En rapporteret lækage hos Department of Homeland Security har bragt navne, telefonnumre og e-mailadresser på mere end 40.000 ansatte i omløb. DHS-datalækagen af ansattes kontaktoplysninger er ifølge rapporten fra VOZ den tredje statslige datalækage, der har skabt overskrifter inden for den seneste måned. Kildeartiklen er sparsom med tekniske detaljer, så denne artikel holder sig til det, der er blevet rapporteret, og forklarer, hvorfor denne type data er vigtig, selv når den ser harmløs ud.

Hvad blev eksponeret i DHS-lækagen

Baseret på rapporteringen dækker de eksponerede oplysninger mere end 40.000 DHS-ansatte og er begrænset til tre datatyper: navne, telefonnumre og e-mailadresser. Rapporten beskriver ikke i det materiale, vi har adgang til, hvordan dataene blev opnået, hvem der stod bag, hvornår det skete, eller om andre kategorier såsom CPR-numre eller finansielle oplysninger var involveret. Vi vil ikke gætte på disse detaljer.

Det hul er værd at bemærke. Tidlige rapporter om brud er ofte ufuldstændige, og omfanget kan ændre sig, efterhånden som myndighederne efterforsker. Betragt det nuværende tal som det rapporterede udgangspunkt frem for en endelig optælling, og hold øje med officielle udtalelser fra DHS.

Et mønster af statslige datalækager

DHS-hændelsen står ikke alene. Rapporten fremstiller den som den tredje statslige datalækage, der har skabt overskrifter på en enkelt måned. To andre nylige sager dækket på vpn.social giver nyttig kontekst. I den ene meddelte FBI, at de håndterede et brud involving deres ansattes følsomme data og lovede at forfølge dem, de mener er ansvarlige. I den anden arresterede franske myndigheder en 15-årig, der mistænkes for at hacke ANTS, agenturet, der håndterer identitetsdokumenter.

Disse sager involverer forskellige agenturer og lande, så vi bør ikke antage, at de er forbundet. Det, de har til fælles, er målet: store offentlige databaser fyldt med personlige oplysninger om ansatte eller borgere. Statslige organer besidder data, der er værdifulde for kriminelle og i visse tilfælde for fjendtlige aktører, hvilket gør dem til vedvarende mål.

Hvorfor kontaktoplysninger driver phishing og social engineering

Det er fristende at afvise en lækage af navne, telefonnumre og e-mails som ubetydelig. Ingen adgangskoder eller finansielle data, så hvad er skaden? Svaret er, at kontaktdata er råmaterialet til målrettede angreb.

Med et verificeret navn, en arbejds-e-mailadresse og et telefonnummer knyttet til en kendt arbejdsgiver kan en angriber:

  • Udarbejde overbevisende phishing-e-mails, der henvender sig til en person ved navn og refererer til deres agentur.
  • Køre voice phishing (vishing)-opkald ved at udgive sig for at være IT-support, en kollega eller en leverandør.
  • Sende SMS-lokkemad, der dirigerer modtagere til falske login-sider.
  • Efterligne insiderpersoner for at udtrække information fra kolleger, der stoler på et velkendt klingende navn.

For ansatte i et sikkerhedsfokuseret agentur er risikoen, at angribere ved præcis, hvem der arbejder der, og hvordan de kan nås. Selv et lille antal vellykkede beskeder kan give en angriber et fodfæste. Risikoen er heller ikke begrænset til disse ansatte. Familiemedlemmer, entreprenører og alle, der kommunikerer med DHS-personale, kan modtage beskeder, der ser ud til at komme fra en betroet kilde.

Lækager med kun kontaktoplysninger har også en tendens til at blive genbrugt. Lister over verificerede e-mails og telefonnumre kan kombineres med data fra andre hændelser. Vores dækning af LimeLeads-eksponeringen af 49,4 mio. forretningskontakter viser, hvordan kontaktdatabaser kan cirkulere og blive brugt længe efter den oprindelige hændelse.

Hvad det betyder for dig

Du arbejder måske ikke for DHS, men læringspunkterne gælder for alle. De fleste af os har vores navne, e-mails og telefonnumre liggende i mange databaser: arbejdsgivere, forhandlere, datamæglere og statslige organer. Når en af dem bliver kompromitteret, bruges den samme phishing-playbook mod almindelige mennesker.

Hvis du er DHS-ansat eller arbejder sammen med en, så forvent flere uopfordrede beskeder end sædvanligt, og behandl uventede anmodninger med mistanke, selv hvis de bruger dit navn eller nævner din arbejdsplads. Hvis du ikke er, så brug dette som en anledning til at gennemgå, hvor meget af dine egne kontaktoplysninger der er offentligt tilgængelige, og hvem der kan nå dig.

Sådan reducerer du din egen eksponering af personlige data

Du kan ikke kontrollere, om en organisation bliver kompromitteret, men du kan begrænse skaden. Praktiske skridt omfatter:

  1. Brug unikke e-mail-aliaser til forskellige tjenester, så en lækage ét sted ikke linker til alt andet.
  2. Hold et separat telefonnummer til tilmeldinger og offentlige opslag i stedet for dit primære mobilnummer.
  3. Aktivér multifaktor-godkendelse, ideelt set med en autentificeringsapp eller hardwarenøgle frem for SMS.
  4. Verificér, før du stoler på. Hvis et opkald, en tekstbesked eller en e-mail beder om legitimationsoplysninger eller kræver øjeblikkelig handling, så kontakt organisationen gennem en kanal, du allerede ved er ægte.
  5. Klik ikke på links i uventede beskeder. Navigér direkte til webstedet i stedet.
  6. Tjek værktøjer til underretning om brud for at se, hvilke af dine adresser der er dukket op i kendte lækager, og skift adgangskoder i overensstemmelse hermed.
  7. Anmod om fjernelse fra datamæglerwebsteder, hvor dine oplysninger er angivet.

Pointen er ikke at eliminere eksponering, hvilket er urealistisk, men at gøre hver lækket detalje mindre nyttig for en angriber.

Konklusionen

Den rapporterede DHS-datalækage af ansattes kontaktoplysninger kan se beskeden ud ved siden af lækager, der inkluderer adgangskoder eller finansielle oplysninger, men kontaktdata er netop det, der får phishing og social engineering til at fungere. Med tre statslige lækager rapporteret på en måned er det nu et fornuftigt tidspunkt at revidere, hvor dine egne kontaktoplysninger er eksponeret, og skærpe dine vaner. For bredere kontekst om mønsteret, læs vores dækning af FBI's ansattes databrud og ANTS-identitetsregister-hacket, og brug derefter et par minutter på at sikre dine egne konti.