McDonald's Indonesia paljasti yli 40 miljoonaa tietuetta asiakastietoalustan kautta Security Magazinen raportin mukaan. McDonald's Indonesian 40 miljoonan tietueen tietovuoto on hyödyllinen muistutus siitä, että suurimmat tietosuojariskit piilevät usein järjestelmissä, joita asiakkaat eivät koskaan näe eivätkä voi tarkastaa.
Lähderaportti on lyhyt, ja rajaamme tämän artikkelin siihen, mitä se vahvistaa. Kun yksityiskohdat eivät ole julkisia, sanomme niin.
Mitä McDonald's Indonesian tapauksessa paljastui
Vahvistetut tosiasiat ovat lyhyet: McDonald's Indonesia paljasti yli 40 miljoonaa tietuetta, ja paljastuminen liittyi asiakastietoalustaan. Tarkastelemamme yhteenveto ei täsmennä, mitä kenttiä tietueet sisälsivät, kuinka kauan ne olivat saatavilla tai pääsikö kukaan niihin asiattomasti. Emme aio arvailla näitä yksityiskohtia.
Sana "paljastui" on tässä tärkeä. Se kuvaa tietoja, jotka olivat saavutettavissa, vaikka niin ei olisi pitänyt olla, mikä ei välttämättä ole sama asia kuin vahvistettu hyökkääjän tekemä varkaus. Kunnes yritys tai tutkijat julkaisevat lisää, lukijoiden tulisi pitää tarkkaa vaikutusta tuntemattomana.
Miksi asiakastietoalustat luovat keskittyneen riskin
Asiakastietoalusta (CDP) on järjestelmä, joka kerää asiakastietoja monista lähteistä yhteen paikkaan. Suurelle ravintolabrändille se voi tarkoittaa tietoja kanta-asiakasohjelmista, mobiilisovelluksista, markkinointikampanjoista ja tilausjärjestelmistä, jotka kaikki yhdistetään yhtenäisiksi profiileiksi. Yritykset käyttävät niitä tarjousten personointiin ja kampanjoiden mittaamiseen.
Suunnittelu itsessään on riski. Kun monet henkilötietovirrat syöttävät tietoja yhteen alustaan, yksi virheellinen määritys tai heikko käytönvalvonta voi paljastaa hyvin suuren määrän ihmisiä kerralla. Tämä on uskottava selitys sille, miten yksittäinen tapaus yltää 40 miljoonan tietueen mittakaavaan, vaikka lähde ei kerrokaan, mikä tässä tapauksessa meni pieleen.
On myös läpinäkyvyysvaje. Asiakkaana et tyypillisesti voi nähdä:
- Mitä kolmannen osapuolen alustoja brändi käyttää tietojesi tallentamiseen
- Kuinka kauan tietueitasi säilytetään
- Kuka yrityksen sisällä tai ulkopuolella voi käyttää niitä
- Miten alusta on suojattu
Hyväksyt ehdot, kun rekisteröidyt sovellukseen tai kanta-asiakasohjelmaan, mutta harvoin saat mielekästä tapaa varmistaa, mitä sen jälkeen tapahtuu.
Tämä ei ole ainutlaatuista yhdelle yritykselle. Käsittelymme ShinyHuntersin vishing-hyökkäyksestä Charteriin, jossa 40 miljoonaa tietuetta paljastui osoittaa toisen tapauksen, jossa valtavan mittakaavan asiakastietueet päätyivät vääriin käsiin hyvin erilaisen reitin kautta.
Mitä VPN voi ja ei voi tehdä tällaisen paljastumisen estämiseksi
VPN:t nousevat esiin lähes joka tietosuojakeskustelussa, joten niiden rajoista on syytä olla täsmällinen. VPN salaa internetsi liikenteen laitteesi ja VPN-palvelimen välillä ja peittää IP-osoitteesi vierailemiltasi sivustoilta. Tämä on hyödyllistä julkisessa Wi-Fi-verkossa ja rajoitettaessa sitä, mitä internetpalveluntarjoajasi voi havaita.
VPN ei suojaa tietoja, jotka yrityksellä jo on. Jos annoit kanta-asiakassovellukselle nimesi, puhelinnumerosi tai sähköpostiosoitteesi, nämä tiedot sijaitsevat yrityksen järjestelmissä, ja palvelinpuolen virheellisesti määritetty alusta on yhteytesi vaikutusvallan ulkopuolella. Liikenteen salaaminen ei tee mitään tietokannan suojaamiseksi, jota et koskaan kosketa.
VPN siis käsittelee kapeaa osaa riskistä: mitä tiedoillesi tapahtuu siirron aikana ja mitä verkko paljastaa sinusta. Se ei ole puolustus yrityksen puolen paljastumista, kuten tätä, vastaan.
Mitä tämä tarkoittaa sinulle
Jos olet koskaan käyttänyt McDonald'sin sovelluksia tai palveluita Indonesiassa, seuraa yrityksen virallisia tiedotteita tapauksesta. Koska lähde ei luettele vaikutuksen kohteena olevia tietotyyppejä, turvallisin oletus on, että perusyhteystiedot voivat olla mukana ja että tietojenkalasteluyrityksiä voi seurata. Tämä on varotoimenpide, ei vahvistettu havainto.
Kaikille muille opetus on laajempi. Jokainen luomasi tili lisää yhden paikan, jossa tietosi voivat sijaita suuressa, keskitetyssä järjestelmässä. Hallitset sitä, mitä luovutat, mutta et sitä, kuinka hyvin sitä suojataan. Luotettavin tapa rajoittaa altistumistasi on jakaa vähemmän ja pitää vähemmän tilejä.
Kuinka vähentää altistumistasi pikaruoka- ja kanta-asiakassovelluksissa
Et voi tarkastaa yrityksen tietoalustaa, mutta voit pienentää sitä, mitä se säilyttää sinusta:
- Listaa tilisi. Tarkista puhelimestasi ruoan tilaus-, ravintola- ja kanta-asiakassovellukset ja etsi sähköpostistasi tervetuliaisviestejä brändeiltä, jotka olet unohtanut.
- Poista se, mitä et käytä. Sulje tilit ja poista asentamatta sovellukset, joita avaat harvoin. Etsi tietojen poistamisen vaihtoehtoa asetuksista tai tietosuojakäytännöstä, ei pelkästään sovelluksen poistamista.
- Jaa vain välttämätön. Ohita valinnaiset kentät, kuten syntymäaika, kotiosoite tai ylimääräiset puhelinnumerot, rekisteröityessäsi.
- Käytä yksilöllisiä salasanoja. Salasananhallinta pitää jokaisen kanta-asiakastilin erillään, joten yksi paljastuminen ei avaa muita.
- Ota kaksivaiheinen tunnistautuminen käyttöön siellä, missä sitä tarjotaan.
- Suhtaudu skeptisesti odottamattomiin viesteihin. Tarjoukset tai tilihälytykset, jotka viittaavat äskettäiseen ostokseen, voivat olla tietojenkalasteluyrityksiä, joten mene suoraan viralliseen sovellukseen napsauttamatta linkkejä.
- Rajoita käyttöoikeuksia. Poista käytöstä sijainti- ja seurantakäyttöoikeudet, joita sovellus ei tarvitse toimiakseen.
Keskeiset huomiot
McDonald's Indonesian 40 miljoonan tietueen tietovuoto osoittaa, miten markkinointi- ja kanta-asiakasjärjestelmät voivat kerätä henkilötietoja valtavassa mittakaavassa, usein yli sen, mitä asiakkaat voivat nähdä tai hallita. VPN on hyvä työkalu yhteytesi suojaamiseen, mutta se ei turvaa tietueita, joita yritys tallentaa omille alustoilleen.
Tällä viikolla tarkista, mitkä kanta-asiakas- ja toimistussovellukset säilyttävät tietojasi, ja poista tilit, joita et enää käytä. Toisen esimerkin laajamittaisesta asiakastietueiden paljastumisesta löydät käsittelystämme Charter-tietomurrosta, ja mieti, kuinka moni omista tileistäsi sijaitsee vastaavissa järjestelmissä.
