Μια αναφερόμενη διαρροή στο Υπουργείο Εσωτερικής Ασφάλειας (DHS) έθεσε σε κυκλοφορία τα ονόματα, τους αριθμούς τηλεφώνου και τις διευθύνσεις email περισσότερων από 40.000 εργαζομένων. Η παραβίαση δεδομένων του DHS με στοιχεία επικοινωνίας εργαζομένων είναι, σύμφωνα με το ρεπορτάζ του VOZ, η τρίτη διαρροή κυβερνητικών δεδομένων που γίνεται πρωτοσέλιδο τον τελευταίο μήνα. Το άρθρο πηγής είναι φτωχό σε τεχνικές λεπτομέρειες, οπότε αυτό το κείμενο περιορίζεται σε ό,τι έχει αναφερθεί και εξηγεί γιατί αυτού του είδους τα δεδομένα έχουν σημασία, ακόμη και όταν φαίνονται ακίνδυνα.
Τι Εκτέθηκε στη Διαρροή του DHS
Με βάση το ρεπορτάζ, οι πληροφορίες που εκτέθηκαν αφορούν περισσότερους από 40.000 εργαζομένους του DHS και περιορίζονται σε τρεις τύπους δεδομένων: ονόματα, αριθμούς τηλεφώνου και διευθύνσεις email. Το ρεπορτάζ δεν περιγράφει, στο υλικό που έχουμε στη διάθεσή μας, πώς αποκτήθηκαν τα δεδομένα, ποιος βρισκόταν πίσω από αυτό, πότε συνέβη, ή αν εμπλέκονταν άλλες κατηγορίες όπως αριθμοί κοινωνικής ασφάλισης ή οικονομικά αρχεία. Δεν θα κάνουμε εικασίες για αυτές τις λεπτομέρειες.
Αυτό το κενό αξίζει να σημειωθεί. Τα πρώιμα ρεπορτάζ για παραβιάσεις είναι συχνά ελλιπή, και το εύρος μπορεί να αλλάξει καθώς οι υπηρεσίες ερευνούν. Θεωρήστε τον τρέχοντα αριθμό ως το αναφερόμενο βασικό μέγεθος και όχι ως τελικό απολογισμό, και παρακολουθείτε για επίσημες δηλώσεις από το DHS.
Ένα Μοτίβο Κυβερνητικών Διαρροών Δεδομένων
Το περιστατικό του DHS δεν στέκεται μόνο του. Το ρεπορτάζ το παρουσιάζει ως την τρίτη διαρροή κυβερνητικών δεδομένων που γίνεται πρωτοσέλιδο σε έναν μόνο μήνα. Δύο άλλες πρόσφατες υποθέσεις που καλύφθηκαν στο vpn.social παρέχουν χρήσιμο πλαίσιο. Στη μία, το FBI δήλωσε ότι αντιμετωπίζει παραβίαση που αφορά ευαίσθητα δεδομένα των εργαζομένων του και δεσμεύτηκε να καταδιώξει όσους πιστεύει ότι ευθύνονται. Στην άλλη, οι γαλλικές αρχές συνέλαβαν έναν 15χρονο ύποπτο για hacking του ANTS, της υπηρεσίας που διαχειρίζεται έγγραφα ταυτότητας.
Αυτές οι υποθέσεις αφορούν διαφορετικές υπηρεσίες και χώρες, οπότε δεν πρέπει να υποθέσουμε ότι συνδέονται. Αυτό που μοιράζονται είναι ο στόχος: μεγάλες βάσεις δεδομένων του δημόσιου τομέα γεμάτες προσωπικές πληροφορίες για προσωπικό ή πολίτες. Οι κυβερνητικοί φορείς κατέχουν δεδομένα που είναι πολύτιμα για εγκληματίες και, σε ορισμένες περιπτώσεις, για εχθρικούς δρώντες, γεγονός που τους καθιστά διαρκείς στόχους.
Γιατί τα Στοιχεία Επικοινωνίας Τροφοδοτούν το Phishing και την Κοινωνική Μηχανική
Είναι δελεαστικό να υποβαθμίσουμε μια διαρροή ονομάτων, αριθμών τηλεφώνου και email ως ασήμαντη. Χωρίς κωδικούς πρόσβασης ή οικονομικά δεδομένα, ποια είναι η ζημιά; Η απάντηση είναι ότι τα δεδομένα επικοινωνίας αποτελούν την πρώτη ύλη για στοχευμένες επιθέσεις.
Με ένα επαληθευμένο όνομα, μια επαγγελματική διεύθυνση email και έναν αριθμό τηλεφώνου συνδεδεμένο με γνωστό εργοδότη, ένας επιτιθέμενος μπορεί:
- Να κατασκευάσει πειστικά emails phishing που απευθύνονται σε ένα άτομο με το όνομά του και αναφέρονται στην υπηρεσία του.
- Να πραγματοποιήσει κλήσεις φωνητικού phishing (vishing) υποδυόμενος την υποστήριξη IT, έναν συνάδελφο ή έναν προμηθευτή.
- Να στείλει δολώματα SMS που κατευθύνουν τους παραλήπτες σε ψεύτικες σελίδες σύνδεσης.
- Να υποδυθεί εσωτερικούς παράγοντες για να αποσπάσει πληροφορίες από συναδέλφους που εμπιστεύονται ένα όνομα που ακούγεται οικείο.
Για τους εργαζομένους μιας υπηρεσίας με επίκεντρο την ασφάλεια, ο κίνδυνος είναι ότι οι επιτιθέμενοι γνωρίζουν ακριβώς ποιος εργάζεται εκεί και πώς να τον προσεγγίσουν. Ακόμη και ένας μικρός αριθμός επιτυχημένων μηνυμάτων μπορεί να δώσει σε έναν επιτιθέμενο ένα πάτημα. Ο κίνδυνος δεν περιορίζεται σε αυτούς τους εργαζομένους. Μέλη οικογένειας, εργολάβοι και οποιοσδήποτε επικοινωνεί με το προσωπικό του DHS θα μπορούσε να λάβει μηνύματα που φαίνεται να προέρχονται από αξιόπιστη πηγή.
Οι διαρροές που αφορούν μόνο στοιχεία επικοινωνίας επίσης τείνουν να επαναχρησιμοποιούνται. Κατάλογοι επαληθευμένων email και αριθμών τηλεφώνου μπορούν να συνδυαστούν με δεδομένα από άλλα περιστατικά. Η κάλυψή μας για την έκθεση της LimeLeads με 49,4 εκατομμύρια επαγγελματικές επαφές δείχνει πώς οι βάσεις δεδομένων επαφών μπορούν να κυκλοφορούν και να αξιοποιούνται πολύ μετά το αρχικό περιστατικό.
Τι Σημαίνει Αυτό Για Εσάς
Μπορεί να μην εργάζεστε στο DHS, αλλά τα διδάγματα ισχύουν για όλους. Οι περισσότεροι από εμάς έχουμε τα ονόματα, τα email και τους αριθμούς τηλεφώνου μας σε πολλές βάσεις δεδομένων: εργοδότες, λιανοπωλητές, μεσίτες δεδομένων και κυβερνητικές υπηρεσίες. Όταν μία από αυτές παραβιαστεί, το ίδιο εγχειρίδιο phishing χρησιμοποιείται εναντίον απλών ανθρώπων.
Αν είστε εργαζόμενος του DHS ή συνεργάζεστε με έναν, περιμένετε περισσότερα ανεπιθύμητα μηνύματα από το συνηθισμένο και αντιμετωπίστε τις απρόσμενες αιτήσεις με καχυποψία, ακόμη και αν χρησιμοποιούν το όνομά σας ή αναφέρουν τον χώρο εργασίας σας. Αν δεν είστε, χρησιμοποιήστε το ως αφορμή για να εξετάσετε πόσες από τις δικές σας πληροφορίες επικοινωνίας είναι δημόσια διαθέσιμες και ποιος μπορεί να σας προσεγγίσει.
Πώς να Μειώσετε τη Δική Σας Έκθεση Προσωπικών Δεδομένων
Δεν μπορείτε να ελέγξετε αν ένας οργανισμός θα παραβιαστεί, αλλά μπορείτε να περιορίσετε τη ζημιά. Πρακτικά βήματα περιλαμβάνουν:
- Χρησιμοποιήστε μοναδικά ψευδώνυμα email για διαφορετικές υπηρεσίες, ώστε μια διαρροή σε ένα μέρος να μην συνδέεται με όλα τα άλλα.
- Διατηρήστε έναν ξεχωριστό αριθμό τηλεφώνου για εγγραφές και δημόσιες καταχωρίσεις, αντί για τον κύριο αριθμό του κινητού σας.
- Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων, ιδανικά με εφαρμογή ελέγχου ταυτότητας ή κλειδί υλικού αντί για SMS.
- Επαληθεύστε πριν εμπιστευτείτε. Αν μια κλήση, μήνυμα κειμένου ή email ζητά διαπιστευτήρια ή επείγουσα ενέργεια, επικοινωνήστε με τον οργανισμό μέσω ενός καναλιού που γνωρίζετε ήδη ότι είναι πραγματικό.
- Μην κάνετε κλικ σε συνδέσμους σε απρόσμενα μηνύματα. Μεταβείτε απευθείας στον ιστότοπο αντί αυτού.
- Ελέγξτε εργαλεία ειδοποίησης παραβιάσεων για να δείτε ποιες από τις διευθύνσεις σας έχουν εμφανιστεί σε γνωστές διαρροές, και αλλάξτε τους κωδικούς πρόσβασης αναλόγως.
- Ζητήστε αφαίρεση από ιστότοπους μεσιτών δεδομένων όπου αναφέρονται τα στοιχεία σας.
Το ζητούμενο δεν είναι να εξαλείψετε την έκθεση, κάτι που είναι μη ρεαλιστικό, αλλά να κάνετε κάθε διερρηγμένη λεπτομέρεια λιγότερο χρήσιμη για έναν επιτιθέμενο.
Το Συμπέρασμα
Η αναφερόμενη παραβίαση δεδομένων του DHS με στοιχεία επικοινωνίας εργαζομένων μπορεί να φαίνεται μέτρια σε σύγκριση με διαρροές που περιλαμβάνουν κωδικούς πρόσβασης ή οικονομικά αρχεία, αλλά τα δεδομένα επικοινωνίας είναι ακριβώς αυτό που κάνει το phishing και την κοινωνική μηχανική να λειτουργούν. Με τρεις κυβερνητικές διαρροές να αναφέρονται σε έναν μήνα, τώρα είναι μια λογική στιγμή να ελέγξετε πού εκτίθενται τα δικά σας στοιχεία επικοινωνίας και να σφίξετε τις συνήθειές σας. Για ευρύτερο πλαίσιο σχετικά με το μοτίβο, διαβάστε την κάλυψή μας για την παραβίαση δεδομένων εργαζομένων του FBI και το hack αρχείων ταυτότητας του ANTS, και στη συνέχεια αφιερώστε λίγα λεπτά για να ασφαλίσετε τους δικούς σας λογαριασμούς.
