителността означава разбиране, че техническата защита и човешката осведоменост трябва да работят заедно. Нито една ключалка — цифрова или физическа — не е по-здрава от човека, държащ ключа.
