Ένα μη ασφαλές διαδικτυακό αποθετήριο που συνδέεται με τη Vibetech, μια εταιρεία ανάπτυξης λογισμικού τεχνητής νοημοσύνης με έδρα την Ινδία, φέρεται να άφησε εκατομμύρια εγγραφές ανοιχτές σε οποιονδήποτε έχει σύνδεση στο διαδίκτυο. Σύμφωνα με το ρεπορτάζ, η ανακάλυψη της εκτεθειμένης βάσης δεδομένων της Vibetech με 13,7 εκατομμύρια εγγραφές έγινε από ερευνητή κυβερνοασφάλειας και αφορά δεδομένα που συνδέονται με οργανισμούς όπως η Amazon, η AT&T, η PayPal, η Walmart, το FBI και η Interpol. Πολλές από τις εγγραφές φαίνεται να προέρχονται από παλαιότερες παραβιάσεις, και βασικές λεπτομέρειες παραμένουν αεπιβεβαίωτες.
Ακολουθεί τι έχει αναφερθεί, γιατί τα ανακυκλωμένα δεδομένα εξακολουθούν να έχουν σημασία και τι μπορείτε να κάνετε γι' αυτό.
Τι Περιείχε Σύμφωνα με Αναφορές η Εκτεθειμένη Βάση Δεδομένων
Το αποθετήριο ήταν σύμφωνα με αναφορές προσβάσιμο σε οποιονδήποτε στο διαδίκτυο, χωρίς προφανές εμπόδιο εισόδου. Σύμφωνα με τη σύνοψη της πηγής, περιείχε περίπου 13,7 εκατομμύρια εγγραφές που περιλάμβαναν:
- Διευθύνσεις email
- Ονόματα χρήστη
- Κωδικούς πρόσβασης
- Αριθμούς τηλεφώνου
- Στοιχεία τραπεζικών λογαριασμών
Οι εγγραφές συνδέονταν με μια μακρά λίστα γνωστών ονομάτων: Amazon, AT&T, PayPal, Walmart, FBI, Interpol και τον ρωσικά συνδεδεμένο τομέα Casio.ru, μαζί με την ίδια τη Vibetech. Το ρεπορτάζ σημειώνει ότι πολλές από τις εγγραφές προήλθαν από παλαιότερες παραβιάσεις δεδομένων και όχι από μια νέα παραβίαση αυτών των οργανισμών.
Το τελευταίο σημείο είναι σημαντικό. Η εμφάνιση σε ένα σύνολο δεδομένων δίπλα στο όνομα μιας επωνυμίας δεν σημαίνει απαραίτητα ότι η εταιρεία παραβιάστηκε ξανά. Μπορεί απλώς να σημαίνει ότι τα στοιχεία των ανθρώπων που χρησιμοποίησαν αυτές τις υπηρεσίες διέρρευσαν σε παλαιότερα περιστατικά, και αυτά τα στοιχεία συγκεντρώθηκαν αργότερα σε ένα μέρος.
Γιατί τα Ανακυκλωμένα Δεδομένα Παραβίασης Εξακολουθούν να Θέτουν σε Κίνδυνο τους Ανθρώπους
Είναι δελεαστικό να αγνοήσει κανείς μια διαρροή που αποτελείται από παλιά δεδομένα. Αυτό θα ήταν λάθος. Τα συγκεντρωμένα δεδομένα παραβίασης είναι πολύτιμα ακριβώς επειδή είναι οργανωμένα και αναζητήσιμα.
Ακολουθεί πώς οι ανακυκλωμένες εγγραφές μπορούν ακόμα να προκαλέσουν βλάβη:
- Credential stuffing: Οι επιτιθέμενοι παίρνουν διαρρεύσαντα ζεύγη email και κωδικού πρόσβασης και τα δοκιμάζουν σε άλλους ιστότοπους. Αν επαναχρησιμοποιήσατε έναν κωδικό πρόσβασης, μια παλιά διαρροή μπορεί να ξεκλειδώσει νεότερους λογαριασμούς.
- Στοχευμένο phishing: Οι αριθμοί τηλεφώνου, τα ονόματα χρήστη και τα στοιχεία λογαριασμού κάνουν τα μηνύματα απάτης πιο πειστικά. Ένα μήνυμα που αναφέρει πραγματικές πληροφορίες είναι πιο πιθανό να γίνει πιστευτό.
- Οικονομική απάτη: Τα εκτεθειμένα στοιχεία τραπεζικών λογαριασμών μπορούν να χρησιμοποιηθούν για απόπειρες δόλιων μεταφορών ή για τη δημιουργία προφίλ για κλοπή ταυτότητας.
- Συγκέντρωση: Όταν δεδομένα από πολλαπλές παραβιάσεις βρίσκονται σε ένα μόνο αποθετήριο, γίνεται ευκολότερο να συνδεθούν κομμάτια της ταυτότητας ενός ατόμου.
Αυτό το μοτίβο δεν είναι μοναδικό σε αυτή την περίπτωση. Μεγάλα σύνολα δεδομένων ταυτότητας συνεχίζουν να εμφανίζονται, όπως φαίνεται στην κάλυψη της έρευνας του FBI για πώληση 153 εκατομμυρίων αδειών οδήγησης στο dark web και της έρευνας του Επιτρόπου Προστασίας Προσωπικών Δεδομένων του Καναδά για την παραβίαση της IDScan.net. Σε κάθε περίπτωση, ο διαρκής κίνδυνος προέρχεται από το πόσο καιρό τα προσωπικά δεδομένα παραμένουν σε κυκλοφορία.
Τι Παραμένει Ανεπιβεβαίωτο Σχετικά με τον Ρόλο της Vibetech
Το ρεπορτάζ αφήνει σημαντικά κενά, και αξίζει να είμαστε σαφείς γι' αυτά.
- Η βάση δεδομένων συνδέθηκε με τη Vibetech, αλλά η σχέση της εταιρείας με τα εκτεθειμένα δεδομένα περιγράφεται ως ασαφής.
- Δεν έχει επιβεβαιωθεί αν η Vibetech δημιούργησε, συνέλεξε ή απλώς φιλοξένησε τα δεδομένα, ή αν ένας τρίτος ήταν υπεύθυνος.
- Η πηγή δεν υποδεικνύει ότι η Amazon, η AT&T, η PayPal, η Walmart, το FBI ή η Interpol υπέστησαν νέα παραβίαση.
- Λεπτομέρειες σχετικά με το πόσο καιρό ήταν εκτεθειμένο το αποθετήριο, και αν οποιοσδήποτε άλλος είχε πρόσβαση σε αυτό, δεν παρασχέθηκαν στο διαθέσιμο κείμενο.
Μέχρι να απαντήσουν η εταιρεία ή οι οργανισμοί που κατονομάζονται, αυτοί οι ισχυρισμοί θα πρέπει να αντιμετωπίζονται ως ανεπιβεβαίωτοι. Η παρουσία ονομάτων υπηρεσιών όπως το FBI και η Interpol μπορεί να αντικατοπτρίζει διευθύνσεις email ή λογαριασμούς που συνδέονται με αυτούς τους τομείς, αλλά η πηγή δεν εξηγεί τη φύση αυτών των εγγραφών.
Τι Σημαίνει Αυτό Για Εσάς
Δεν χρειάζεται να γνωρίζετε αν τα δεδομένα σας βρίσκονται σε αυτό το συγκεκριμένο αποθετήριο για να ενεργήσετε συνετά. Αν είχατε ποτέ λογαριασμό σε μια μεγάλη εταιρεία λιανικής, τηλεπικοινωνιών ή πληρωμών, τα στοιχεία σας μπορεί να κυκλοφορούν ήδη από μια παλαιότερη παραβίαση. Το πρακτικό ερώτημα είναι αν αυτές οι παλιές πληροφορίες μπορούν ακόμα να χρησιμοποιηθούν εναντίον σας.
Ο μεγαλύτερος παράγοντας είναι η επαναχρησιμοποίηση κωδικών πρόσβασης. Αν ένας διαρρεύσας κωδικός πρόσβασης ταιριάζει με έναν που χρησιμοποιείτε σήμερα, οι επιτιθέμενοι δεν χρειάζονται νέα παραβίαση για να μπουν. Ο δεύτερος παράγοντας είναι πόσο εμπιστεύεστε ανεπιθύμητα μηνύματα. Αντιμετωπίστε απρόσμενα μηνύματα, email και κλήσεις που αναφέρουν τους λογαριασμούς σας με προσοχή, ακόμα κι αν περιλαμβάνουν ακριβείς προσωπικές λεπτομέρειες.
Πώς να Ελέγξετε την Έκθεσή Σας και να Προστατεύσετε τους Λογαριασμούς Σας
- Ελέγξτε γνωστές διαρροές. Χρησιμοποιήστε μια αξιόπιστη υπηρεσία ειδοποίησης παραβιάσεων για να δείτε αν οι διευθύνσεις email ή οι αριθμοί τηλεφώνου σας εμφανίζονται σε γνωστές διαρροές.
- Αλλάξτε τους επαναχρησιμοποιημένους κωδικούς πρόσβασης. Ξεκινήστε με email, τραπεζικούς και λογαριασμούς πληρωμών. Κάθε λογαριασμός θα πρέπει να έχει τον δικό του μοναδικό κωδικό πρόσβασης, ιδανικά δημιουργημένο και αποθηκευμένο σε έναν διαχειριστή κωδικών πρόσβασης.
- Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων (2FA). Προτιμήστε μια εφαρμογή ελέγχου ταυτότητας ή ένα κλειδί υλικού αντί για SMS όπου είναι δυνατόν, ώστε ένας διαρρεύσας κωδικός πρόσβασης από μόνος του να μην αρκεί.
- Παρακολουθείτε τους οικονομικούς σας λογαριασμούς. Ελέγξτε τις καταστάσεις τραπέζης και καρτών και ρυθμίστε ειδοποιήσεις συναλλαγών. Επικοινωνήστε με την τράπεζά σας αν δείτε κάτι άγνωστο.
- Να είστε δύσπιστοι σε απόπειρες επικοινωνίας. Μην κάνετε κλικ σε συνδέσμους σε απρόσμενα μηνύματα. Μεταβείτε απευθείας στον επίσημο ιστότοπο ή την εφαρμογή.
- Σκεφτείτε ένα πάγωμα πίστωσης. Αν τα τραπεζικά στοιχεία ή άλλα δεδομένα ταυτότητας μπορεί να εκτεθούν, ένα πάγωμα μπορεί να περιορίσει το άνοιγμα νέων λογαριασμών στο όνομά σας.
Βασικά Συμπεράσματα
Η ιστορία της εκτεθειμένης βάσης δεδομένων της Vibetech με 13,7 εκατομμύρια εγγραφές βρίσκεται ακόμα σε εξέλιξη, και οι πιο σημαντικοί ισχυρισμοί της είναι αεπιβεβαίωτοι. Αυτό που είναι σαφές είναι ότι τα παλιά δεδομένα παραβίασης δεν λήγουν. Ελέγξτε αν οι διευθύνσεις email και οι κωδικοί πρόσβασής σας εμφανίζονται σε γνωστές διαρροές, μεταβείτε σε μοναδικούς κωδικούς πρόσβασης με 2FA, και μείνετε σε εγρήγορση για phishing. Για περισσότερα σχετικά με το πώς εξαπλώνονται τα μεγάλα σύνολα δεδομένων ταυτότητας, διαβάστε την κάλυψή μας για την έρευνα του FBI σχετικά με την παραβίαση αδειών οδήγησης και τις ιστορίες της IDScan.net που συνδέονται παραπάνω.
