CyberStationin tuore raportti kertoo löytäneensä pimeästä verkosta 1,8 miljoonaa bangladeshilaista tietuetta. Löydös muistuttaa hyödyllisesti siitä, että bangladeshilaisten tietojen paljastuminen pimeässä verkossa on harvoin yksittäisen dramaattisen tapauksen tulosta. Useammin kyse on monien pienempien vuotojen hitaasta kasautumisesta, jotka eivät koskaan katoa.

Lähdeartikkeli on lyhyt, joten tämä kirjoitus pitäytyy siinä, mitä on raportoitu, ja selittää, mitä se merkitsee tavallisille ihmisille.

Mitä CyberStation löysi pimeästä verkosta

Raportin mukaan valtion palvelut muodostivat suurimman osan paljastuneista kansalaistietueista. Teknologia- ja televiestintäaloilla oli korkeimmat paljastumisasteet, eli ne alat esiintyivät painotetuimmin CyberStationin tarkastelemassa datassa.

Otsikkoluku on 1,8 miljoonaa tietuetta. Se on suuri luku, mutta tärkeämpi yksityiskohta on, miten se koottiin. CyberStation ei tutkinut yhtä vuotanutta tietokantaa. Se tarkasteli pimeässä verkossa kiertävää dataa ja liitti sen useisiin lähteisiin.

Raportti ei vahvistanut tiettyä tietomurron lähdettä. Mitään yksittäistä yritystä, virastoa tai tapausta ei ole nimetty tietueiden alkuperäksi.

Miksi data tulee monista tietomurroista, ei yhdestä

Raportin mukaan todennäköinen selitys on, että tietueet tulevat useista kolmannen osapuolen tietomurroista ajan mittaan. Toisin sanoen kyse ei ole tuoreesta vuodosta, johon ihmiset voisivat osoittaa ja reagoida. Kyse on tietopoolista, joka on kertynyt aiempien tapahtumien pohjalta.

Tällä on merkitystä, koska varastettu henkilötieto ei vanhene, kun tietomurrosta kertova uutinen hiipuu. Kun tietueet on kopioitu, ne voidaan myydä edelleen, yhdistää muihin tietoaineistoihin ja käyttää uudelleen vuosien ajan. Yhdestä tapauksesta peräisin oleva nimi ja puhelinnumero voidaan yhdistää toisesta tapauksesta peräisin olevaan sähköpostiosoitteeseen, jolloin syntyy kattavampi profiili kuin mikään yksittäinen tietomurto tarjoaisi.

Se selittää myös, miksi ihmiset eivät voi luottaa yhteen tietomurtoilmoitukseen tietääkseen, ovatko he asianomaisia. Jos paljastuminen tulee useilta toisiinsa liittymättömiltä kolmansilta osapuolilta, yksikään organisaatio ei välttämättä ole vastuussa siitä kertomisesta. Et välttämättä saa koskaan ilmoitusta lainkaan, vaikka tietosi olisivatkin kierrossa.

Kuvio on tuttu muuallakin. Televiestintäalan ja julkishallinnon hallussa oleva henkilöllisyysdata on ollut kohteena muissa viimeaikaisissa tapauksissa, kuten Alankomaissa 6,5 miljoonaa asiakasta koskeneessa Odido-tietomurrossa ja Ranskassa 18 miljoonan tietueen ANTS ID -tietomurrossa. Nämä ovat erillisiä tapahtumia, eikä mikään CyberStationin raportissa yhdistä niitä Bangladeshiin. Ne vain osoittavat, miten samantyyppiset organisaatiot pitävät hallussaan dataa, jota hyökkääjät pitävät arvokkaana.

Miksi 1,8 miljoonan luku voi olla aliarvio

CyberStation kuvailee lukujaan varovaisiksi ja sanoo, että todellinen paljastuminen voi olla suurempaa. Siihen on muutamia uskottavia syitä, vaikka raporttia itsessään tulisikin pitää oman menetelmänsä auktoriteettina.

Mikä tahansa pimeän verkon datan laskenta riippuu siitä, mitä tutkijat voivat löytää ja saada käyttöönsä. Yksityisiä foorumeita, suljettuja myyntejä ja suoraan ostajien välillä vaihdettuja tietoaineistoja on vaikeampi mitata. Useissa tietomurroissa päällekkäiset tietueet myös vaikeuttavat laskentaa, koska sama henkilö voi esiintyä useammassa kuin yhdessä lähteessä.

Käytännön johtopäätös on, että 1,8 miljoonaa tulisi lukea alarajaksi eikä ylärajaksi. Se on tilannekuva siitä, mikä oli näkyvissä, ei täydellinen selvitys kaikesta paljastuneesta.

Mitä tämä merkitsee sinulle

Jos asut Bangladeshissa tai olet käyttänyt bangladeshilaisia valtion, televiestinnän tai teknologian palveluita, oleta, että osa tietoistasi voi jo olla liikkeellä. Se ei ole syy paniikkiin, mutta sen pitäisi muuttaa tapaa, jolla suojaat itsesi.

Tämänkaltaisen paljastumisen tärkeimmät riskit ovat phishing, tekstiviestihuijaukset ja yritykset kaapata tilejä. Hyökkääjät, jotka tietävät nimesi, puhelinnumerosi tai sähköpostiosoitteesi, voivat laatia vakuuttavan näköisiä viestejä, erityisesti jos ne näyttävät tulevan televiestintäoperaattorilta tai valtionvirastolta.

Koska data on vanhaa ja hajallaan, tehokkaimmat puolustuskeinot ovat niitä, jotka toimivat riippumatta siitä, mistä tietomurrosta tietosi ovat peräisin.

Miten tarkistaa altistumisensa ja vähentää riskiään

Aloita tarkistamalla, esiintyvätkö sähköpostiosoitteesi ja puhelinnumerosi tunnetuissa tietomurroissa. Luotettavat tietomurtoilmoitustyökalut mahdollistavat haun sähköpostilla, ja jotkin kattavat myös puhelinnumerot. Osuma ei tarkoita, että sinut olisi hakkeroitu tänään, mutta se kertoo, mitkä tilit ansaitsevat huomiota.

Seuraavaksi kiristä tilejäsi:

  • Käytä yksilöllisiä salasanoja jokaiseen tiliin, mieluiten salasananhallinnassa, jotta yksi vanha tietomurto ei voi avata muita.
  • Ota käyttöön monivaiheinen tunnistautuminen (MFA), mieluiten autentikointisovelluksella tekstiviestin sijaan, kun mahdollista.
  • Suhtaudu epäillen odottamattomiin viesteihin, joissa mainitaan nimesi, numerosi tai tilitietosi. Ota yhteyttä organisaatioon virallista kanavaa kautta sen sijaan, että vastaisit.
  • Jaa vähemmän henkilötietoja valtion ja televiestinnän palveluiden kanssa. Anna vain se, mikä on pakollista, ja vältä valinnaisia kenttiä, jotka lisäävät organisaation sinusta hallussaan pitämiä tietoja.

Kannattaa myös muistaa, että paljastuminen ei rajoitu yhteen sektoriin. Jopa henkilöstö- ja energialaitosyritykset ovat kohdanneet hyökkäyksiä, kuten United Personnelia koskevassa väitetyssä tietomurrossa, joten tapa rajoittaa sitä, mitä luovutat, pätee laajasti.

Keskeiset johtopäätökset

CyberStationin raportti osoittaa, että bangladeshilaisten tietojen paljastuminen pimeässä verkossa on jatkuva tila, ei yksittäinen tapahtuma, jolla on selkeä alku ja loppu. Kun 1,8 miljoonaa tietuetta liittyy useisiin aiempiin kolmannen osapuolen tietomurtoihin ja luvut voivat aliarvioida todellista kokonaismäärää, ilmoituksen odottaminen ei ole luotettava strategia.

Tarkista, esiintyvätkö sähköpostiosoitteesi ja puhelinnumerosi tunnetuissa tietomurroissa, siirry yksilöllisiin salasanoihin ja MFA:han sekä jaa vähemmän henkilötietoja valtion ja televiestinnän palveluiden kanssa. Odido- ja ANTS-tapaukset osoittavat, miten televiestintäyritysten ja julkisten virastojen hallussa oleva henkilöllisyysdata voi paljastua, joten sen vähentäminen, mitä luovutat, on yksi harvoista täysin omassa hallinnassasi olevista keinoista.