Μια διαρροή δεδομένων από ένα Telegram bot αναζήτησης προσώπων έχει θέσει τα προσωπικά στοιχεία Λευκορώσων που χρησιμοποίησαν μια κρατική υπηρεσία υποβολής αιτημάτων εντός της εμβέλειας οποιουδήποτε διαθέτει τηλέφωνο. Σύμφωνα με τη δημοσίευση Zerkalo, όπως αναφέρθηκε από τη Nasha Niva, δεδομένα ατόμων εγγεγραμμένων στην υπηρεσία Obrashcheniya.bel κατέστησαν διαθέσιμα μέσω του δημοφιλούς Telegram bot Sherlock, το οποίο χρησιμοποιείται για την αναζήτηση προσωπικών πληροφοριών.
Το κείμενο πηγής που έχουμε στη διάθεσή μας είναι σύντομο, επομένως αυτή η ανάρτηση περιορίζεται σε ό,τι έχει αναφερθεί και εξηγεί γιατί το μοτίβο έχει σημασία.
Τι διέρρευσε από το Obrashcheniya.bel
Το Obrashcheniya.bel είναι μια υπηρεσία για ηλεκτρονική αλληλεπίδραση με κρατικούς φορείς. Οι πολίτες τη χρησιμοποιούν για να υποβάλλουν αιτήματα σε κυβερνητικά ιδρύματα. Σύμφωνα με την αναφορά, προσωπικά δεδομένα ατόμων εγγεγραμμένων σε αυτή την υπηρεσία κατέστησαν προσβάσιμα μέσω του Sherlock.
Η αναφορά δεν διευκρινίζει, στο τμήμα που διαθέτουμε, ακριβώς ποια πεδία εκτέθηκαν, πώς τα δεδομένα διέφυγαν από την πλατφόρμα ή πόσοι λογαριασμοί επηρεάζονται. Δεν πρόκειται να κάνουμε εικασίες για αυτά τα σημεία. Αυτό που είναι σαφές είναι ότι εγγραφές συνδεδεμένες με μια κρατική πλατφόρμα κατέληξαν σε ένα εργαλείο που είναι ανοιχτό σε απλούς χρήστες του Telegram.
Αυτή η λεπτομέρεια είναι η καρδιά της ιστορίας. Μια κρατική υπηρεσία συλλέγει δεδομένα για έναν στενό σκοπό: τη διεκπεραίωση ενός αιτήματος. Μόλις οι ίδιες εγγραφές εμφανιστούν σε ένα γενικό εργαλείο αναζήτησης, εξυπηρετούν ένα πολύ ευρύτερο κοινό, και τα άτομα σε αυτές δεν έχουν λόγο για το ποιος τα αναζητά.
Πώς το bot Sherlock έκανε τα δεδομένα αναζητήσιμα
Τα bots αναζήτησης προσώπων στο Telegram λειτουργούν σαν μηχανή αναζήτησης για προσωπικά αρχεία. Ένας χρήστης πληκτρολογεί ένα όνομα, αριθμό τηλεφώνου ή άλλο αναγνωριστικό, και το bot επιστρέφει οποιαδήποτε αντιστοιχούσα πληροφορία έχουν συλλέξει οι χειριστές του. Τα δεδομένα προέρχονται συνήθως από πολλές πηγές, συμπεριλαμβανομένων διαρρευσών βάσεων δεδομένων, και συγχωνεύονται σε ένα βολικό ευρετήριο.
Αυτό είναι που κάνει μια διαρροή πιο επιζήμια με την πάροδο του χρόνου. Μια ακατέργαστη δημοσίευση δεδομένων είναι δύσκολη στη χρήση. Μπορεί να απαιτεί τεχνικές δεξιότητες για λήψη, άνοιγμα και αναζήτηση. Ένα bot αφαιρεί αυτό το εμπόδιο. Ο καθένας μπορεί να εκτελέσει μια αναζήτηση σε δευτερόλεπτα, χωρίς άλλα εργαλεία πέρα από ένα παράθυρο συνομιλίας. Στην πράξη, το bot μετατρέπει μια διαρροή σε δημόσια υπηρεσία για όποιον θέλει να βρει ένα συγκεκριμένο άτομο.
Σύμφωνα με την αναφορά, τα δεδομένα του Obrashcheniya.bel έγιναν αναζητήσιμα με αυτόν τον τρόπο. Μόλις οι εγγραφές βρεθούν μέσα σε ένα τέτοιο ευρετήριο, η διαγραφή τους στην πηγή δεν τις αφαιρεί απαραίτητα από το bot, καθώς αντίγραφα μπορεί να έχουν ήδη συλλεχθεί.
Ποιοι εκτίθενται και ποιοι είναι οι κίνδυνοι
Ο τίτλος της αρχικής αναφοράς σημειώνει ότι γνωστοί προπαγανδιστές ήταν μεταξύ των εκτεθέντων. Αυτό είναι μια υπενθύμιση ότι αυτού του είδους η διαρροή δεν κάνει διακρίσεις. Απλοί πολίτες που υπέβαλαν συνήθη αιτήματα βρίσκονται στο ίδιο αναζητήσιμο ευρετήριο με προσωπικότητες υψηλού προφίλ.
Για τους περισσότερους ανθρώπους, οι πρακτικοί κίνδυνοι είναι γνώριμοι:
- Στοχευμένο phishing και απάτες. Επιτιθέμενοι που γνωρίζουν το όνομά σας και στοιχεία σας από μια κρατική υπηρεσία μπορούν να συντάξουν πειστικά μηνύματα που φαίνεται να προέρχονται από επίσημο φορέα.
- Doxxing και παρενόχληση. Τα αναζητήσιμα προσωπικά δεδομένα διευκολύνουν κάποιον με προσωπική αντιδικία να εντοπίσει ή να πιέσει ένα άτομο.
- Καταγραφή προφίλ. Εγγραφές συνδεδεμένες με μια κρατική πλατφόρμα μπορούν να αποκαλύψουν ότι ένα άτομο επικοινώνησε με τις αρχές, κάτι που μπορεί να είναι ευαίσθητο από μόνο του ανάλογα με το πλαίσιο.
Τονίζουμε ότι αυτοί είναι γενικοί κίνδυνοι εκτεθειμένων προσωπικών δεδομένων, όχι επιβεβαιωμένα περιστατικά συνδεδεμένα με αυτή τη συγκεκριμένη διαρροή.
Το μοτίβο δεν είναι μοναδικό για τη Λευκορωσία. Μόλις οι εγγραφές φύγουν από το σύστημα πηγής, τείνουν να κυκλοφορούν ευρέως, όπως φάνηκε στην κάλυψή μας για την παραβίαση της Maxia Latam που φέρεται να εξέθεσε δεδομένα του Panama CSS, όπου δεδομένα που ισχυρίστηκαν ότι προέρχονται από έναν πάροχο υπηρεσιών εμφανίστηκαν σε υπόγειες καταχωρίσεις.
Πώς να ελέγξετε και να περιορίσετε την έκθεσή σας
Δεν μπορείτε να διορθώσετε μόνοι σας μια διαρροή σε μια κρατική πλατφόρμα, αλλά μπορείτε να μειώσετε τη ζημιά.
- Αναζητήστε τον εαυτό σας. Αναζητήστε το όνομά σας, τη διεύθυνση email και τον αριθμό τηλεφώνου σας σε μηχανές αναζήτησης και σε υπηρεσίες ειδοποίησης παραβιάσεων για να δείτε πού εμφανίζονται.
- Αλλάξτε και διαχωρίστε τα διαπιστευτήρια. Αν χρησιμοποιήσατε έναν κωδικό πρόσβασης σε μια κρατική πύλη που επαναχρησιμοποιείτε αλλού, αντικαταστήστε τον παντού και χρησιμοποιήστε έναν διαχειριστή κωδικών πρόσβασης για να κρατάτε κάθε έναν μοναδικό.
- Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων στο email και τους λογαριασμούς ανταλλαγής μηνυμάτων, καθώς αυτοί είναι οι συνήθεις στόχοι μετά από μια διαρροή.
- Αντιμετωπίστε τις απροσδόκητες επικοινωνίες με καχυποψία. Τα μηνύματα που παραθέτουν τα προσωπικά σας στοιχεία δεν αποτελούν απόδειξη νομιμότητας. Επαληθεύστε μέσω ενός επίσημου καναλιού που βρίσκετε μόνοι σας.
- Περιορίστε αυτά που κοινοποιείτε. Παρέχετε μόνο τις πληροφορίες που απαιτεί μια υπηρεσία και αποφύγετε να βάζετε επιπλέον στοιχεία σε φόρμες αιτημάτων.
- Ρυθμίστε τις ρυθμίσεις απορρήτου του Telegram. Περιορίστε ποιος μπορεί να δει τον αριθμό τηλεφώνου και τα στοιχεία του προφίλ σας.
Ένα VPN κρύβει την κίνησή σας από το δίκτυό σας και συγκαλύπτει τη διεύθυνση IP σας, αλλά δεν αφαιρεί δεδομένα που έχουν ήδη συλλεχθεί και καταγραφεί σε ευρετήριο. Είναι ένα επίπεδο απορρήτου, όχι λύση για αυτού του είδους την έκθεση.
Τι σημαίνει αυτό για εσάς
Αν είστε εγγεγραμμένοι στο Obrashcheniya.bel, υποθέστε ότι τα στοιχεία σας μπορεί να είναι αναζητήσιμα και ενεργήστε ανάλογα: ενισχύστε την ασφάλεια του λογαριασμού σας και να είστε επιφυλακτικοί με προσαρμοσμένα μηνύματα. Αν δεν είστε, το δίδαγμα εξακολουθεί να ισχύει. Οποιαδήποτε υπηρεσία που κατέχει τα δεδομένα σας μπορεί να γίνει το σημείο εκκίνησης για μια αναζητήσιμη εγγραφή, και τα εργαλεία αναζήτησης προσώπων που τα συγκεντρώνουν βρίσκονται εκτός του ελέγχου σας.
Βασικά συμπεράσματα
- Ελέγξτε τι είναι ανιχνεύσιμο για εσάς σε εργαλεία αναζήτησης προσώπων και καταλόγους παραβιάσεων, και επαναλάβετε τον έλεγχο περιοδικά.
- Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης και έλεγχο ταυτότητας δύο παραγόντων παντού.
- Να είστε δύσπιστοι με μηνύματα που γνωρίζουν πολλά για εσάς.
- Διαβάστε την κάλυψή μας για την παραβίαση της Maxia Latam για ένα άλλο παράδειγμα του πώς τα διαρρεύσαντα αρχεία ταξιδεύουν μόλις φύγουν από το σύστημα πηγής.
Η διαρροή δεδομένων του Telegram bot αναζήτησης προσώπων που συνδέεται με το Obrashcheniya.bel είναι ένα σαφές παράδειγμα του γιατί η υγιεινή των προσωπικών δεδομένων έχει σημασία. Δεν μπορείτε να ελέγξετε κάθε βάση δεδομένων που κατέχει τις πληροφορίες σας, αλλά μπορείτε να κάνετε ό,τι διαρρέει πολύ λιγότερο χρήσιμο για οποιονδήποτε το βρει.
