En ny rapport fra CyberStation siger, at de har fundet 1,8 millioner bangladeshiske registreringer, der cirkulerer på det mørke web. Fundet er en nyttig påmindelse om, at eksponering af data fra det mørke web i Bangladesh sjældent er resultatet af en enkelt dramatisk hændelse. Oftere er det den langsomme ophobning af mange mindre lækager, som aldrig forsvinder.

Kildeartiklen er kort, så dette indlæg holder sig til det, der er rapporteret, og forklarer, hvad det antyder for almindelige mennesker.

Hvad CyberStation fandt på det mørke web

Ifølge rapporten udgjorde offentlige tjenester den største andel af eksponerede borgerregistreringer. Teknologi og telekommunikation havde de højeste eksponeringsrater, hvilket betyder, at disse sektorer optrådte mest i de data, CyberStation gennemgik.

Overskriftsnummeret er 1,8 millioner registreringer. Det er et stort tal, men den vigtigere detalje er, hvordan det blev sammensat. CyberStation undersøgte ikke én lækket database. De kiggede på data, der cirkulerer på tværs af det mørke web, og henførte dem til en række kilder.

Rapporten bekræftede ikke en specifik lækagekilde. Ingen enkelt virksomhed, myndighed eller hændelse er blevet navngivet som oprindelsen til registreringerne.

Hvorfor dataene stammer fra mange brud, ikke ét

Den sandsynlige forklaring er ifølge rapporten, at registreringerne stammer fra flere tredjepartsbrud over tid. Med andre ord er dette ikke en frisk lækage, som folk kan pege på og reagere på. Det er en pulje af data, der er opbygget fra tidligere hændelser.

Det betyder noget, fordi stjålne personoplysninger ikke udløber, når historien om et brud falmer. Når først registreringer er kopieret, kan de videresælges, sammenlægges med andre datasæt og genbruges i årevis. Et navn og telefonnummer fra én hændelse kan parres med en e-mailadresse fra en anden, hvilket skaber en mere komplet profil, end noget enkelt brud ville give.

Det forklarer også, hvorfor folk ikke kan stole på en enkelt brudmeddelelse for at vide, om de er berørt. Hvis eksponeringen kommer fra flere uafhængige tredjeparter, er der muligvis ingen organisation, der er ansvarlig for at fortælle dig det. Du får måske aldrig en underretning, selvom dine oplysninger cirkulerer.

Mønsteret er velkendt andre steder. Telekom- og offentligt ejede identitetsdata har været mål i andre nylige sager, såsom Odido-bruddet, der påvirker 6,5 millioner kunder i Nederlandene og ANTS ID-bruddet med 18 millioner registreringer i Frankrig. Dette er separate hændelser, og intet i CyberStation-rapporten forbinder dem til Bangladesh. De viser blot, hvordan de samme typer organisationer besidder data, som angribere finder værdifulde.

Hvorfor tallet på 1,8 millioner kan være et underkantstal

CyberStation beskriver sine tal som konservative og siger, at den faktiske eksponering kan være større. Der er et par grunde til, at det er plausibelt, selvom rapporten selv bør betragtes som autoriteten på sin egen metode.

Enhver optælling af data fra det mørke web afhænger af, hvad forskere kan finde og få adgang til. Private fora, lukkede salg og datasæt, der handles direkte mellem købere, er sværere at måle. Registreringer, der overlapper på tværs af flere brud, komplicerer også optællingen, da den samme person kan optræde i mere end én kilde.

Den praktiske konklusion er, at 1,8 millioner bør læses som et gulv snarere end et loft. Det er et øjebliksbillede af, hvad der var synligt, ikke en komplet opgørelse over alt, hvad der er blevet eksponeret.

Hvad det betyder for dig

Hvis du bor i Bangladesh, eller har brugt bangladeshiske offentlige, telekom- eller teknologitjenester, så antag, at nogle af dine oplysninger muligvis allerede er derude. Det er ikke grund til panik, men det bør ændre, hvordan du beskytter dig selv.

De største risici ved denne type eksponering er phishing, SMS-svindel og forsøg på kontoovertagelse. Angribere, der kender dit navn, telefonnummer eller e-mail, kan udforme beskeder, der virker overbevisende, især hvis de ser ud til at komme fra en teleudbyder eller et offentligt kontor.

Fordi dataene er gamle og spredte, er de mest effektive forsvar dem, der virker uanset, hvilket brud dine oplysninger stammer fra.

Sådan tjekker du din eksponering og reducerer din risiko

Begynd med at tjekke, om din e-mailadresse og dit telefonnummer optræder i kendte brud. Anerkendte værktøjer til brudnotifikation lader dig søge på e-mail, og nogle dækker også telefonnumre. Et hit betyder ikke, at du blev hacket i dag, men det fortæller dig, hvilke konti der fortjener opmærksomhed.

Stram derefter dine konti:

  • Brug unikke adgangskoder til hver konto, ideelt set gemt i en adgangskodeadministrator, så ét gammelt brud ikke kan låse andre op.
  • Slå multifaktorautentificering (MFA) til, helst med en autentificeringsapp frem for SMS, hvor det er muligt.
  • Vær skeptisk over for uventede beskeder, der nævner dit navn, nummer eller kontooplysninger. Kontakt organisationen via en officiel kanal i stedet for at svare.
  • Del færre personoplysninger med offentlige og telekom-tjenester. Angiv kun det påkrævede, og undgå valgfrie felter, der føjer til de data, en organisation har om dig.

Det er også værd at huske, at eksponering ikke er begrænset til én sektor. Selv bemandings- og forsyningsselskaber har været udsat for angreb, som set i det påståede brud hos United Personnel, så vanen med at begrænse, hvad du udleverer, gælder bredt.

Vigtige pointer

CyberStation-rapporten viser, at eksponering af data fra det mørke web i Bangladesh er en vedvarende tilstand, ikke en enkelt hændelse med en klar begyndelse og afslutning. Med 1,8 millioner registreringer knyttet til flere tidligere tredjepartsbrud, og tal der kan underdrive den reelle total, er det ikke en pålidelig strategi at vente på en underretning.

Tjek, om din e-mail og dit telefonnummer optræder i kendte brud, skift til unikke adgangskoder med MFA, og del færre personoplysninger med offentlige og telekom-tjenester. Odido- og ANTS-sagerne viser, hvordan identitetsdata hos teleoperatører og offentlige myndigheder kan blive eksponeret, så det at reducere, hvad du udleverer, er et af de få skridt, der er helt under din kontrol.