Η Ελβετική Ομοσπονδία Χόκεϋ επί Πάγου επιβεβαίωσε παραβίαση δεδομένων αφού προσωπικά αρχεία που συνδέονται με περισσότερα από 100.000 άτομα σχετιζόμενα με το άθλημα διακυβεύτηκαν και αναρτήθηκαν σε διαδικτυακό φόρουμ. Η παραβίαση δεδομένων της Ελβετικής Ομοσπονδίας Χόκεϋ επί Πάγου αποτελεί υπενθύμιση ότι οι αθλητικοί οργανισμοί διατηρούν διακριτικά μεγάλες δεξαμενές προσωπικών πληροφοριών και ότι τα άτομα σε αυτές τις βάσεις δεδομένων συχνά έχουν ελάχιστο λόγο για το πόσο καλά προστατεύονται.

Η αναφορά πηγής είναι σύντομη και αρκετές λεπτομέρειες δεν έχουν δημοσιοποιηθεί. Αυτό το άρθρο περιορίζεται σε ό,τι έχει επιβεβαιωθεί και εστιάζει στο τι μπορούν λογικά να κάνουν στη συνέχεια τα επηρεαζόμενα άτομα.

Τι επιβεβαίωσε η Ελβετική Ομοσπονδία Χόκεϋ επί Πάγου

Σύμφωνα με την αναφορά, προσωπικά δεδομένα που ανήκουν σε περισσότερα από 100.000 άτομα συνδεδεμένα με το ελβετικό χόκεϋ επί πάγου διακυβεύτηκαν από χάκερ και στη συνέχεια αναρτήθηκαν σε διαδικτυακό φόρουμ. Η ομοσπονδία έχει αναγνωρίσει δημόσια το περιστατικό.

Η διαθέσιμη κάλυψη δεν διευκρινίζει πώς εισήλθαν οι επιτιθέμενοι, πότε συνέβη η εισβολή ή αν ζητήθηκε λύτρα. Δεν αναφέρει επίσης αν τα δεδομένα προσφέρονται προς πώληση ή διαμοιράζονται ελεύθερα. Μέχρι η ομοσπονδία να δημοσιεύσει περισσότερες πληροφορίες, αυτά τα ερωτήματα παραμένουν ανοιχτά και οι αναγνώστες θα πρέπει να είναι επιφυλακτικοί απέναντι σε οποιουσδήποτε ισχυρισμούς για την επίθεση που δεν μπορούν να αναχθούν σε επίσημη δήλωση.

Ποιοι επηρεάζονται και ποια δεδομένα μπορεί να έχουν εκτεθεί

Η φράση «άτομα συνδεδεμένα με το ελβετικό χόκεϋ επί πάγου» είναι ευρεία. Μια εθνική ομοσπονδία συνήθως συνεργάζεται με παίκτες, προπονητές, διαιτητές, αξιωματούχους συλλόγων, εθελοντές και μερικές φορές φιλάθλους ή αγοραστές εισιτηρίων. Οποιοσδήποτε από αυτές τις ομάδες θα μπορούσε να είναι μεταξύ των 100.000 ατόμων που μετρήθηκαν.

Οι ακριβείς κατηγορίες των εκτεθειμένων δεδομένων δεν έχουν λεπτομερώς περιγραφεί στο άρθρο πηγής. Γενικά, οι αθλητικές ομοσπονδίες μπορεί να τηρούν ονόματα, στοιχεία επικοινωνίας, ημερομηνίες γέννησης και πληροφορίες αδειοδότησης ή εγγραφής. Επειδή οι λεπτομέρειες δεν έχουν επιβεβαιωθεί, η ασφαλέστερη προσέγγιση είναι να υποθέσετε ότι βασικά στοιχεία ταυτότητας και επικοινωνίας θα μπορούσαν να βρίσκονται στο διαρρεύσαν σύνολο και να περιμένετε την ομοσπονδία να πει περισσότερα.

Αυτός είναι επίσης ο λόγος που το περιστατικό έχει σημασία πέρα από ένα άθλημα. Τα συστήματα εγγραφής για πρωταθλήματα και συλλόγους συχνά συλλέγουν πολλές πληροφορίες επί πολλά χρόνια, συμπεριλαμβανομένων νεαρών αθλητών και των γονέων τους. Ένα μόνο παραβιασμένο σύστημα μπορεί να εκθέσει άτομα που δεν είναι ενεργά στο άθλημα εδώ και πολύ καιρό. Για ευρύτερο πλαίσιο σχετικά με το πώς οι επιτιθέμενοι στοχεύουν αθλητικούς χώρους και οργανισμούς, δείτε την κάλυψή μας για την επίθεση ransomware στο στάδιο πάγου Thialf.

Πώς τα διαρρεύσαντα δεδομένα τροφοδοτούν το phishing και το credential stuffing

Μόλις τα προσωπικά αρχεία καταλήξουν σε ένα φόρουμ, σπάνια μένουν σε ένα μέρος. Άλλοι εγκληματίες μπορούν να τα αντιγράψουν, να τα ανασυσκευάσουν και να τα επαναχρησιμοποιήσουν. Δύο κίνδυνοι ξεχωρίζουν για τα άτομα σε μια τέτοια διαρροή.

Στοχευμένο phishing. Αν ένας επιτιθέμενος γνωρίζει το όνομά σας, τη διεύθυνση email σας και ότι είστε συνδεδεμένοι με το ελβετικό χόκεϋ επί πάγου, μπορεί να συντάξει ένα μήνυμα που φαίνεται αξιόπιστο. Μπορεί να υποδύεται τον σύλλογό σας, την ομοσπονδία, μια υπηρεσία εισιτηρίων ή μια «ειδοποίηση ασφαλείας» σχετικά με την ίδια την παραβίαση. Αυτά τα μηνύματα συνήθως σας ωθούν να κάνετε κλικ σε έναν σύνδεσμο, να ανοίξετε ένα συνημμένο ή να εισαγάγετε έναν κωδικό πρόσβασης.

Credential stuffing. Αν τα διαρρεύσαντα αρχεία περιλαμβάνουν διευθύνσεις email, οι επιτιθέμενοι μπορεί να τις δοκιμάσουν με κοινώς χρησιμοποιούμενους κωδικούς πρόσβασης ή με κωδικούς πρόσβασης που εκτέθηκαν σε προηγούμενες παραβιάσεις, σε άλλες υπηρεσίες όπως email, τραπεζικές υπηρεσίες και μέσα κοινωνικής δικτύωσης. Αυτό λειτουργεί μόνο όταν τα άτομα επαναχρησιμοποιούν τον ίδιο κωδικό πρόσβασης σε περισσότερα από ένα μέρη. Είναι αυτοματοποιημένο και φθηνό, γι' αυτό είναι τόσο συνηθισμένο.

Καμία από τις δύο επιθέσεις δεν απαιτεί από τον εγκληματία να σας χακάρει άμεσα. Εξαρτώνται από το ότι εσείς αντιδράτε γρήγορα ή επαναχρησιμοποιείτε έναν κωδικό πρόσβασης, και τα δύο είναι πράγματα που μπορείτε να ελέγξετε.

Τι σημαίνει αυτό για εσάς

Αν έχετε ποτέ παίξει, προπονήσει, διαιτητεύσει, εργαστεί εθελοντικά ή εγγραφεί σε ελβετικό σύλλογο χόκεϋ επί πάγου ή στην ομοσπονδία, θεωρήστε τον εαυτό σας δυνητικά επηρεαζόμενο, ακόμη και αν δεν έχετε λάβει ειδοποίηση. Οι γονείς νεαρών παικτών θα πρέπει να κάνουν το ίδιο εκ μέρους των παιδιών τους.

Ο πρακτικός κίνδυνος δεν είναι μια δραματική κατάληψη της ζωής σας. Είναι μια αύξηση σε πειστικά μηνύματα απάτης και σε αυτοματοποιημένες προσπάθειες σύνδεσης στους λογαριασμούς σας. Η λήψη μερικών μέτρων τώρα εξαλείφει το μεγαλύτερο μέρος αυτού του κινδύνου.

Βήματα που πρέπει να κάνουν τώρα τα επηρεαζόμενα άτομα

  • Αλλάξτε τους επαναχρησιμοποιούμενους κωδικούς πρόσβασης. Αν χρησιμοποιείτε τον ίδιο κωδικό πρόσβασης για τον αθλητικό σας λογαριασμό και για οτιδήποτε άλλο, αλλάξτε πρώτα τους άλλους, ξεκινώντας από το email. Χρησιμοποιήστε έναν μοναδικό κωδικό πρόσβασης για κάθε υπηρεσία, ιδανικά αποθηκευμένο σε έναν διαχειριστή κωδικών πρόσβασης.
  • Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων. Μια εφαρμογή ελέγχου ταυτότητας ή ένα κλειδί υλικού στο email, τις τραπεζικές και κοινωνικές σας επαφές σημαίνει ότι ένας κλεμμένος κωδικός πρόσβασης από μόνος του δεν αρκεί.
  • Αντιμετωπίστε τα απροσδόκητα μηνύματα με καχυποψία. Να είστε επιφυλακτικοί με emails, μηνύματα κειμένου ή κλήσεις που αναφέρουν την παραβίαση, τον σύλλογό σας ή την ομοσπονδία. Μην κάνετε κλικ σε συνδέσμους σε αυτά. Μεταβείτε απευθείας στον επίσημο ιστότοπο ή επικοινωνήστε με τον οργανισμό χρησιμοποιώντας στοιχεία που ήδη εμπιστεύεστε.
  • Προσέξτε για ασυνήθιστη δραστηριότητα. Ελέγξτε τις ειδοποιήσεις σύνδεσης και την πρόσφατη δραστηριότητα στους κύριους λογαριασμούς σας και αναθεωρήστε τις τραπεζικές καταστάσεις για οτιδήποτε άγνωστο.
  • Αναζητήστε επίσημες ενημερώσεις. Παρακολουθήστε τις ανακοινώσεις της ίδιας της ομοσπονδίας για λεπτομέρειες σχετικά με το ποια δεδομένα εκτέθηκαν και τι συνιστά.
  • Προστατεύστε τους λογαριασμούς ανηλίκων. Αν ένα παιδί είναι εγγεγραμμένο σε σύλλογο, εφαρμόστε τα ίδια βήματα στο email του και σε τυχόν συνδεδεμένους λογαριασμούς.

Βασικά συμπεράσματα

Η παραβίαση δεδομένων της Ελβετικής Ομοσπονδίας Χόκεϋ επί Πάγου δείχνει πόσες προσωπικές πληροφορίες συλλέγουν τα αθλητικά σώματα και πόσο γρήγορα μπορούν να καταλήξουν σε λάθος χέρια. Πολλές λεπτομέρειες παραμένουν ανεπιβεβαίωτες, γι' αυτό αποφύγετε τις εικασίες και βασιστείτε σε επίσημες ενημερώσεις. Στο μεταξύ, αλλάξτε τυχόν επαναχρησιμοποιούμενους κωδικούς πρόσβασης, ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων και αντιμετωπίστε τα απροσδόκητα μηνύματα με καχυποψία. Για μια ευρύτερη ματιά στην απειλή που αντιμετωπίζει ο τομέας, διαβάστε την αναφορά μας για την επίθεση ransomware στο στάδιο πάγου Thialf.