Απαίτηση 3,3 εκατομμυρίων δολαρίων και διαρροή 50GB

Το σίριαλ της παραβίασης δεδομένων της Carhartt πήρε άλλη τροπή αυτόν τον μήνα, αφού ερευνητές ασφαλείας διαπίστωσαν ότι σημαντικό μέρος των διαρρευσάντων δεδομένων ήταν συνθετικό και όχι γνήσιες πληροφορίες πελατών. Η ομάδα εκβιασμού ShinyHunters ισχυρίστηκε ότι διέρρευσε 50GB δεδομένων της Carhartt στις 13 Αυγούστου, μετά από αποτυχημένες διαπραγματεύσεις έπειτα από αρχική απαίτηση λύτρων ύψους 3,3 εκατομμυρίων δολαρίων. Όταν η Carhartt φέρεται να αρνήθηκε να πληρώσει, η ομάδα δημοσίευσε το σύνολο δεδομένων δημόσια, παρουσιάζοντάς το ως απόδειξη μαζικής παραβίασης.

Εκ πρώτης όψεως, η διαρροή φαινόταν τεράστια. Αλλά όπως συμβαίνει με πολλούς ισχυρισμούς παραβίασης που οδηγούνται από εκβιασμό, το μέγεθος του αρχείου και ο αριθμός εγγραφών έλεγαν μόνο μέρος της ιστορίας. Μια πιο προσεκτική τεχνική ανασκόπηση διαπίστωσε ότι τα δεδομένα περιλάμβαναν πλασματικές ή διπλότυπες εγγραφές, πράγμα που σημαίνει ότι το πραγματικό εύρος των εκτεθειμένων προσωπικών πληροφοριών ήταν σημαντικά μικρότερο από ό,τι διαφήμιζε η ShinyHunters.

Πώς οι Αναλυτές Αποκάλυψαν τους Διογκωμένους Αριθμούς

Αυτό το μοτίβο δεν είναι νέο. Όπως καλύψαμε στην προηγούμενη αναφορά μας για τους ισχυρισμούς παραβίασης της Carhartt που μειώθηκαν στο μισό μετά από έλεγχο του Troy Hunt, η ανεξάρτητη επαλήθευση είναι συχνά ο μόνος τρόπος να διαχωριστεί μια νόμιμη παραβίαση από μια διογκωμένη τακτική εκβιασμού. Οι ερευνητές που εξέτασαν τα διαρρεύσαντα αρχεία τα έβαλαν μέσα από εργαλεία αφαίρεσης διπλοτύπων και επικύρωσης σχεδιασμένα να επισημαίνουν πλαστές ή αυτόματα δημιουργημένες εγγραφές, όπως παράλογους τομείς email, επαναλαμβανόμενα μοτίβα διευθύνσεων ή εγγραφές που δεν αντιστοιχούν σε κανέναν πραγματικό λογαριασμό.

Το αποτέλεσμα ήταν μια σημαντική μείωση στον επιβεβαιωμένο αριθμό των επηρεαζόμενων ατόμων μόλις αφαιρέθηκαν οι συνθετικές και διπλότυπες εγγραφές. Αυτό δεν σημαίνει ότι δεν εκτέθηκε πραγματικό δεδομένο. Σημαίνει ότι ο πραγματικός αριθμός των επηρεαζόμενων πελατών ήταν πολύ μικρότερος από το νούμερο-τίτλο που χρησιμοποίησε η ShinyHunters για να ασκήσει πίεση στην Carhartt και να προκαλέσει την προσοχή των μέσων ενημέρωσης.

Αυτή η τακτική εξυπηρετεί διπλό σκοπό για τους κακόβουλους παράγοντες. Ένα μεγαλύτερο, πιο ανησυχητικό μέγεθος αρχείου κάνει την απειλή εκβιασμού να φαίνεται πιο αξιόπιστη και ζημιογόνα, αυξάνοντας την πίεση στην εταιρεία-θύμα να πληρώσει. Επίσης, δημιουργεί υπερβολική κάλυψη από τον Τύπο, την οποία οι ομάδες εκβιασμού χρησιμοποιούν συχνά ως μοχλό πίεσης σε μελλοντικές διαπραγματεύσεις με άλλους στόχους. Το να γεμίσουν μια διαρροή με συνθετικά δεδομένα κοστίζει στον επιτιθέμενο ελάχιστα, αλλά μπορεί να αλλάξει δραματικά την αντίληψη του κοινού για τη σοβαρότητα ενός περιστατικού.

Γιατί Αυτό Έχει Σημασία για την Ιδιωτικότητα, όχι Μόνο για τους Τίτλους

Οι επιπτώσεις στην ιδιωτικότητα εδώ είναι πιο διακριτικές από ό,τι σε μια τυπική ιστορία παραβίασης. Όταν οι ισχυρισμοί παραβίασης είναι διογκωμένοι, συμβαίνουν δύο πράγματα ταυτόχρονα. Πρώτον, το κοινό και ακόμη και οι επαγγελματίες ασφαλείας μπορούν να υπερεκτιμήσουν πόσα γνήσια προσωπικά δεδομένα κυκλοφορούν, οδηγώντας σε περιττό πανικό ή λανθασμένες προσπάθειες αντιμετώπισης. Δεύτερον, και πιο σημαντικό, μπορεί να κάνει τα πραγματικά θύματα, τους ανθρώπους των οποίων τα δεδομένα όντως συμπεριλήφθηκαν και επαληθεύτηκαν, να χαθούν μέσα στον θόρυβο μιας ιστορίας που κυριαρχείται από υπερβολικούς αριθμούς.

Για μια εταιρεία όπως η Carhartt, το περιστατικό καταδεικνύει επίσης τον κίνδυνο φήμης που συνοδεύει οποιαδήποτε απόπειρα εκβιασμού, ανεξάρτητα από το πόσα από τα ισχυριζόμενα δεδομένα αποδεικνύονται αυθεντικά. Μόλις μια ομάδα απειλών ανακοινώσει παραβίαση και ένα ποσό λύτρων, η ιστορία διαδίδεται γρήγορα, και η διόρθωση του ρεκόρ αργότερα σπάνια λαμβάνει το ίδιο επίπεδο προσοχής με τον αρχικό ισχυρισμό.

Τι Σημαίνει Αυτό για Εσάς

Αν είστε πελάτης ή υπάλληλος της Carhartt και αναρωτιέστε αν οι πληροφορίες σας ήταν μέρος αυτής της παραβίασης, η ασφαλέστερη προσέγγιση είναι να αντιμετωπίσετε οποιαδήποτε έκθεση ως πιθανή και όχι ως επιβεβαιωμένη, χωρίς να υποθέτετε τα χειρότερα σενάρια που αναφέρθηκαν στο αποκορύφωμα της απόπειρας εκβιασμού. Γνήσιες εγγραφές φέρεται να συμπεριλήφθηκαν στη διαρροή μαζί με πλαστές, οπότε η επαλήθευση έχει μεγαλύτερη σημασία από το συνολικό μέγεθος αρχείου ή τον αριθμό εγγραφών που δημοσιοποίησε η ShinyHunters.

Ευρύτερα, αυτό το περιστατικό είναι μια υπενθύμιση ότι οι ισχυρισμοί παραβίασης από ομάδες εκβιασμού πρέπει πάντα να αντιμετωπίζονται ως μη επαληθευμένοι έως ότου ανεξάρτητοι αναλυτές ή η επηρεαζόμενη εταιρεία επιβεβαιώσουν τις λεπτομέρειες. Οι απαιτήσεις λύτρων και οι δραματικές ανακοινώσεις διαρροής είναι, εν μέρει, τακτική πίεσης, και οι αριθμοί που συνοδεύουν δεν είναι πάντα αξιόπιστοι.

Πρακτικά Συμπεράσματα

  • Μην πανικοβάλλεστε βασιζόμενοι αποκλειστικά στα νούμερα-τίτλους των παραβιάσεων· περιμένετε για επαληθευμένη ανάλυση προτού υποθέσετε ότι τα δεδομένα σας εκτέθηκαν.
  • Αν έχετε λογαριασμό στην Carhartt, σκεφτείτε να αλλάξετε τον κωδικό σας και να ενεργοποιήσετε τον έλεγχο ταυτότητας δύο παραγόντων όπου είναι διαθέσιμος.
  • Προσέξτε για απόπειρες phishing που αναφέρονται στην παραβίαση, καθώς οι επιτιθέμενοι συχνά εκμεταλλεύονται τα δημόσια νέα παραβίασης για να εξαπατήσουν τα θύματα να αποκαλύψουν περισσότερες πληροφορίες.
  • Χρησιμοποιήστε διαχειριστή κωδικών για να αποφύγετε την επαναχρησιμοποίηση διαπιστευτηρίων σε ιστότοπους, περιορίζοντας τη ζημιά αν κάποιος λογαριασμός παραβιαστεί.
  • Παραμείνετε δύσπιστοι απέναντι σε ισχυρισμούς ομάδων εκβιασμού έως ότου επιβεβαιωθούν από ανεξάρτητους ερευνητές, καθώς οι διογκωμένοι αριθμοί είναι γνωστή διαπραγματευτική τακτική.

FAQ (μετάφραση κάθε ερώτησης και απάντησης): Q1: Ήταν όλα τα διαρρεύσαντα δεδομένα της Carhartt γνήσιες πληροφορίες πελατών; A1: Όχι, ένα σημαντικό μέρος ήταν συνθετικό, συμπεριλαμβανομένων πλασματικών ή διπλότυπων εγγραφών, επομένως το πραγματικό εύρος ήταν σημαντικά μικρότερο από ό,τι ισχυρίστηκαν. Q2: Πώς διαπίστωσαν οι ερευνητές ότι τα διαρρεύσαντα δεδομένα ήταν διογκωμένα; A2: Έβαλαν τα αρχεία μέσα από εργαλεία αφαίρεσης διπλοτύπων και επικύρωσης που επισήμαναν πλαστές ή αυτόματα δημιουργημένες εγγραφές, όπως παράλογους τομείς email, επαναλαμβανόμενα μοτίβα διευθύνσεων και εγγραφές που δεν συνδέονται με πραγματικούς λογαριασμούς. Q3: Ποια ήταν η αρχική απαίτηση λύτρων της ShinyHunters; A3: Η ομάδα εκβιασμού απαίτησε αρχικά 3,3 εκατομμύρια δολάρια από την Carhartt. Q4: Γιατί οι επιτιθέμενοι γεμίζουν τα διαρρέοντα δεδομένα με συνθετικές εγγραφές; A4: Ένα μεγαλύτερο μέγεθος αρχείου κάνει την απειλή εκβιασμού να φαίνεται πιο αξιόπιστη και ζημιογόνα, αυξάνει την πίεση στο θύμα να πληρώσει και δημιουργεί προσοχή από τα μέσα ενημέρωσης που μπορεί να χρησιμοποιηθεί ως μοχλός σε μελλοντικές διαπραγματεύσεις. Q5: Ποιο είναι το μειονέκτημα των διογκωμένων ισχυρισμών παραβίασης για τα πραγματικά θύματα; A5: Τα πραγματικά θύματα μπορεί να χαθούν μέσα στον θόρυβο των υπερβολικών αριθμών, ενώ το κοινό και οι επαγγελματίες ασφαλείας μπορεί να υπερεκτιμήσουν πόσα γνήσια δεδομένα κυκλοφορούν και να αντιδράσουν ακατάλληλα.

---END---