Masivní databáze dokořán otevřená
Výzkumník v oblasti kybernetické bezpečnosti objevil nezabezpečenou online databázi spojenou s festivalem Tribeca, která obsahuje více než 666 000 záznamů. Mezi odhalenými údaji byly kontaktní informace patřící některým z nejznámějších jmen Hollywoodu, včetně Jennifer Lawrence, Roberta De Nira, Martina Scorseseho a Angeliny Jolie. Únik dat z festivalu Tribeca se rychle stal jedním z nejvýznamnějších incidentů narušujících soukromí, které letos zasáhly zábavní průmysl – ne kvůli tomu, na koho byl zaměřen, ale kvůli tomu, jak snadno byly informace ponechány přístupné.
Databáze údajně nebyla hacknuta v tradičním smyslu. Zdá se, že byla ponechána bez základních bezpečnostních opatření, což znamená, že kdokoli, kdo ji online našel, mohl potenciálně zobrazit kontaktní údaje uvnitř. Stojí za to pochopit tento rozdíl: únik způsobený špatnou konfigurací se liší od úniku způsobeného útočníkem, který prolomil obranu, ale pro lidi, jejichž data jsou vystavena, je výsledek často stejný.
Proč jsou kontaktní údaje celebrit skutečným rizikem pro soukromí
Je lákavé brát takový příběh jako bulvární senzaci, seznam slavných jmen připojených k titulku. Důsledky pro soukromí však sahají daleko za zvědavost. Kontaktní informace, i něco tak zdánlivě všedního jako e-mailová adresa nebo telefonní číslo, mohou být výchozím bodem pro vážnější poškození. Jakmile jsou vystaveny, lze tato data použít k cíleným phishingovým útokům, předstírání identity, obtěžování nebo nevyžádané nabídce. U veřejně známých osob mohou odhalené kontaktní údaje také otevřít dveře riziku stalkingu nebo nechtěnému přímému kontaktu, který obchází vrstvy managementu a zastoupení běžně sloužící k filtrování komunikace.
Jak poznamenaly předchozí zprávy o incidentu, informace Angeliny Jolie byly mezi důvěrnými údaji zachycenými tímto odhalením, spolu s podrobnostmi spojenými s Jennifer Lawrence a Robertem De Nirem. Rozsah databáze s více než 666 000 záznamy naznačuje, že nešlo o úzký únik týkající se hrstky VIP kontaktů. Ukazuje na širší systémový problém: velké objemy osobních údajů shromážděných pro legitimní účely, jako je akreditace na festival, prodej vstupenek nebo styk s médii, leží v databázi bez zabezpečení, které by mělo doprovázet tento druh citlivého sběru.
Jak stále dochází k nezabezpečeným databázím
Tento typ incidentu se stal známým vzorem napříč odvětvími. Organizace shromažďují data pro konkrétní událost nebo účel, ukládají je do cloudové databáze nebo serveru pro pohodlí a poté neaplikují ochranu heslem, šifrování ani řízení přístupu, než je systém spuštěn nebo zůstane aktivní déle, než bylo zamýšleno. Často je to výzkumník skenující exponované systémy, nikoli sofistikovaný útočník, kdo na ně narazí jako první, někdy dlouho poté, co byla databáze veřejně přístupná po určitou dobu.
Pro událost, jako je festival Tribeca, která zpracovává registrační údaje, mediální akreditace a seznamy kontaktů vysoce postavených účastníků, hostů a profesionálů z oboru, může být objem shromážděných osobních údajů značný. Když tato data nejsou řádně zabezpečena, expozice se netýká jen celebrit. Zaměstnanci v oboru, kontakty pro média a běžní účastníci, jejichž informace byly součástí téže databáze, jsou stejně vystaveni, i když jejich jména nikdy neudělají titulky.
Co to znamená pro vás
Většina čtenářů není Jennifer Lawrence ani Martin Scorsese, ale základní poučení platí široce. Kdykoli předáte kontaktní údaje k registraci na událost, nákupu vstupenky nebo přihlášení ke službě, stávají se tato data odpovědností někoho jiného chránit je, a incidenty jako tento ukazují, že tato odpovědnost není vždy naplněna. Obecně nemůžete ovlivnit, jak třetí strana ukládá vaše data, ale můžete ovlivnit, kolik toho sdílíte a kde.
Buďte selektivní ohledně osobních údajů, které poskytujete při registraci na události nebo služby, a zvažte použití samostatné e-mailové adresy pro registrace na akce, aby veškerý výsledný spam nebo phishingové pokusy zůstaly izolované od vašich hlavních účtů. Pokud se někdy dozvíte, že vaše informace byly součástí odhalené databáze, zacházejte s neočekávanými hovory, textovými zprávami nebo e-maily odkazujícími na tuto událost se zvýšenou opatrností, protože exponovaná kontaktní data jsou často zneužita pro phishingové kampaně.
Praktické závěry
Únik dat z festivalu Tribeca je připomínkou, že sláva nenabízí žádnou skutečnou ochranu, jakmile jsou osobní údaje nesprávně zpracovány. Ať už jste se zúčastnili velkého festivalu, nebo jste se jednoduše přihlásili k odběru newsletteru, vyplatí se pravidelně kontrolovat, které organizace uchovávají vaše kontaktní údaje a proč. Povolte dvoufaktorové ověřování na účtech spojených s těmito informacemi, dávejte pozor na phishingové pokusy, které odkazují na skutečné události, jichž jste se zúčastnili, a nepředpokládejte, že událost se známou značkou automaticky znamená neprůstřelnou bezpečnost dat. Zůstat informován o incidentech, jako je tento, je jedním z nejjednodušších způsobů, jak zůstat o krok napřed před riziky, která vytvářejí.
