В база данни, съдържаща над 125 милиона текстови съобщения, изпратени от латвийски и литовски банки, застрахователи, търговци на дребно и доставчици на услуги към техните клиенти, беше отстранена уязвимост в сигурността. Доставчикът на услугите зад системата твърди, че проблемът е отстранен. Случаят е ясен пример за рисковете от изтичане на данни при SMS доставчиците: чувствителните съобщения често се съхраняват при доставчик, когото клиентите не са избирали и за чието съществуване може да не знаят.

Наличната до момента информация е кратка, затова тази публикация се придържа към това, което е било заявено, и обяснява защо то е от значение.

Какво е било изложено в балтийската SMS база данни

Според доклада засегнатата база данни е съдържала над 125 милиона текстови съобщения. Това са бизнес към клиент съобщения, изпратени от латвийски и литовски банки, застрахователи, търговци на дребно и доставчици на услуги. Източникът описва проблема като уязвимост, която вече е отстранена, а заглавието го представя като възможно изтичане на данни.

Тази формулировка е важна. Уязвимост означава, че е съществувала слабост. Тя сама по себе си не потвърждава, че някой е получил достъп до данните или ги е копирал. Източниците, с които разполагаме, не посочват колко дълго е съществувала слабостта, кой е могъл да я открие или дали някои съобщения действително са били прегледани от неоторизирани лица.

Въпреки това си струва да се помисли какъв тип съдържание обикновено съхранява такава база данни. Компаниите често използват SMS за еднократни пароли, банкови известия, актуализации за доставки и известия за акаунти. Подобни съобщения могат да разкрият в коя банка има сметка даден човек, какво е купил, накъде пътува пратка и какви услуги използва. Дори без нито една парола този контекст е ценен за някого, който планира убедителна измама.

Защо доставчиците на съобщения от трети страни са скрит риск

Повечето хора предполагат, че банката или търговецът изпраща собствените си съобщения. На практика много организации възлагат тази задача на доставчик на съобщения, който стои между компанията и мобилната мрежа. Клиентът има работа с марката, но съдържанието на съобщението преминава през — и може да бъде съхранявано от — отделна компания.

Това създава няколко проблема:

  • Невидими връзки. Клиентите рядко виждат кои доставчици обработват данните им, затова не могат да преценят сигурността на доставчика.
  • Концентрирани данни. Един доставчик може да обслужва много клиенти в няколко държави. Една единствена слабост може да засегне едновременно съобщения от банки, застрахователи и магазини — точно това прави възможна цифра като 125 милиона съобщения.
  • Въпроси за съхранението. Регистрите на съобщенията може да се пазят за отстраняване на проблеми или за отчетност. Колкото по-дълго се съхраняват, толкова повече има какво да бъде изложено.

Същият модел се появява и в други инциденти, които сме разглеждали. Нашият анализ на риска от трети страни при breaches на Trump Mobile показва как данни, съхранявани извън собствените стени на дадена марка, все пак могат да станат проблем на тази марка. Изтичането на данни от Fakturownia илюстрира подобна точка за платформа, която съхранява далеч повече, отколкото името ѝ подсказва.

Какво потвърждава и какво не потвърждава поправката на доставчика

Изявлението на доставчика, че проблемът е отстранен, е добра новина, но то отговаря само на част от въпроса.

Какво предполага: конкретната слабост вече не е открита, така че същият път не би трябвало да е достъпен занапред.

Какво не потвърждава, въз основа на източника:

  • Дали някоя трета страна е получила достъп до съобщенията преди поправката.
  • Дали изложените съобщения са включвали кодове или лични данни, които все още са използваеми.
  • Дали независим преглед е потвърдил поправката.
  • Дали засегнатите компании ще уведомят клиентите си.

Докато тези точки не бъдат изяснени публично, разумната позиция е нито паника, нито самодоволство. Приемайте поправката като необходима стъпка, а не като пълно отменяне на тревогата. Организациите, които са използвали доставчика, са в най-добра позиция да обяснят какво, ако има такова, трябва да направят клиентите.

Какво означава това за вас

Ако имате банкова сметка, застраховка или пазарувате от латвийски или литовски компании, вашите съобщения може да са преминали през подобна система. Дори да сте другаде, урокът е приложим: всяка услуга, която ви изпраща SMS, разчита на верига от доставчици, която не можете да проверите.

Реалистичният риск обикновено не е драматично отвличане на акаунт от едно старо съобщение. Това е целенасочен фишинг. Измамник, който знае, че наскоро сте получили известие за доставка или банково предупреждение, може да напише фалшиво съобщение, което изглежда автентично, използвайки реални детайли, за да спечели доверието ви. По-старите еднократни кодове би трябвало да са изтекли, но самото влизане чрез SMS остава слабото звено, защото съобщенията могат да бъдат прихванати, препратени или изложени на места, които не контролирате. Нашият седмичен преглед на сигурността също отбелязва как фишинг триковете продължават да се развиват, което е напомняне да останете скептични към неочаквани съобщения.

Как да се защитите от фишинг чрез SMS и рискове при 2FA

Не можете да изберете доставчика на съобщения на вашата банка, но можете да намалите щетите, които едно изложено съобщение може да причини.

  1. Откажете се от SMS кодове, където е възможно. Използвайте приложение за удостоверяване или хардуерен ключ за сигурност за двуфакторно удостоверяване. Те не преминават през системи за текстови съобщения.
  2. Използвайте SMS само като резервен вариант. Ако дадена услуга изисква проверка чрез текст, активирайте я, но добавете по-силни опции навсякъде, където услугата позволява.
  3. Не се доверявайте на съобщения, които споменават реална активност. Текст, който споменава реален ред или банка, не доказва, че е истински. Не натискайте връзки; отворете официалното приложение или въведете адреса сами.
  4. Никога не споделяйте кодове. Никоя легитимна банка или търговец няма да ви помоли да прочетете еднократен код.
  5. Наблюдавайте акаунтите си. Проверявайте извлеченията и известията за вход за нещо необичайно и съобщавайте за подозрителна активност на банката си бързо.
  6. Питайте доставчиците си. Ако искате да знаете как дадена компания обработва данни от съобщения, попитайте кой ги обработва и колко дълго се съхраняват.

Изводът

Поправката на тази балтийска база данни е добре дошла, но оставя отворени въпроси дали данните някога са били достъпвани. По-широкият урок за рисковете от изтичане на данни при SMS доставчиците остава в сила независимо от това: чувствителните известия преминават през доставчици, които никога не сте избирали, а вие можете да контролирате само своята страна. Преминете към 2FA чрез приложение или хардуер, бъдете предпазливи към всяко съобщение, което споменава реална активност, и прочетете повече за това как външните доставчици създават излагане в нашите материали за изтичането на данни от Trump Mobile и инцидента с Fakturownia.