Bezpečnostní zranitelnost byla opravena v databázi obsahující více než 125 milionů textových zpráv, které lotyšské a litevské banky, pojišťovny, maloobchodníci a poskytovatelé služeb zaslali svým zákazníkům. Poskytovatel služeb stojící za systémem uvádí, že problém byl vyřešen. Tato epizoda je jasným příkladem rizik úniku dat u SMS poskytovatelů: citlivé zprávy často spočívají u dodavatele, kterého si zákazníci nikdy nevybrali a o jehož existenci možná ani nevědí.

Dostupné zpravodajství je zatím stručné, proto se tento příspěvek drží toho, co bylo uvedeno, a vysvětluje, proč na tom záleží.

Co bylo v baltské SMS databázi odhaleno

Podle zprávy obsahovala dotčená databáze více než 125 milionů textových zpráv. Šlo o zprávy typu business-to-customer, které zaslaly lotyšské a litevské banky, pojišťovny, maloobchodníci a poskytovatelé služeb. Zdroj popisuje problém jako zranitelnost, která byla nyní opravena, a titulek ji rámuje jako možný únik dat.

Tato formulace je důležitá. Zranitelnost znamená, že existovala slabina. Sama o sobě však nepotvrzuje, že někdo k datům přistoupil nebo je zkopíroval. Náš zdrojový materiál neuvádí, jak dlouho slabina existovala, kdo ji mohl najít, ani zda nějaké zprávy skutečně viděly neoprávněné osoby.

Přesto stojí za zamyšlení, jaký typ obsahu taková databáze obvykle obsahuje. Společnosti běžně používají SMS pro jednorázové přístupové kódy, bankovní upozornění, informace o doručení a oznámení o účtu. Takové zprávy mohou prozradit, u které banky má člověk účet, co si koupil, kam míří zásilka a které služby využívá. I bez jediného hesla je tento kontext cenný pro někoho, kdo plánuje přesvědčivý podvod.

Proč jsou dodavatelé zasílání zpráv skrytým rizikem

Většina lidí předpokládá, že banka nebo maloobchodník posílá své texty sám. V praxi mnoho organizací předává tuto činnost poskytovateli zasílání zpráv, který stojí mezi společností a mobilní sítí. Zákazník jedná se značkou, ale obsah zprávy prochází přes samostatnou společnost a může být u ní i uložen.

To vytváří několik problémů:

  • Neviditelné vztahy. Zákazníci jen zřídka vidí, kteří dodavatelé zpracovávají jejich data, a nemohou tedy posoudit zabezpečení daného dodavatele.
  • Koncentrovaná data. Jeden poskytovatel může obsluhovat mnoho klientů v několika zemích. Jediná chyba se může dotknout zpráv od bank, pojišťoven i obchodů najednou, což je to, co umožňuje číslo jako 125 milionů zpráv.
  • Otázky uchovávání. Protokoly zpráv mohou být uchovávány pro účely řešení problémů nebo reportingu. Čím déle jsou uloženy, tím více toho může být odhaleno.

Stejný vzorec se objevuje i v dalších incidentech, kterými jsme se zabývali. Náš pohled na rizika třetích stran v incidentu Trump Mobile ukazuje, jak se data uložená mimo vlastní infrastrukturu značky mohou stát problémem této značky. Únik dat Fakturownia přináší podobný poznatek o platformě, která toho uchovává mnohem více, než její název naznačuje.

Co oprava od dodavatele potvrzuje a co ne

Prohlášení poskytovatele, že problém byl opraven, je dobrá zpráva, ale odpovídá jen na část otázky.

Co naznačuje: konkrétní slabina již není otevřená, takže stejná cesta by neměla být nadále dostupná.

Co nepotvrzuje, na základě zdroje:

  • Zda před opravou k zprávám přistoupila nějaká třetí strana.
  • Zda odhalené zprávy obsahovaly kódy nebo osobní údaje, které jsou stále použitelné.
  • Zda opravu ověřila nezávislá kontrola.
  • Zda dotčené společnosti budou informovat své zákazníky.

Dokud nebudou tyto body veřejně vyřešeny, rozumný postoj není ani panika, ani lhostejnost. Opravu berte jako nezbytný krok, ne jako úplné odvolání rizika. Organizace, které tohoto dodavatele využívaly, jsou nejlépe schopny vysvětlit, co by zákazníci měli případně udělat.

Co to znamená pro vás

Pokud využíváte bankovní, pojišťovací nebo nákupní služby lotyšských či litevských společností, vaše zprávy mohly projít podobným systémem. I když jste jinde, poučení platí: každá služba, která vám posílá texty, se spoléhá na řetězec dodavatelů, které nemůžete prověřit.

Realistickým rizikem obvykle nebývá dramatické převzetí účtu kvůli jednomu starému textu. Je to cílený phishing. Podvodník, který ví, že jste nedávno obdrželi oznámení o doručení nebo bankovní upozornění, může napsat falešnou zprávu, která vypadá autenticky, a použít skutečné údaje k získání vaší důvěry. Starší jednorázové kódy by měly být propadlé, ale samotné přihlašování přes SMS zůstává slabým místem, protože texty lze zachytit, přeposlat nebo odhalit na místech, která nekontrolujete. Náš týdenní bezpečnostní přehled také upozorňuje, jak se phishingové triky neustále vyvíjejí, což je připomínka, abyste zůstali nedůvěřiví k neočekávaným zprávám.

Jak se chránit před phishingem přes SMS a riziky 2FA

Nemůžete si vybrat poskytovatele zasílání zpráv své banky, ale můžete omezit, jak moc vám odhalený text může ublížit.

  1. Kde je to možné, přejděte od SMS kódů. Pro dvoufaktorové ověřování používejte autentizační aplikaci nebo hardwarový bezpečnostní klíč. Ty neprocházejí systémy textových zpráv.
  2. SMS používejte jen jako záložní možnost. Pokud služba vyžaduje ověření textovou zprávou, zapněte ho, ale přidejte silnější možnosti všude, kde to služba umožňuje.
  3. Nedůvěřujte zprávám, které odkazují na skutečnou aktivitu. Text zmiňující skutečnou objednávku nebo banku nedokazuje, že je pravý. Neklikejte na odkazy; otevřete oficiální aplikaci nebo adresu zadejte sami.
  4. Nikdy nesdílejte kódy. Žádná legitimní banka ani maloobchodník vás nepožádá, abyste nadiktovali jednorázový kód.
  5. Sledujte své účty. Kontrolujte výpisy a upozornění na přihlášení, zda neobsahují něco neznámého, a podezřelou aktivitu rychle nahlaste své bance.
  6. Ptejte se svých poskytovatelů. Pokud chcete vědět, jak společnost nakládá s daty zpráv, zeptejte se, kdo je zpracovává a jak dlouho jsou uchovávána.

Shrnutí

Oprava této baltské databáze je vítaná, ale ponechává otevřené otázky, zda k datům někdy někdo přistoupil. Širší poučení o rizicích úniku dat u SMS poskytovatelů platí bez ohledu na to: citlivá oznámení procházejí přes dodavatele, které jste si nikdy nevybrali, a kontrolovat můžete pouze svou vlastní stranu. Přejděte na 2FA v aplikaci nebo na hardwarový klíč, zůstaňte ostražití vůči každé zprávě, která zmiňuje skutečnou aktivitu, a přečtěte si více o tom, jak vnější dodavatelé vytvářejí riziko, v našich článcích o incidentu Trump Mobile a incidentu Fakturownia.