Η Ιαπωνία αντιμετωπίζει νέες ανησυχίες σχετικά με προσωπικά δεδομένα μετά από αναφορές ότι 1,67 εκατομμύρια διευθύνσεις email της JR East μπορεί να έχουν εκτεθεί. Ο κίνδυνος phishing από τη διαρροή email της JR East είναι το πρακτικό ερώτημα για οποιονδήποτε έχει λογαριασμό συνδεδεμένο με τον σιδηροδρομικό φορέα: τι μπορεί να κάνει κάποιος με μια λίστα διευθύνσεων email και πώς μειώνετε τον κίνδυνο; Εν τω μεταξύ, η Ιαπωνία έχει προτρέψει τις τράπεζες να υιοθετήσουν διαβατήρια με τσιπ και κάρτες MyNumber για την ταυτοποίηση πελατών, μετά από αυτό που η πηγή περιγράφει ως κύμα κυβερνοεπιθέσεων που εγείρει ανησυχίες για εκατομμύρια προσωπικά αρχεία.

Αυτό το άρθρο εξηγεί τι είναι γνωστό, τι καθιστά δυνατό μια διερρηγμένη λίστα email και τι μπορείτε να κάνετε τώρα.

Τι Γνωρίζουμε για την Έκθεση Email της JR East

Η βασική λεπτομέρεια από το ρεπορτάζ είναι περιορισμένη αλλά σαφής: 1,67 εκατομμύρια διευθύνσεις email της JR East μπορεί να έχουν εκτεθεί. Η λέξη "μπορεί" έχει σημασία. Η πηγή δεν επιβεβαιώνει ότι κάθε διεύθυνση ανακτήθηκε, και αυτό το άρθρο δεν υπερβαίνει όσα έχουν αναφερθεί. Δεν μας έχουν δοθεί λεπτομέρειες για το πώς συνέβη η έκθεση ή τι άλλο, αν υπήρξε, εμπλέκεται, επομένως δεν θα κάνουμε εικασίες.

Το ίδιο ρεπορτάζ σημειώνει ότι η Ιαπωνία έχει προτρέψει τις τράπεζες να κινηθούν προς διαβατήρια με τσιπ και κάρτες MyNumber για την επαλήθευση πελατών, μετά από ένα κύμα κυβερνοεπιθέσεων που έχει εγείρει ανησυχίες για εκατομμύρια προσωπικά αρχεία.

Αν έχετε χρησιμοποιήσει ποτέ κάποια υπηρεσία της JR East με διεύθυνση email, είναι λογικό να αντιμετωπίζετε αυτή τη διεύθυνση ως δυνητικά εκτεθειμένη μέχρι η εταιρεία ή οι αρχές να πουν το αντίθετο.

Τι Επιτρέπει σε Επιτιθέμενους μια Διερρηγμένη Λίστα Email

Μια διεύθυνση email μπορεί να φαίνεται σαν πληροφορία χαμηλής αξίας, αλλά είναι το σημείο εκκίνησης για αρκετές κοινές επιθέσεις.

Phishing. Επιτιθέμενοι που γνωρίζουν ότι είστε συνδεδεμένοι με έναν σιδηροδρομικό φορέα μπορούν να γράψουν πειστικά μηνύματα: μια ψεύτικη επιστροφή χρημάτων για εισιτήριο, μια ύποπτη ειδοποίηση σύνδεσης ή ένα αίτημα επιβεβαίωσης στοιχείων λογαριασμού. Ο σύνδεσμος στο μήνυμα οδηγεί σε έναν ιστότοπο-παρωδία που έχει σχεδιαστεί για να συλλάβει τον κωδικό πρόσβασης ή τα στοιχεία πληρωμής σας.

Credential stuffing. Αν επαναχρησιμοποιείτε κωδικό πρόσβασης σε πολλές υπηρεσίες, οι επιτιθέμενοι μπορούν να πάρουν ζεύγη email και κωδικού πρόσβασης από οποιαδήποτε παλαιότερη παραβίαση και να τα δοκιμάσουν σε άλλους ιστότοπους, συμπεριλαμβανομένων τραπεζικών, αγορών και λογαριασμών email. Μια λίστα διευθύνσεων τους βοηθά να στοχεύουν άτομα σε κλίμακα.

Στοχευμένες απάτες. Το να γνωρίζουν τον οργανισμό με τον οποίο συνδέεται μια διεύθυνση επιτρέπει στους απατεώνες να προσαρμόζουν την προσέγγισή τους. Μηνύματα που αναφέρουν μια πραγματική εταιρεία φαίνονται πιο αξιόπιστα, ακόμη και όταν είναι δόλια.

Τίποτα από αυτά δεν απαιτεί μια εξελιγμένη επίθεση. Βασίζεται σε ανθρώπους που κάνουν κλικ γρήγορα ή επαναχρησιμοποιούν κωδικούς πρόσβασης, γι' αυτό οι βασικές συνήθειες είναι αποτελεσματικές άμυνες.

Γιατί η Ιαπωνία Προωθεί την Ταυτοποίηση με Τσιπ για τις Τράπεζες

Η ώθηση προς διαβατήρια με τσιπ και κάρτες MyNumber αφορά το να γίνουν οι έλεγχοι ταυτότητας πιο δύσκολο να πλαστογραφηθούν. Έγγραφα ή στοιχεία που μπορούν να αντιγραφούν, να φωτογραφηθούν ή να συναρμολογηθούν από διερρηγμένα αρχεία είναι ασθενέστερη απόδειξη από ένα διαπιστευτήριο με τσιπ που διαβάζεται ηλεκτρονικά.

Η λογική προκύπτει από το πρόβλημα email παραπάνω. Όταν προσωπικά δεδομένα κυκλοφορούν, οι απατεώνες μπορούν να υποδυθούν πραγματικά πρόσωπα σε τράπεζες και άλλες υπηρεσίες. Η ισχυρότερη επαλήθευση σε επίπεδο ιδρύματος στοχεύει να κλείσει αυτό το κενό. Δεν αφαιρεί την ανάγκη για τα άτομα να προστατεύουν τους δικούς τους λογαριασμούς, αλλά δείχνει ότι οι ρυθμιστικές αρχές αντιμετωπίζουν τα διερρηγμένα προσωπικά αρχεία ως σοβαρό, συνεχή κίνδυνο.

Για πλαίσιο σχετικά με το πώς έχουν εξελιχθεί άλλα ιαπωνικά περιστατικά, δείτε την κάλυψη του vpn.social για την παραβίαση της Times Car που επηρέασε 6,6 εκατομμύρια λογαριασμούς και την επιβεβαίωση ransomware της Keio.

Τι Σημαίνει Αυτό για Εσάς

Δεν μπορείτε να ελέγξετε αν ένας οργανισμός παραβιάζεται, αλλά μπορείτε να ελέγξετε πόση ζημιά προκαλεί μια διερρηγμένη διεύθυνση email.

  • Να είστε δύσπιστοι απέναντι σε μηνύματα που αναφέρουν τη JR East ή ταξίδια με τρένο. Μην κάνετε κλικ σε συνδέσμους σε μη αναμενόμενα email. Πηγαίνετε απευθείας στον επίσημο ιστότοπο ή την εφαρμογή.
  • Ποτέ μην κοινοποιείτε κωδικούς πρόσβασης, κωδικούς μίας χρήσης ή στοιχεία κάρτας μέσω email ή σε απάντηση μηνύματος.
  • Προσέξτε τον επείγοντα χαρακτήρα. Απειλές αναστολής λογαριασμού ή υποσχέσεις επιστροφής χρημάτων είναι κλασικές τακτικές phishing.
  • Χρησιμοποιήστε διαφορετικό κωδικό πρόσβασης για κάθε λογαριασμό. Αυτό εξουδετερώνει το credential stuffing. Ένας διαχειριστής κωδικών πρόσβασης το κάνει ρεαλιστικό.
  • Ενεργοποιήστε την επαλήθευση δύο παραγόντων, κατά προτίμηση με εφαρμογή authenticator ή κλειδί hardware αντί για SMS όπου είναι δυνατόν.
  • Ελέγξτε αν το email σας εμφανίζεται σε γνωστές παραβιάσεις χρησιμοποιώντας μια αξιόπιστη υπηρεσία ειδοποίησης παραβιάσεων και αλλάξτε κωδικούς πρόσβασης για τυχόν επηρεαζόμενους λογαριασμούς.

Ένα VPN δεν σταματά μια διερρηγμένη διεύθυνση από το να χρησιμοποιηθεί σε phishing, επομένως αντιμετωπίστε το ως ένα εργαλείο ιδιωτικότητας μεταξύ πολλών και όχι ως λύση για αυτό το πρόβλημα.

Βασικά Συμπεράσματα

Ο κίνδυνος phishing από τη διαρροή email της JR East είναι διαχειρίσιμος με μερικές συνήθειες. Υποθέστε ότι η διεύθυνση μπορεί να έχει εκτεθεί, να είστε προσεκτικοί με οποιοδήποτε μη αναμενόμενο μήνυμα και βεβαιωθείτε ότι κανένας δύο λογαριασμοί δεν μοιράζονται κωδικό πρόσβασης. Ενεργοποιήστε την επαλήθευση δύο παραγόντων στο email, τις τραπεζικές υπηρεσίες και οποιονδήποτε λογαριασμό περιέχει στοιχεία πληρωμής. Στη συνέχεια, ελέγξτε αν η διεύθυνσή σας εμφανίζεται σε γνωστές παραβιάσεις.

Για να δείτε πώς τα πρόσφατα περιστατικά της Ιαπωνίας εντάσσονται σε ένα ευρύτερο μοτίβο, διαβάστε την αναφορά του vpn.social για τα περιστατικά Times Car και Keio, και αφιερώστε λίγα λεπτά σήμερα για να θωρακίσετε τους λογαριασμούς που έχουν τη μεγαλύτερη σημασία.