Latvialaisten ja liettualaisten pankkien, vakuutusyhtiöiden, vähittäiskauppiaiden ja palveluntarjoajien asiakkailleen lähettämiä yli 125 miljoonaa tekstiviestiä sisältäneestä tietokannasta on korjattu tietoturvahaavoittuvuus. Järjestelmän taustalla oleva palveluntarjoaja kertoo, että ongelma on korjattu. Tapaus on selvä esimerkki SMS-palveluntarjoajien tietovuotoriskeistä: arkaluontoiset viestit ovat usein myyjän hallussa, jota asiakkaat eivät ole valinneet eivätkä välttämättä edes tiedä olevan olemassa.

Tähän mennessä saatavilla oleva uutisointi on niukkaa, joten tässä kirjoituksessa pysytään siinä, mitä on kerrottu, ja selitetään, miksi sillä on merkitystä.

Mitä Baltian SMS-tietokannassa oli paljastunut

Raportin mukaan asianomainen tietokanta sisälsi yli 125 miljoonaa tekstiviestiä. Kyse oli yritysten asiakkailleen lähettämistä viesteistä, jotka olivat peräisin latvialaisilta ja liettualaisilta pankeilta, vakuutusyhtiöiltä, vähittäiskauppiailta ja palveluntarjoajilta. Lähde kuvailee ongelmaa haavoittuvuudeksi, joka on nyt korjattu, ja otsikko kehystää sen mahdolliseksi tietovuodoksi.

Sanamuodolla on väliä. Haavoittuvuus tarkoittaa, että heikkous oli olemassa. Se ei itsessään vahvista, että kukaan olisi päässyt käsiksi tietoihin tai kopioinut niitä. Käytettävissämme oleva lähdeaineisto ei kerro, kuinka kauan heikkous oli olemassa, kuka sen on saattanut löytää tai katselivatko luvattomat tahot viestejä tosiasiassa.

Silti kannattaa pohtia, millaista sisältöä tällainen tietokanta tyypillisesti sisältää. Yritykset käyttävät SMS-viestejä yleisesti kertakäyttöisiin salasanoihin, pankki-ilmoituksiin, toimituspäivityksiin ja tilitiedotteisiin. Tällaiset viestit voivat paljastaa, missä pankissa henkilö asioi, mitä hän osti, minne paketti on menossa ja mitä palveluita hän käyttää. Ilman yhtäkään salasanaa tällainen konteksti on arvokasta jollekin, joka suunnittelee vakuuttavaa huijausta.

Miksi kolmannen osapuolen viestintätoimittajat ovat piilevä riski

Useimmat ihmiset olettavat, että pankki tai vähittäiskauppias lähettää itse omat tekstiviestinsä. Käytännössä monet organisaatiot ulkoistavat tämän tehtävän viestintäpalveluntarjoajalle, joka on yrityksen ja matkapuhelinverkon välissä. Asiakas asioi brändin kanssa, mutta viestin sisältö kulkee erillisen yrityksen kautta ja saattaa tallentua sinne.

Tämä luo muutamia ongelmia:

  • Näkymättömät suhteet. Asiakkaat harvoin näkevät, mitkä toimittajat käsittelevät heidän tietojaan, joten he eivät voi arvioida toimittajan tietoturvaa.
  • Keskittynyt data. Yksi palveluntarjoaja voi palvella monia asiakkaita useissa maissa. Yksi ainoa puute voi koskettaa samanaikaisesti pankkien, vakuutusyhtiöiden ja kauppojen viestejä, mikä mahdollistaa 125 miljoonan viestin kaltaisen luvun.
  • Säilytyskysymykset. Viestilokeja voidaan säilyttää vianmääritystä tai raportointia varten. Mitä kauemmin niitä säilytetään, sitä enemmän on paljastettavaa.

Sama kaava näkyy muissakin käsittelemissämme tapauksissa. Katsauksemme kolmannen osapuolen riskiin Trump Mobilen tietomurrossa osoittaa, miten brändin omien seinien ulkopuolella oleva data voi silti muodostua kyseisen brändin ongelmaksi. Fakturownian tietomurto tekee samankaltaisen huomion alustasta, joka pitää sisällään paljon enemmän kuin sen nimi antaa ymmärtää.

Mitä toimittajan korjaus vahvistaa ja mitä ei

Palveluntarjoajan lausunto siitä, että ongelma on korjattu, on hyvä uutinen, mutta se vastaa vain osaan kysymyksestä.

Mitä se antaa ymmärtää: kyseinen heikkous ei ole enää avoinna, joten saman reitin ei pitäisi olla käytettävissä jatkossa.

Mitä se ei vahvista lähteen perusteella:

  • Pääsikö jokin kolmas osapuoli viesteihin ennen korjausta.
  • Sisälsivätkö paljastuneet viestit koodeja tai henkilötietoja, jotka ovat yhä käytettävissä.
  • Onko riippumaton arviointi vahvistanut korjauksen.
  • Ilmoittavatko asianomaiset yritykset asiakkailleen.

Kunnes näihin kohtiin vastataan julkisesti, järkevä kanta on sekä paniikin että tyytyväisyyden välttäminen. Suhtaudu korjaukseen välttämättömänä askeleena, ei täytenä kaikki selvänä -ilmoituksena. Toimittajaa käyttäneet organisaatiot ovat parhaiten asemassa selittämään, mitä asiakkaiden tulisi mahdollisesti tehdä.

Mitä tämä tarkoittaa sinulle

Jos asioit latvialaisen tai liettualaisen pankin, vakuutusyhtiön tai kaupan kanssa, viestisi ovat saattaneet kulkea tällaisen järjestelmän kautta. Vaikka olisit muualla, opetus pätee: mikä tahansa palvelu, joka lähettää sinulle tekstiviestejä, nojaa toimittajaketjuun, jota et voi auditoida.

Realistinen riski ei yleensä ole dramaattinen tilikaappaus yhdestä vanhasta tekstiviestistä. Se on kohdennettu tietojenkalastelu. Huijari, joka tietää sinun vastikään saaneen toimitustiedotteen tai pankki-ilmoituksen, voi kirjoittaa väärennetyn viestin, joka näyttää aidolta ja käyttää oikeita yksityiskohtia voittaakseen luottamuksesi. Vanhempien kertakäyttökoodien pitäisi olla vanhentuneita, mutta SMS-pohjainen kirjautuminen itsessään on edelleen heikko lenkki, koska tekstiviestejä voidaan siepata, välittää eteenpäin tai paljastaa paikoissa, joita et hallitse. Viikoittainen tietoturvakatsauksemme huomauttaa myös, miten tietojenkalastelutemput kehittyvät jatkuvasti, mikä muistuttaa pysymään epäluuloisena odottamattomia viestejä kohtaan.

Miten suojautua SMS-pohjaiselta tietojenkalastelulta ja 2FA-riskeiltä

Et voi valita pankkisi viestintätoimittajaa, mutta voit vähentää sitä, kuinka paljon paljastunut tekstiviesti voi vahingoittaa sinua.

  1. Siirry pois SMS-koodeista, missä mahdollista. Käytä todennussovellusta tai laitteistopohjaista tietoturva-avainta kaksivaiheiseen tunnistautumiseen. Ne eivät kulje tekstiviestijärjestelmien kautta.
  2. Pidä SMS vain varavaihtoehtona. Jos palvelu pakottaa tekstiviestivahvistukseen, ota se käyttöön, mutta lisää vahvemmat vaihtoehdot aina, kun palvelu sallii.
  3. Suhtaudu epäluuloisesti viesteihin, jotka viittaavat todelliseen toimintaan. Tekstiviesti, joka mainitsee todellisen tilauksen tai pankin, ei todista sen olevan aito. Älä napauta linkkejä; avaa virallinen sovellus tai kirjoita osoite itse.
  4. Älä koskaan jaa koodeja. Mikään laillinen pankki tai vähittäiskauppias ei pyydä sinua lukemaan ääneen kertakäyttökoodia.
  5. Seuraa tilejäsi. Tarkista tiliotteet ja kirjautumisilmoitukset oudon toiminnan varalta ja ilmoita epäilyttävästä toiminnasta pankillesi nopeasti.
  6. Kysy palveluntarjoajiltasi. Jos haluat tietää, miten yritys käsittelee viestidataa, kysy, kuka sitä käsittelee ja kuinka kauan sitä säilytetään.

Yhteenveto

Tämän Baltian tietokannan korjaus on tervetullut, mutta se jättää avoimiksi kysymykset siitä, onko tietoihin koskaan päästy käsiksi. Laajempi opetus SMS-palveluntarjoajien tietovuotoriskeistä pätee siitä huolimatta: arkaluontoiset tiedotteet kulkevat toimittajien kautta, joita et ole koskaan valinnut, ja voit hallita vain omaa puoltasi. Vaihda sovellus- tai laitteistopohjaiseen 2FA:han, pysy varuillasi kaikkien viestien suhteen, jotka mainitsevat todellista toimintaa, ja lue lisää siitä, miten ulkopuoliset toimittajat luovat altistumista artikkeleissamme Trump Mobilen tietomurrosta ja Fakturownian tapauksesta.