USA's forsvarsministerium har underrettet millioner af nuværende og tidligere amerikanske militærpersoner om, at deres personoplysninger blev stjålet i et brud, der varede i månedsvis. For alle, der har tjent, eller som er forbundet med nogen, der har, er det praktiske spørgsmål enkelt: hvad bør du gøre ved det? Denne guide dækker, hvad der er kendt, og de beskyttelsestrin mod brud på militært personoplysninger, der gør en reel forskel.

Hvad vi ved om DoD-bruddet

Ifølge TechCrunchs rapportering sendte USA's forsvarsministerium meddelelser til millioner af nuværende og tidligere tjenestemedlemmer, efter at have fastslået, at deres personoplysninger var blevet taget over en periode på månedsvis. Meddelelserne er den primære måde, berørte personer erfår, at deres data var involveret.

Dækning fra andre medier udfylder noget kontekst, selvom tal varierer. Federal News Network og ABC News beskriver et brud på Defense Manpower Data Centers informationssystem, der påvirker mere end 3 millioner mennesker med tilknytning til militæret. CNN rapporterer, at Pentagon bekræftede, at bruddet påvirker 2,76 millioner "levende individer", en kategori der kan omfatte nuværende og tidligere personel. Forskellen mellem disse tal afspejler sandsynligvis forskellige opgørelsesmetoder, så betragt det præcise totaltal som uafklaret, indtil USA's forsvarsministerium offentliggør flere detaljer.

Military Times rapporterede om et underretningsbrev om brud, der advarede om, at uautoriserede brugere fik adgang til filer indeholdende personoplysninger. Security Magazine beskriver hændelsen som et brud på et HR-system i Pentagon. Præcis hvilke datapunkter der blev eksponeret, kan variere fra person til person, hvorfor det er vigtigere at læse dit eget brev end at stole på generelle resuméer.

Hvorfor månedsvis opholdstid øger risikoen for identitetstyveri

Det ord, der skiller sig ud i denne historie, er "månedsvis". Når angribere har adgang til et system i en længere periode, har de mere tid til at finde, kopiere og organisere optegnelser. Når organisationen opdager indtrængen og sender meddelelser, kan dataene allerede være kopieret, sorteret og muligvis delt eller solgt.

Den tidslinje har to konsekvenser for ofre:

  • Uret startede, før du blev informeret. Dine oplysninger kan have været i andres hænder i uger eller måneder, før du modtog et brev.
  • Risikoen udløber ikke. Stjålne personoplysninger som navne, fødselsdatoer og identifikationsnumre ændrer sig ikke let. Kriminelle kan holde på dem og bruge dem senere, længe efter nyhedscyklussen er videre.

Det er også derfor, underretninger om brud bør behandles som starten på en lang overvågningsperiode, ikke en enkeltstående begivenhed. Identitetssvindel knyttet til gamle lækager kan dukke op et år eller mere senere som et nyt kreditkort, en skatteangivelse eller et ydelseskrav i dit navn.

Datatyveri i stor skala tiltrækker også mere opmærksomhed fra lovgivere. Vores tidligere dækning af, hvordan ShinyHunters Canvas-bruddet vakte kongresmæssig granskning, viser et lignende mønster: når et brud når millioner af mennesker, har det en tendens til at blive et spørgsmål om regeringsansvar.

Trin berørt personel bør tage nu

Du kan ikke gøre et brud ugjort, men du kan gøre stjålne data meget sværere at bruge. Start med disse trin:

  1. Læs din underretning omhyggeligt. Bemærk, hvilke data der blev eksponeret, og om brevet tilbyder kredithåndtering eller identitetsbeskyttelsestjenester. Brug officielle kanaler angivet i brevet, og vær på vagt over for uopfordrede opkald, sms'er eller e-mails, der hævder at handle om bruddet. Svindlere udnytter ofte nyheden.
  2. Spær dine kreditoplysninger. En spærring hos hvert større kreditbureau blokerer de fleste nye konti i dit navn. Det er generelt gratis og kan ophæves midlertidigt, når du skal ansøge om kredit.
  3. Nulstil og styrk adgangskoder. Selv hvis bruddet ikke omfattede adgangskoder, skal du ændre dem for finansielle, e-mail- og regeringsrelaterede konti. Brug en unik adgangskode til hver og en adgangskodeadministrator til at holde styr på dem.
  4. Aktivér multifaktor-godkendelse. En autentificeringsapp eller hardwarenøgle er stærkere end SMS-koder, hvor det er tilgængeligt.
  5. Overvåg dine konti og rapporter. Gennemgå bank- og kortudtog regelmæssigt, og tjek dine kreditrapporter for konti, du ikke genkender.
  6. Vær opmærksom på målrettet phishing. Angribere, der kender din tjenestehistorik eller personlige oplysninger, kan skrive overbevisende beskeder. Bekræft anmodninger gennem en separat, betroet kanal, før du klikker eller svarer.

Hvad en VPN kan og ikke kan gøre efter et databrud

Det er værd at være direkte her: en VPN beskytter dig ikke mod et brud som dette. En VPN krypterer trafikken mellem din enhed og internettet, hvilket kan hjælpe på offentligt Wi-Fi og begrænse, hvad din netværksudbyder ser. Det har ingen effekt på data, der allerede er lagret af en organisation, såsom en regeringsdatabase over personel. Hvis angribere kopierede optegnelser fra et system, kunne intet på din side have forhindret det, og intet, en VPN gør, vil hente det tilbage.

Hvor en VPN stadig kan have en beskeden rolle, er i generel hygiejne: at reducere eksponering på ikke-betroede netværk, mens du tjekker konti eller spærrer din kredit. Det er et lag blandt mange, ikke en løsning på et brud.

Hvad dette betyder for dig

Hvis du modtog en meddelelse, tag den alvorligt og handl på den snart, men gå ikke i panik. De mest effektive værktøjer er de uglamourøse: en kreditspærring, unikke adgangskoder, multifaktor-godkendelse og løbende overvågning. Hvis du ikke modtog en meddelelse, men har tilknytning til militæret, såsom at være familiemedlem eller tidligere tjenestemedlem, er det rimeligt at holde øje med officielle meddelelser og tjekke, om du er omfattet.

For alle andre er lektionen, at dine data ofte ligger i systemer, du ikke kontrollerer. Du kan ikke fuldt ud forhindre brud, men du kan begrænse skaden ved at sikre, at én lækket detalje ikke låser op for alt andet.

Vigtige pointer

  • Tjek din underretning om brud, og brug kun officielle kanaler til at svare.
  • Spær din kredit, og opsæt multifaktor-godkendelse.
  • Nulstil adgangskoder, og brug en forskellig for hver konto.
  • Forvent phishing-forsøg, der bruger rigtige personoplysninger.
  • Fortsæt overvågningen i måneder og år, da stjålne data kan bruges længe efter et brud.

Stærk beskyttelse mod brud på militært personoplysninger handler om at handle tidligt og forblive årvågen over tid. For et andet eksempel på datatyveri i stor skala, der udløser regeringsmæssig granskning, læs vores dækning af ShinyHunters Canvas-bruddet.