Пробив в данните на London Hydro оставя клиентски данни изложени
Канадска електрическа компания потвърди за пробив в данните, който може да е компрометирал имена, адреси и информация за акаунти на клиенти, но предостави малко яснота как е станало проникването, колко хора са засегнати или колко дълго нападателите са имали достъп. London Hydro, която обслужва град Лондон, Онтарио, потвърди инцидента, но остави няколко критични въпроса без отговор, пораждайки притеснения относно стандартите за прозрачност, когато доставчици на основни услуги обработват чувствителни лични данни.
Защо компаниите за комунални услуги са лесна цел за киберпрестъпниците
Комуналните компании заемат неудобно място в света на киберсигурността. Те съхраняват големи обеми лични и финансови данни за клиенти, които на практика нямат избор, освен да работят с тях. За разлика от мобилно приложение или стрийминг услуга, клиентите не могат просто да изтрият акаунтите си и да напуснат местния доставчик на електроенергия.
Тази принудителна връзка създава среда, богата на данни, която нападателите намират за привлекателна. Комуналните компании събират домашни адреси, история на плащанията, детайли за плащане, а в някои случаи и модели на потребление, които могат да разкрият кога имотът е обитаван. Тази комбинация от лично идентифицируема информация и поведенчески данни е ценна за измами, социално инженерство и кражба на самоличност.
Оперативните изисквания също не способстват за стабилни мерки за сигурност. Много мрежи на комунални предприятия разчитат на остаряла инфраструктура, която никога не е била проектирана с мисъл за съвременната киберсигурност. Прилагането на пачове или спирането на инфраструктура за актуализации по сигурността може директно да противоречи на задължението да се поддържа захранването. Резултатът е индустрия, която носи ценен полезен товар от данни, докато понякога изостава с контролите за сигурност, които други сектори вече са стандартизирали.
Проблемът не е уникален за London Hydro. В един забележителен канадски пример, Nova Scotia Power претърпя пробив, който изложи личните данни на приблизително 915 000 настоящи и бивши клиенти, след като един служител взаимодейства с зловреден изскачащ прозорец. Този инцидент илюстрира как една единствена точка на отказ в голяма комунална организация може да прерасне в значително събитие за неприкосновеността на личните данни, засягащо почти милион души.
Какво London Hydro разкри и какво не за пробива
Публичното изявление на London Hydro потвърди, че имена, домашни адреси и детайли за акаунти може да са били изложени по време на проникването. Отвъд това, оповестената информация е оскъдна. Компанията не потвърди вектора на атаката, което означава, че не е казала дали пробивът е включвал фишинг, уязвимост в публично достъпни системи, рансъмуер или изцяло друг метод.
Времевият период на проникването също остава неясен. Клиентите не са информирани кога е започнал пробивът, кога е бил открит или колко дълъг е бил интервалът между тези две събития. Този прозорец има значение, тъй като определя колко време нападателите са имали, за да извлекат, копират или въоръжат данните, до които са получили достъп.
Липсата на тези детайли е разочароваща за клиентите, които се опитват да оценят личния си риск, и отразява по-широк модел при оповестяването на пробиви в комуналния сектор. Регулаторите в Канада изискват уведомяване за пробиви, които представляват реален риск от значителна вреда съгласно Закона за защита на личната информация и електронните документи (PIPEDA), но законът определя долна граница за оповестяване, а не таван. Компаниите могат технически да спазят изискванията, докато все още прикриват детайли, които биха помогнали на засегнатите лица да вземат информирани решения.
Кой е засегнат и какви данни може да са изложени на риск
London Hydro обслужва жилищни и търговски клиенти в Лондон, Онтарио. Докато компанията не е обявила конкретен брой засегнати акаунти, всеки пробив, включващ имена, адреси и детайли за акаунти, създава значително излагане на риск за хората в тази база данни.
Комбинацията от домашен адрес и номер на акаунт е по-опасна, отколкото всяка от двете данни поотделно. Измамниците могат да използват детайлите за акаунта, за да се представят за клиенти при контакт с компанията, потенциално пренасочвайки комуникациите за фактуриране или създавайки фалшиви заявки за услуги. Домашните адреси, съчетани с имена, могат да бъдат съпоставени с други изтекли набори от данни, за да се изградят по-пълни профили, подходящи за целеви фишинг или физическа измама.
Ако в изложените данни е била включена информация за плащане, рискът ескалира допълнително. Към момента на писане London Hydro не беше потвърдила дали финансови детайли като банкова информация или номера на кредитни карти са част от излагането, което само по себе си е съществен пропуск в оповестяването.
Как да се защитите, когато вашият доставчик на комунални услуги бъде пробит
Когато настъпи пробив в данните на комунална компания, клиентите имат ограничени лостове за влияние, но разполагат с няколко практически възможности за намаляване на последващите вреди.
Проверете акаунтите си за необичайна активност. Влезте в акаунта си в London Hydro и прегледайте последните фактури и данни за контакт. Ако адресът или информацията за контакт са били променени без ваше знание, докладвайте го незабавно на компанията.
Поставете предупреждение за измама или замразяване на кредита. В Канада можете да се свържете с Equifax Canada или TransUnion Canada, за да поставите предупреждение за измама в кредитното си досие. Замразяването на кредита отива по-далеч, като ограничава новите кредитни запитвания, докато не го отмените. Нито едно от двете не струва пари и и двете могат да спрат крадците на самоличност да откриват нови сметки на ваше име.
Внимавайте за последващи фишинг атаки. Пробитите данни често попадат в ръцете на фишинг оператори, които изготвят убедителни съобщения, представящи се за самата компания. Бъдете скептични към всеки имейл, текстово съобщение или телефонно обаждане, което твърди, че е от London Hydro и ви моли да потвърдите детайли за акаунта си или да кликнете върху линк.
Използвайте уникален имейл адрес за акаунти за комунални услуги. Ако използвате един и същ имейл в множество услуги, пробив в един доставчик може да ви направи по-уязвими на друго място. Когато е възможно, използвайте специален имейл адрес за акаунти за комунални услуги, така че атаките с пълнене на идентификационни данни да имат по-малка повърхност за действие.
Редовно наблюдавайте кредитния си отчет. И двете основни канадски кредитни бюра позволяват безплатен достъп до кредитния ви отчет. Периодичното му преглеждане помага за ранно откриване на признаци на измама със самоличност, когато е по-лесно да се разреши.
Пробивът в London Hydro е напомняне, че организациите, които съхраняват нашите най-съществени лични данни, не винаги са най-откровени, когато нещата се объркат. Клиентите заслужават по-ясни оповестявания, по-бързи срокове и по-приложима информация, когато данните им са изложени на риск. Докато регулаторните стандарти настигнат тези очаквания, тежестта на защитата пада непропорционално върху засегнатите лица. Предприемането дори на няколко от горепосочените стъпки може значително да намали прозореца на възможности за всеки, който може да е получил достъп до вашата информация.
