Et databrud hos et advokatselskab, der eksponerer CPR-numre, rammer nu klienter hos flere store amerikanske selskaber. Ifølge rapportering fra Cybernews underrettede Holland & Knight 14 klienter efter et brud, da flere amerikanske advokatselskaber rapporterede hændelser, hvor CPR-numre blev eksponeret.
Kildesammendraget er kort, så dette indlæg holder sig til det, der er blevet rapporteret, og fokuserer på, hvad berørte personer kan gøre. Kernebudskabet er enkelt: advokatselskaber opbevarer følsomme personoplysninger, og når ét af dem udsættes for et brud, kan de personer, hvis data ligger i disse filer, blive berørt, selv om de aldrig har haft direkte kontakt med selskabet.
Hvad advokatselskabernes brud eksponerede
Den centrale bekymring i disse hændelser er eksponeringen af CPR-numre. I modsætning til en adgangskode kan et CPR-nummer ikke nemt ændres, og det er en nøgleoplysning, der bruges til at åbne konti, indsende skat og verificere identitet i USA. Det er derfor, det er så værdifuldt for kriminelle.
Advokatselskaber er et attraktivt mål, fordi de rutinemæssigt håndterer dokumenter med personlige identifikatorer. Klientfiler, ansættelsesregistre, dødsbosager og retssagsmateriale kan alle indeholde denne type oplysninger. Et enkelt kompromitteret selskab kan på én gang ligge inde med data om mange personer og organisationer.
Sammendraget beskriver ikke, hvordan angriberne kom ind, eller præcis hvilke andre datatyper der blev taget, så disse detaljer bør man ikke antage. Hvis du modtager en underretning, bør selve brevet beskrive, hvad der var involveret i din sag.
Hvilke selskaber har rapporteret hændelser
Det ene selskab, der nævnes i kildesammendraget, er Holland & Knight, som underrettede 14 klienter. Artiklen oplyser, at andre amerikanske advokatselskaber også rapporterede brud, der eksponerede CPR-numre, og opfordrer læserne til at se, hvilke selskaber der rapporterede hændelser. Det medfølgende sammendrag oplister ikke disse andre selskaber, så vi navngiver ingen ud over Holland & Knight.
Tallet 14 refererer til underrettede klienter, hvilket ikke nødvendigvis er det samme som det samlede antal personer, hvis data blev eksponeret. En enkelt klient, for eksempel en virksomhed, kan repræsentere mange personer, hvis oplysninger lå i filerne. Betragt tallet som et udgangspunkt snarere end et fuldt mål for omfanget.
Sådan tjekker du, om du har modtaget en brudunderretning
Underretninger om brud kan ankomme med posten, og svindlere ved det. Før du handler på en besked, skal du verificere den.
- Tjek afsenderen. Bekræft, at underretningen nævner et selskab eller en organisation, du har en reel forbindelse til, direkte eller indirekte, for eksempel via en arbejdsgiver, en retssag eller en virksomhed, du samarbejder med.
- Kontakt selskabet uafhængigt. Slå organisationens kontaktoplysninger op selv i stedet for at bruge telefonnumre eller links i underretningen.
- Vær på vagt over for hastværk. En legitim underretning forklarer, hvad der er sket, og hvad du kan gøre. Den kræver ikke betaling eller dit CPR-nummer for at "bekræfte" bruddet.
- Gennemgå eventuelle tilbudte tjenester. Underretninger nævner ofte kredittilsyn eller identitetsbeskyttelse. Tilmeld dig via officielle instruktioner, som du selv har verificeret, ikke via uopfordrede e-mails eller sms'er.
Hvis du ikke har modtaget en underretning, men tror, at dine data kan have været involveret, for eksempel fordi en advokat eller arbejdsgiver har håndteret dine oplysninger, kan du spørge den relevante organisation, om dine oplysninger var berørt.
Trin til at beskytte din identitet efter eksponering
Når et CPR-nummer er eksponeret, er målet at gøre det svært for nogen at bruge det. Overvej disse trin:
- Spær dine kreditoplysninger. En spærring hos kreditbureauerne blokerer de fleste nye konti i dit navn. Den er gratis og kan ophæves, når du skal ansøge om kredit.
- Overvåg dine konti. Gennemgå regelmæssigt aktiviteten på bank-, kort- og kreditrapporter for noget ukendt.
- Vær opmærksom på phishing. Angribere kan bruge stjålne oplysninger til at udforme overbevisende beskeder. Klik ikke på links, og del ikke oplysninger som svar på uventet kontakt.
- Sikr dine logins. Brug unikke adgangskoder og multifaktorgodkendelse, især på e-mail og finansielle konti.
- Gem underretningen. Gem brevet og eventuelle referencenumre, hvis du senere får brug for at bestride svindel.
Hvad det betyder for dig
Du behøver ikke være klient hos et advokatselskab for at blive berørt af et databrud hos et advokatselskab. Dit CPR-nummer kan ligge i filer, der opbevares på vegne af en arbejdsgiver, en virksomhed eller en anden part. Tag enhver underretning alvorligt, verificer den via uafhængige kanaler, og handl hurtigt på beskyttelsestrin.
En VPN beskytter ikke data, der allerede er lagret af en tredjepart, så de mest effektive reaktioner her er på konto-niveau: kreditspærringer, overvågning og forsigtig håndtering af uventede beskeder. Brud af denne type er heller ikke begrænset til den juridiske sektor. Datatyveri i stor skala har også ramt offentlige organer, som da iranske hackere ramte LA Metro og stjal 700 GB data.
Vigtige pointer
Det rapporterede databrud hos advokatselskabet, der eksponerer CPR-numre, er en påmindelse om, at følsomme data findes på mange steder, du måske ikke kontrollerer. Hvis du modtager en brudunderretning, skal du verificere den, spærre dine kreditoplysninger og overvåge dine konti nøje. At tage disse trin nu koster lidt og kan forhindre langt større problemer senere.
FAQ: Q1: Hvilket advokatselskab blev nævnt i brudunderretningen? A1: Holland & Knight er det ene selskab, der nævnes i kildesammendraget, og det underrettede 14 klienter. Artiklen oplyser, at andre amerikanske advokatselskaber også rapporterede brud, der eksponerede CPR-numre, men oplister dem ikke. Q2: Repræsenterer tallet 14 det samlede antal berørte personer? A2: Nej, 14 refererer til underrettede klienter, hvilket ikke nødvendigvis er det samme som det samlede antal personer, hvis data blev eksponeret. En enkelt klient, for eksempel en virksomhed, kan repræsentere mange personer, hvis oplysninger lå i filerne. Q3: Hvorfor er advokatselskaber mål for databrud? A3: Advokatselskaber håndterer rutinemæssigt dokumenter med personlige identifikatorer, og klientfiler, ansættelsesregistre, dødsbosager og retssagsmateriale kan alle indeholde denne type oplysninger. Et enkelt kompromitteret selskab kan på én gang ligge inde med data om mange personer og organisationer. Q4: Hvorfor er eksponerede CPR-numre så bekymrende? A4: I modsætning til en adgangskode kan et CPR-nummer ikke nemt ændres, og det er en nøgleoplysning, der bruges til at åbne konti, indsende skat og verificere identitet i USA. Det er derfor, det er så værdifuldt for kriminelle. Q5: Hvordan kan jeg verificere, at en brudunderretning, jeg har modtaget, er legitim? A5: Tjek, at afsenderen nævner et selskab eller en organisation, du har en reel forbindelse til, og kontakt selskabet uafhængigt ved hjælp af kontaktoplysninger, du selv slår op, i stedet for links eller numre i underretningen. Legitime underretninger forklarer, hvad der er sket, og hvad du kan gøre, og kræver ikke betaling eller dit CPR-nummer for at "bekræfte" bruddet. ---END---
