Според съобщенията изтичане в Министерството на вътрешната сигурност на САЩ (DHS) е пуснало в обращение имената, телефонните номера и имейл адресите на над 40 000 служители. Изтичането на данни от DHS на данни за контакт на служители е, според репортажа на VOZ, третото изтичане на правителствени данни, което попада в заглавията през последния месец. Изходната статия е кратка на технически подробности, затова тази публикация се придържа към това, което е било съобщено, и обяснява защо този вид данни имат значение, дори когато изглеждат безобидни.
Какво беше разкрито при изтичането от DHS
Въз основа на репортажа разкритата информация обхваща над 40 000 служители на DHS и се ограничава до три вида данни: имена, телефонни номера и имейл адреси. В материала, с който разполагаме, репортажът не описва как са били получени данните, кой стои зад това, кога се е случило или дали са били засегнати други категории като номера на социално осигуряване или финансови записи. Няма да гадаем тези подробности.
Тази липса заслужава да бъде отбелязана. Ранните репортажи за нарушения често са непълни и обхватът може да се промени, докато агенциите разследват. Приемайте текущата цифра като съобщена базова стойност, а не като окончателен брой, и следете за официални изявления от DHS.
Модел на изтичане на правителствени данни
Инцидентът с DHS не е изолиран. Репортажът го представя като третото изтичане на правителствени данни, което попада в заглавията в рамките на един месец. Два други скорошни случая, разгледани на vpn.social, дават полезна контекстна информация. В единия ФБР заяви, че се занимава с нарушение, засягащо чувствителните данни на негови служители и се зарече да преследва онези, които смята за отговорни. В другия френските власти арестуваха 15-годишен, заподозрян в хакването на ANTS, агенцията, която управлява документите за самоличност.
Тези случаи включват различни агенции и държави, така че не бива да предполагаме, че са свързани. Общото между тях е целта: големи бази данни в публичния сектор, пълни с лична информация за служители или граждани. Правителствените органи съхраняват данни, които са ценни за престъпниците и в някои случаи за враждебни участници, което ги прави постоянни мишени.
Защо данните за контакт подхранват фишинг и социално инженерство
Изкушаващо е да се омаловажи изтичане на имена, телефонни номера и имейли. Няма пароли или финансови данни, така че каква е вредата? Отговорът е, че данните за контакт са суровината за целенасочени атаки.
С проверено име, служебен имейл адрес и телефонен номер, свързан с известен работодател, нападателят може да:
- Създаде убедителни фишинг имейли, които се обръщат към човека по име и споменават неговата агенция.
- Проведе гласов фишинг (вишинг) обаждания, представяйки се за ИТ поддръжка, колега или доставчик.
- Изпрати SMS примамки, които насочват получателите към фалшиви страници за вход.
- Се представи за вътрешен човек, за да извлече информация от колеги, които се доверяват на познато звучащо име.
За служителите на агенция, фокусирана върху сигурността, рискът е, че нападателите знаят точно кой работи там и как да се свържат с него. Дори малък брой успешни съобщения могат да дадат на нападателя опорна точка. Рискът не се ограничава само до тези служители. Членове на семействата, изпълнители и всеки, който комуникира със служители на DHS, може да получи съобщения, които изглеждат идващи от доверен източник.
Изтичанията само на данни за контакт също често се използват повторно. Списъци с проверени имейли и телефонни номера могат да бъдат комбинирани с данни от други инциденти. Нашето отразяване на изтичането от LimeLeads на 49,4 млн. бизнес контакта показва как базите данни с контакти могат да циркулират и да бъдат използвани дълго след първоначалния инцидент.
Какво означава това за вас
Може да не работите за DHS, но уроците се отнасят за всички. Повечето от нас имат имената, имейлите и телефонните си номера в много бази данни: работодатели, търговци на дребно, брокери на данни и правителствени агенции. Когато една от тях бъде нарушена, същият фишинг сценарий се използва срещу обикновените хора.
Ако сте служител на DHS или работите с такъв, очаквайте повече непоискани съобщения от обичайното и се отнасяйте с подозрение към неочаквани искания, дори когато използват името ви или споменават работното ви място. Ако не сте, използвайте това като повод да прегледате колко от собствените ви данни за контакт са публично достъпни и кой може да се свърже с вас.
Как да намалите собственото си излагане на лични данни
Не можете да контролирате дали дадена организация ще бъде нарушена, но можете да ограничите щетите. Практическите стъпки включват:
- Използвайте уникални имейл псевдоними за различните услуги, така че изтичане на едно място да не се свързва с всичко останало.
- Поддържайте отделен телефонен номер за регистрации и публични обяви, вместо основния си мобилен номер.
- Включете многофакторно удостоверяване, за предпочитане с приложение за удостоверяване или хардуерен ключ, а не чрез SMS.
- Проверявайте, преди да се доверите. Ако обаждане, текстово съобщение или имейл искат идентификационни данни или спешни действия, свържете се с организацията чрез канал, за който вече знаете, че е истински.
- Не кликвайте върху връзки в неочаквани съобщения. Вместо това навигирайте директно до сайта.
- Проверявайте инструментите за уведомяване за нарушения, за да видите кои от вашите адреси са се появили в известни изтичания, и сменяйте паролите съответно.
- Поискайте премахване от сайтовете на брокери на данни, където са изброени данните ви.
Смисълът не е да елиминирате излагането, което е нереалистично, а да направите всяка изтекла подробност по-малко полезна за нападателя.
Изводът
Съобщеното изтичане на данни от DHS на данни за контакт на служители може да изглежда скромно в сравнение с изтичания, които включват пароли или финансови записи, но данните за контакт са точно това, което кара фишингът и социалното инженерство да работят. С три съобщени правителствени изтичания в рамките на месец сега е подходящ момент да проверите къде са изложени собствените ви данни за контакт и да затегнете навиците си. За по-широк контекст относно модела прочетете нашето отразяване на изтичането на данни на служители на ФБР и хакването на записите за самоличност на ANTS, след което отделете няколко минути, за да защитите собствените си акаунти.
