Studie zjistila, že nároky na únik dat Carhartt byly nafouknuty syntetickými daty

Požadavek 3,3 milionu dolarů a únik 50 GB

Kauza úniku dat společnosti Carhartt se tento měsíc znovu obrátila, když bezpečnostní výzkumníci zjistili, že značná část uniklých dat byla syntetická, nikoli skutečné informace o zákaznících. Vyděračská skupina ShinyHunters tvrdila, že 13. srpna unikla 50 GB dat společnosti Carhartt, a to po neúspěšném vyjednávání po počátečním požadavku na výkupné ve výši 3,3 milionu dolarů. Když Carhartt údajně odmítl zaplatit, skupina datovou sadu zveřejnila a prezentovala ji jako důkaz masivního kompromitování.

Na první pohled se únik zdál obrovský. Ale jako u mnoha nároků na únik dat motivovaných vydíráním, velikost souboru a počet záznamů vyprávěly jen část příběhu. Bližší technická kontrola zjistila, že data obsahovala smyšlené nebo duplicitní záznamy, což znamená, že skutečný rozsah vystavených osobních údajů byl podstatně menší, než inzerovala skupina ShinyHunters.

Jak analytici odhalili nafouknutá čísla

Tento vzorec není nový. Jak jsme uvedli v naší dřívější zprávě o nárocích na únik dat Carhartt zkrácených na polovinu po přezkumu Troye Hunta, nezávislé ověření je často jediným způsobem, jak oddělit legitimní únik od nafouknuté vyděračské taktiky. Výzkumníci, kteří zkoumali uniklé soubory, je prohnali nástroji pro deduplikaci a validaci navrženými k označení falešných nebo automaticky generovaných záznamů, jako jsou nesmyslné e-mailové domény, opakující se vzory adres nebo záznamy, které neodpovídají žádnému skutečnému účtu.

Výsledkem bylo výrazné snížení potvrzeného počtu dotčených osob po odstranění syntetických a duplicitních záznamů. To neznamená, že nebyla vystavena žádná skutečná data. Znamená to, že skutečný počet postižených zákazníků byl mnohem nižší než hlavní číslo, které ShinyHunters použila k nátlaku na Carhartt a k vyvolání mediální pozornosti.

Tato taktika slouží hrozícím aktérům dvojímu účelu. Větší, alarmující velikost souboru činí vyděračskou hrozbu důvěryhodnější a škodlivější, což zvyšuje tlak na poškozenou společnost, aby zaplatila. Také to generuje nadměrné mediální pokrytí, které vyděračské skupiny často využívají jako páku při budoucích vyjednáváních s jinými cíli. Nafouknutí úniku syntetickými daty stojí útočníka málo, ale může dramaticky změnit veřejné vnímání závažnosti incidentu.

Proč to záleží na soukromí, nejen na titulcích

Důsledky pro soukromí jsou zde subtilnější než u typického příběhu o úniku dat. Když jsou nároky na únik nafouknuté, dochází ke dvěma věcem najednou. Zaprvé, veřejnost a dokonce i bezpečnostní profesionálové mohou přeceňovat, kolik skutečných osobních údajů koluje, což vede ke zbytečné panice nebo nesprávně zaměřeným reakcím. Zadruhé, a co je důležitější, může to způsobit, že skutečné oběti, lidé, jejichž data byla skutečně zahrnuta a ověřena, se ztratí v šumu příběhu dominovaného přehnanými čísly.

Pro společnost, jako je Carhartt, incident také ilustruje reputační riziko spojené s jakýmkoli pokusem o vydírání, bez ohledu na to, kolik z tvrzených dat se ukáže jako autentických. Jakmile hrozící skupina oznámí únik a částku výkupného, příběh se rychle šíří a pozdější oprava informací se jen zřídka dočká stejné úrovně pozornosti jako počáteční tvrzení.

Co to znamená pro vás

Pokud jste zákazník nebo zaměstnanec společnosti Carhartt a zajímá vás, zda byly vaše informace součástí tohoto úniku, nejbezpečnějším přístupem je považovat jakoukoli expozici za možnou, nikoli potvrzenou, aniž byste předpokládali nejhorší čísla zveřejněná během vrcholu vyděračského pokusu. Skutečné záznamy byly údajně zahrnuty do úniku spolu se smyšlenými, takže ověření záleží více než celková velikost souboru nebo počet záznamů, které ShinyHunters zveřejnila.

Obecněji řečeno, tento incident připomíná, že nároky na únik dat od vyděračských skupin by měly být vždy považovány za neověřené, dokud nezávislí analytici nebo dotčená společnost nepotvrdí podrobnosti. Požadavky na výkupné a dramatická oznámení o únicích jsou částečně nátlakovou taktikou a čísla, která jsou s nimi spojena, nejsou vždy spolehlivá.

Praktická doporučení

• Nepanikařte pouze na základě hlavních čísel o úniku; počkejte na ověřenou analýzu, než budete předpokládat, že vaše data byla vystavena.
• Pokud máte účet Carhartt, zvažte změnu hesla a povolení dvoufaktorového ověřování, kde je k dispozici.
• Sledujte phishingové pokusy odkazující na únik, protože útočníci často zneužívají veřejné zprávy o únicích k tomu, aby oběti přiměli prozradit více informací.
• Používejte správce hesel, abyste se vyhnuli opakovanému používání přihlašovacích údajů napříč weby, a omezili tak škody, pokud dojde ke kompromitaci některého účtu.
• Zůstaňte skeptičtí k nárokům vyděračských skupin, dokud nebudou potvrzeny nezávislými výzkumníky, protože nafouknutá čísla jsou známou vyjednávací taktikou.