Det Schweiziske Ishockeyforbund har bekræftet en datalækage, efter personlige oplysninger tilknyttet mere end 100.000 personer med tilknytning til sporten er blevet kompromitteret og lagt ud på et onlineforum. Den schweiziske ishockey-datalækage er en påmindelse om, at sportsorganisationer i det stille ligger inde med store mængder personlige oplysninger, og at personerne i disse databaser ofte har ringe indflydelse på, hvor godt oplysningerne beskyttes.

Kilderapporten er kort, og flere detaljer er ikke blevet offentliggjort. Denne artikel holder sig til det bekræftede og fokuserer på, hvad berørte personer fornuftigt kan gøre nu.

Hvad Det Schweiziske Ishockeyforbund har bekræftet

Ifølge rapporten blev personlige oplysninger tilhørende mere end 100.000 personer med tilknytning til schweizisk ishockey kompromitteret af hackere og derefter lagt ud på et onlineforum. Forbundet har offentligt anerkendt hændelsen.

Den tilgængelige rapportering angiver ikke, hvordan angriberne kom ind, hvornår indtrængningen fandt sted, eller om der blev krævet løsepenge. Den siger heller ikke, om oplysningerne udbydes til salg eller deles frit. Indtil forbundet offentliggør mere information, forbliver disse spørgsmål åbne, og læsere bør være på vagt over for påstande om angrebet, der ikke kan spores tilbage til en officiel udtalelse.

Hvem er berørt, og hvilke oplysninger kan være eksponeret

Udtrykket "personer med tilknytning til schweizisk ishockey" er bredt. Et nationalt forbund har typisk med spillere, trænere, dommere, klubfunktionærer, frivillige og nogle gange fans eller billetkøbere at gøre. Alle i disse grupper kan være blandt de 100.000 personer, der tælles med.

De præcise kategorier af eksponerede oplysninger er ikke specificeret i kildeartiklen. Generelt kan sportsforbund have navne, kontaktoplysninger, fødselsdatoer og licens- eller registreringsoplysninger. Fordi detaljerne er ubekræftede, er den sikreste tilgang at antage, at grundlæggende identitets- og kontaktoplysninger kan være i det lækkede datasæt, og at vente på, at forbundet siger mere.

Det er også derfor, hændelsen er vigtig ud over én sport. Registreringssystemer for ligaer og klubber indsamler ofte en masse oplysninger gennem mange år, herunder fra unge atleter og deres forældre. Et enkelt kompromitteret system kan eksponere personer, der ikke har været aktive i sporten i lang tid. For bredere kontekst om, hvordan angribere målretter sig mod sportsarenaer og organisationer, se vores dækning af ransomware-angrebet på Thialf-ishockeystadion.

Hvordan lækkede data nærer phishing og credential stuffing

Når først personlige oplysninger lander på et forum, bliver de sjældent på ét sted. Andre kriminelle kan kopiere, omPakke og genbruge dem. To risici skiller sig ud for personer i en lækage som denne.

Målrettet phishing. Hvis en angriber kender dit navn, din e-mailadresse og ved, at du er tilknyttet schweizisk ishockey, kan de skrive en besked, der virker troværdig. Den kan udgive sig for at være fra din klub, forbundet, en billetteneste eller en "sikkerhedsmeddelelse" om selve lækagen. Disse beskeder presser dig typisk til at klikke på et link, åbne en vedhæftet fil eller indtaste en adgangskode.

Credential stuffing. Hvis de lækkede oplysninger indeholder e-mailadresser, kan angribere forsøge sig med dem sammen med almindeligt anvendte adgangskoder eller adgangskoder, der er eksponeret i tidligere lækager, på tværs af andre tjenester såsom e-mail, bank og sociale medier. Dette virker kun, når folk genbruger den samme adgangskode på mere end ét sted. Det er automatiseret og billigt, hvilket er grunden til, at det er så almindeligt.

Ingen af angrebene kræver, at den kriminelle hacker dig direkte. De afhænger af, at du reagerer hurtigt eller genbruger en adgangskode, og begge er ting, du kan kontrollere.

Hvad dette betyder for dig

Hvis du nogensinde har spillet, trænet, dømt, været frivillig eller registreret hos en schweizisk ishockeyklub eller forbundet, bør du betragte dig selv som potentielt berørt, selv om du ikke har modtaget en underretning. Forældre til ungdomsspillere bør gøre det samme på deres børns vegne.

Den praktiske risiko er ikke en dramatisk overtagelse af dit liv. Det er en stigning i overbevisende svindelbeskeder og i automatiserede forsøg på at logge ind på dine konti. Nogle få skridt nu fjerner det meste af den risiko.

Skridt berørte personer bør tage nu

  • Skift genbrugte adgangskoder. Hvis du bruger den samme adgangskode til din sportskonto og alt andet, skal du ændre de andre først, begyndende med e-mail. Brug en unik adgangskode til hver tjeneste, ideelt set gemt i en adgangskodeadministrator.
  • Slå multifaktor-godkendelse til. En autentificeringsapp eller hardwarenøgle på din e-mail, bank og sociale konti betyder, at en stjålet adgangskode alene ikke er nok.
  • Behandl uventede beskeder med mistanke. Vær forsigtig med e-mails, sms'er eller opkald, der nævner lækagen, din klub eller forbundet. Klik ikke på links i dem. Gå direkte til det officielle websted, eller kontakt organisationen via oplysninger, du allerede stoler på.
  • Hold øje med usædvanlig aktivitet. Tjek loginadvarsler og seneste aktivitet på dine vigtigste konti, og gennemgå kontoudtog for noget ukendt.
  • Hold øje med officielle opdateringer. Følg forbundets egne kommunikationer for detaljer om, hvilke oplysninger der blev eksponeret, og hvad det anbefaler.
  • Beskyt mindreåriges konti. Hvis et barn er registreret hos en klub, skal du anvende de samme skridt på deres e-mail og eventuelle tilknyttede konti.

Væsentlige pointer

Den schweiziske ishockey-datalækage viser, hvor mange personlige oplysninger sportsorganisationer indsamler, og hvor hurtigt de kan ende i de forkerte hænder. Mange detaljer er stadig ubekræftede, så undgå spekulation og stol på officielle opdateringer. I mellemtiden skal du ændre eventuelle genbrugte adgangskoder, aktivere multifaktor-godkendelse og behandle uventede beskeder med mistanke. For et bredere blik på truslen mod sektoren, læs vores rapport om ransomware-angrebet på Thialf-ishockeystadion.