Et stort sikkerhedsfirma har netop fået et stort sikkerhedsproblem

Alert 360, den femtestørste udbyder af hjemme- og erhvervssikkerhed i USA, er angiveligt blevet offer for et alvorligt databrud. Hackergruppen ShinyHunters påtog sig ansvaret for at have stjålet 2,5 millioner poster fra virksomheden og endte med at dumpe disse data på det mørke web, efter at forhandlingerne om løsesum brød sammen. De lækkede oplysninger inkluderer personligt identificerbare oplysninger (PII) samt interne virksomhedsdata, hvilket skaber alvorlige eksponeringsrisici for virksomhedens store kundebase.

Hændelsen er bemærkelsesværdig ikke blot på grund af dens omfang, men fordi den siger noget om den generelle tilstand inden for datasikkerhed. Hvis en virksomhed, hvis kerneforretning er at beskytte mennesker og ejendom, ikke kan sikre sine egne kundedata, rejser det svære spørgsmål om, hvordan enhver organisation håndterer de følsomme oplysninger, den indsamler.

Hvem er ShinyHunters, og hvorfor er de vigtige?

ShinyHunters er ikke et ukendt navn i cybersikkerhedskredse. Gruppen er blevet forbundet med en række højprofilerede brud over de seneste år og har angrebet virksomheder på tværs af flere brancher og geografiske områder. Deres typiske mønster involverer at infiltrere et mål, udtrække store mængder data, kræve en løsesumsbetalning og offentliggøre dataene, når forhandlingerne mislykkes, eller der ikke foretages nogen betaling.

Det sidste trin – at offentliggøre dataene – er det, der forvandler et brud fra et afgrænset virksomhedsproblem til en vidtrækkende forbrugerrisiko. Når poster lander på det mørke webs fora, bliver de tilgængelige for en bred vifte af ondsindede aktører, fra identitetstyve til phishing-operatører. Dataene forsvinder ikke, efter de er offentliggjort; de cirkulerer, sælges videre og fortsætter med at forårsage skade længe efter, at den oprindelige hændelse er forsvundet fra overskrifterne.

Sammenbruddet af løsesumsforhandlingerne i dette tilfælde betyder, at enhver indflydelse, Alert 360 måske har haft til at begrænse eksponeringen, nu er væk. Dataene er ude.

Hvilken type data blev eksponeret?

Rapporter indikerer, at det lækkede datasæt inkluderer personligt identificerbare oplysninger – en bred kategori, der typisk dækker navne, adresser, telefonnumre, e-mailadresser, kontooplysninger og potentielt mere følsomme poster, afhængigt af hvad virksomheden gemte. Interne virksomhedsdata var angiveligt også inkluderet i dumpet.

For kunder hos en udbyder af hjemme- eller erhvervssikkerhed rækker konsekvenserne ud over de sædvanlige bekymringer ved et brud hos en detailhandler eller på sociale medier. Folk, der bruger sikkerhedstjenester, har ofte delt detaljerede oplysninger om deres hjem, virksomheder, tidsplaner og fysiske adgangssystemer. Karakteren af dette forhold betyder, at de data, disse virksomheder besidder, kan være mere kontekstuelt følsomme end en simpel liste over e-mailadresser.

På nuværende tidspunkt har Alert 360 ikke offentliggjort en fyldestgørende offentlig erklæring, der præcist beskriver, hvilke poster der blev kompromitteret, eller hvor mange kunder der er direkte berørt. Denne mangel på klarhed er i sig selv en bekymring for alle, der nogensinde har været kunde hos virksomheden.

Hvad betyder dette for dig?

Dette brud er en tydelig illustration af et problem, der berører alle, som deler personlige data med en organisation: du har meget begrænset kontrol over, hvad der sker med disse data, når de forlader dine hænder. Du kan vælge stærke adgangskoder og bruge to-faktor-godkendelse på dine egne konti, men du kan ikke kontrollere sikkerhedspraksisserne hos enhver virksomhed, der besidder dine oplysninger.

Denne virkelighed gør det vigtigt at tænke over, hvordan du administrerer dit personlige dataaftryk mere bredt. Et par praktiske trin er værd at overveje i kølvandet på hændelser som denne.

Overvåg dine konti og kredit. Hvis du er eller har været Alert 360-kunde, skal du holde et vågent øje med dine finansielle konti og overveje at placere en svindeladvarsel eller kreditspærring hos de store kreditbureauer. Dette koster ikke noget og kan forhindre, at nye kreditlinjer åbnes i dit navn uden din viden.

Vær opmærksom på phishing-forsøg. Lækkede PII bruges ofte til at udforme overbevisende phishing-e-mails og tekstbeskeder. Vær skeptisk over for enhver uopfordret kommunikation, der refererer til din konto, dit hjemmesikkerhedssystem, eller som beder dig om at klikke på et link eller opgive loginoplysninger.

Brug unikke adgangskoder og en adgangskodeadministrator. Hvis du genbruger adgangskoder på tværs af konti, kan et brud hos én virksomhed føre til uautoriseret adgang andre steder. En adgangskodeadministrator gør det praktisk at opretholde unikke legitimationsoplysninger for hver tjeneste.

Overvej hvilke data du deler fremover. Ikke alle tjenester har brug for dit fulde navn, hjemmeadresse og telefonnummer. Begræns så vidt muligt de oplysninger, du giver, til kun det, der er strengt nødvendigt.

Tjek databaser for brudsnotifikationer. Tjenester, der samler brudsdata, kan fortælle dig, om din e-mailadresse er dukket op i kendte læk, hvilket giver dig et tidligt signal om at ændre legitimationsoplysninger og forblive årvågen.

Alert 360-bruddet er en påmindelse om, at ingen virksomhed er immun over for angreb – heller ikke dem, der beskæftiger sig med sikkerhed. Det bedste forsvar, der er tilgængeligt for enkeltpersoner, er at holde sig informeret, handle hurtigt, når brud annonceres, og tage konsekvente skridt for at begrænse den skade, lækkede data kan forårsage. At beskytte dine personlige oplysninger kræver løbende opmærksomhed – ikke en engangsopsætning.