Podle zpráv unikla z Ministerstva vnitřní bezpečnosti (DHS) data, která dostala do oběhu jména, telefonní čísla a e-mailové adresy více než 40 000 zaměstnanců. Tento únik kontaktních údajů zaměstnanců DHS je podle zprávy VOZ již třetím vládním únikem dat, který se za poslední měsíc dostal do médií. Zdrojový článek je skoupý na technické podrobnosti, proto se tento text drží toho, co bylo reportováno, a vysvětluje, proč na tomto druhu dat záleží, i když se mohou zdát neškodná.

Co bylo při úniku DHS odhaleno

Podle reportáže zahrnují odhalené informace více než 40 000 zaměstnanců DHS a omezují se na tři typy dat: jména, telefonní čísla a e-mailové adresy. Zpráva v materiálech, které máme k dispozici, nepopisuje, jak byla data získána, kdo za nimi stál, kdy k incidentu došlo ani zda byly zapojeny další kategorie, jako jsou čísla sociálního zabezpečení nebo finanční záznamy. O těchto podrobnostech nebudeme spekulovat.

Tato mezera stojí za povšimnutí. Rané zprávy o únicích jsou často neúplné a rozsah se může měnit, jak agentury vyšetřují. Berte současné číslo jako reportovaný základ, nikoli jako konečný počet, a sledujte oficiální prohlášení DHS.

Vzor vládních úniků dat

Incident v DHS nestojí osamoceně. Zpráva jej rámuje jako třetí vládní únik dat, který se za jediný měsíc dostal do médií. Dva další nedávné případy pokryté na vpn.social poskytují užitečný kontext. V jednom FBI uvedl, že řeší únik týkající se citlivých dat jeho zaměstnanců a slíbil stíhat ty, které považuje za odpovědné. V dalším francouzské úřady zatkly 15letého mladíka podezřelého z hacknutí ANTS, agentury, která spravuje doklady totožnosti.

Tyto případy zahrnují různé agentury a země, takže bychom neměli předpokládat, že spolu souvisejí. Co mají společné, je cíl: velké databáze veřejného sektoru plné osobních údajů o zaměstnancích nebo občanech. Vládní orgány uchovávají data, která jsou cenná pro zločince a v některých případech i pro nepřátelské aktéry, což z nich činí trvalé cíle.

Proč kontaktní údaje živí phishing a sociální inženýrství

Je lákavé odbýt únik jmen, telefonních čísel a e-mailů jako drobnost. Žádná hesla ani finanční data, tak v čem je škoda? Odpověď zní, že kontaktní data jsou surovinou pro cílené útoky.

S ověřeným jménem, pracovní e-mailovou adresou a telefonním číslem spojeným se známým zaměstnavatelem může útočník:

  • Vytvořit přesvědčivé phishingové e-maily, které oslovují osobu jménem a odkazují na její agenturu.
  • Vést hlasové phishingové (vishingové) hovory vydávající se za IT podporu, kolegu nebo dodavatele.
  • Rozesílat SMS návnady, které příjemce směrují na falešné přihlašovací stránky.
  • Vydávat se za insidery, aby vylákali informace od spolupracovníků, kteří důvěřují známě znějícímu jménu.

U zaměstnanců agentury zaměřené na bezpečnost spočívá riziko v tom, že útočníci přesně vědí, kdo tam pracuje a jak se k nim dostat. I malý počet úspěšných zpráv může útočníkovi poskytnout oporu. Riziko se navíc neomezuje jen na tyto zaměstnance. Členové rodin, dodavatelé a kdokoli, kdo komunikuje se zaměstnanci DHS, může dostávat zprávy, které vypadají, jako by pocházely z důvěryhodného zdroje.

Úniky obsahující pouze kontaktní údaje mají také tendenci být znovu využívány. Seznamy ověřených e-mailů a telefonních čísel lze kombinovat s daty z jiných incidentů. Naše pokrytí expozice LimeLeads s 49,4 miliony obchodních kontaktů ukazuje, jak mohou kontaktní databáze cirkulovat a být využívány dlouho po původním incidentu.

Co to znamená pro vás

Možná nepracujete pro DHS, ale ponaučení platí pro všechny. Většina z nás má svá jména, e-maily a telefonní čísla uložena v mnoha databázích: u zaměstnavatelů, maloobchodníků, zprostředkovatelů dat a vládních agentur. Když dojde k úniku v jedné z nich, stejná phishingová taktika se použije proti běžným lidem.

Pokud jste zaměstnancem DHS nebo s někým takovým spolupracujete, očekávejte více nevyžádaných zpráv než obvykle a k neočekávaným žádostem přistupujte s podezřením, i když používají vaše jméno nebo zmiňují vaše pracoviště. Pokud ne, berte to jako podnět k zamyšlení, kolik vašich vlastních kontaktních údajů je veřejně dostupných a kdo se k vám může dostat.

Jak snížit vlastní expozici osobních údajů

Nemůžete ovlivnit, zda organizace utrpí únik, ale můžete omezit škody. Mezi praktické kroky patří:

  1. Používejte jedinečné e-mailové aliasy pro různé služby, aby únik na jednom místě nepropojil vše ostatní.
  2. Udržujte si samostatné telefonní číslo pro registrace a veřejné záznamy namísto svého primárního mobilního čísla.
  3. Zapněte vícefaktorové ověřování, ideálně pomocí autentizační aplikace nebo hardwarového klíče namísto SMS.
  4. Ověřujte, než uvěříte. Pokud hovor, textová zpráva nebo e-mail žádá přihlašovací údaje nebo urgentní akci, kontaktujte organizaci kanálem, o kterém už víte, že je skutečný.
  5. Neklikejte na odkazy v neočekávaných zprávách. Přejděte na stránku přímo.
  6. Zkontrolujte nástroje pro oznámení o únicích, abyste zjistili, které z vašich adres se objevily ve známých únicích, a podle toho změňte hesla.
  7. Požádejte o odstranění z webů zprostředkovatelů dat, kde jsou vaše údaje uvedeny.

Smyslem není expozici zcela eliminovat, což je nerealistické, ale učinit každý uniklý údaj méně užitečným pro útočníka.

Shrnutí

Reportovaný únik kontaktních údajů zaměstnanců DHS se může zdát skromný ve srovnání s úniky, které zahrnují hesla nebo finanční záznamy, ale kontaktní data jsou právě tím, co umožňuje fungování phishingu a sociálního inženýrství. S třemi vládními úniky hlášenými za měsíc je nyní vhodná chvíle prověřit, kde jsou vaše vlastní kontaktní údaje vystaveny, a utáhnout své návyky. Pro širší kontext tohoto vzorce si přečtěte naše pokrytí úniku dat zaměstnanců FBI a hacknutí záznamů totožnosti ANTS, a pak si najděte pár minut na zabezpečení vlastních účtů.