Sveitsin jääkiekkoliitto on vahvistanut tietomurron, kun yli 100 000:een lajiin liittyvään henkilöön yhdistettäviä henkilötietoja joutui väärille tahoille ja listattiin verkkofoorumille. Sveitsin jääkiekon tietomurto muistuttaa siitä, että urheiluorganisaatiot pitävät hiljaisesti hallussaan suuria henkilötietovarantoja ja että näiden tietokantojen henkilöillä on usein vain vähän sananvaltaa siihen, kuinka hyvin tiedot suojataan.

Lähderaportti on lyhyt, eikä useita yksityiskohtia ole julkistettu. Tämä artikkeli pitäytyy siinä, mikä on vahvistettu, ja keskittyy siihen, mitä asianomaiset voivat järkevästi tehdä seuraavaksi.

Mitä Sveitsin jääkiekkoliitto vahvisti

Raportin mukaan yli 100 000:een Sveitsin jääkiekkoon liittyvään henkilöön kuuluvia henkilötietoja joutui hakkerien haltuun ja listattiin sen jälkeen verkkofoorumille. Liitto on myöntänyt tapauksen julkisesti.

Saatavilla oleva uutisointi ei kerro, miten hyökkääjät pääsivät sisään, milloin tunkeutuminen tapahtui tai vaadittiinko lunnaita. Siinä ei myöskään sanota, tarjotaanko tietoja myytäväksi vai jaetaanko niitä vapaasti. Kunnes liitto julkaisee lisätietoja, nämä kysymykset ovat avoimia, ja lukijoiden tulisi suhtautua varauksella kaikkiin hyökkäystä koskeviin väitteisiin, joita ei voi jäljittää viralliseen lausuntoon.

Keitä tapaus koskee ja mitä tietoja voi olla paljastunut

Ilmaisu "Sveitsin jääkiekkoon liittyvät henkilöt" on laaja. Kansallinen liitto on tyypillisesti tekemisissä pelaajien, valmentajien, tuomareiden, seuratoimihenkilöiden, vapaaehtoisten ja joskus myös fanien tai lippujen ostajien kanssa. Kuka tahansa näistä ryhmistä voi olla mukana 100 000 lasketun henkilön joukossa.

Paljastuneiden tietojen tarkkoja luokkia ei ole eritelty lähdeartikkelissa. Yleisesti ottaen urheiluliitoilla voi olla hallussaan nimiä, yhteystietoja, syntymäaikoja sekä lisenssi- tai rekisteröintitietoja. Koska yksityiskohdat ovat vahvistamattomia, turvallisin lähestymistapa on olettaa, että perushenkilöllisyys- ja yhteystiedot voivat olla vuotaneessa aineistossa, ja odottaa liiton tarkempia tietoja.

Tästä syystä tapaus on merkittävä myös yhden lajin ulkopuolella. Liigojen ja seurojen rekisteröintijärjestelmät keräävät usein paljon tietoja monien vuosien ajalta, myös nuorilta urheilijoilta ja heidän vanhemmiltaan. Yksi vaarantunut järjestelmä voi paljastaa henkilöitä, jotka eivät ole olleet lajin parissa aktiivisia pitkään aikaan. Laajemmasta kontekstista siitä, miten hyökkääjät kohdistavat urheilupaikkoihin ja -organisaatioihin, katso juttumme Thialfin jäähallin kiristyshaittaohjelmahyökkäyksestä.

Miten vuodetut tiedot ruokkivat tietojenkalastelua ja tunnusten täyttöhyökkäyksiä

Kun henkilötiedot päätyvät foorumille, ne harvoin pysyvät yhdessä paikassa. Muut rikolliset voivat kopioida, paketoida uudelleen ja käyttää niitä uudelleen. Kaksi riskiä erottuu henkilöille, jotka ovat mukana tällaisessa vuodossa.

Kohdennettu tietojenkalastelu. Jos hyökkääjä tietää nimesi, sähköpostiosoitteesi ja sen, että olet yhteydessä Sveitsin jääkiekkoon, hän voi kirjoittaa uskottavalta näyttävän viestin. Se voi esiintyä seurasi, liiton, lippupalvelun tai itse tietomurtoa koskevana "turvallisuusilmoituksena". Nämä viestit tyypillisesti työntävät sinut klikkaamaan linkkiä, avaamaan liitteen tai syöttämään salasanan.

Tunnusten täyttöhyökkäys. Jos vuodettuihin tietoihin sisältyy sähköpostiosoitteita, hyökkääjät voivat kokeilla niitä yleisesti käytettyjen salasanojen tai aiempien tietomurtojen yhteydessä paljastuneiden salasanojen kanssa muissa palveluissa, kuten sähköpostissa, pankkipalveluissa ja sosiaalisessa mediassa. Tämä toimii vain, kun ihmiset käyttävät samaa salasanaa useammassa kuin yhdessä paikassa. Se on automatisoitua ja halpaa, minkä vuoksi se on niin yleistä.

Kumpikaan hyökkäys ei edellytä, että rikollinen hakkeröi sinut suoraan. Ne riippuvat siitä, että reagoit nopeasti tai käytät samaa salasanaa uudelleen, ja molemmat ovat asioita, joita voit hallita.

Mitä tämä tarkoittaa sinulle

Jos olet koskaan pelannut, valmentanut, tuominnut, toiminut vapaaehtoisena tai rekisteröitynyt sveitsiläiseen jääkiekkoseuraan tai liittoon, pidä itseäsi mahdollisesti asianomaisena, vaikka et olisi saanut ilmoitusta. Junioreiden vanhempien tulisi tehdä samoin lastensa puolesta.

Käytännön riski ei ole dramaattinen elämäsi haltuunotto. Se on uskottavien huijausviestien lisääntyminen ja automaattisten kirjautumisyritysten kasvu tileillesi. Muutaman toimenpiteen tekeminen nyt poistaa suurimman osan tästä riskistä.

Toimenpiteet, jotka asianomaisten tulisi tehdä nyt

  • Vaihda uudelleenkäytetyt salasanat. Jos käytät samaa salasanaa urheilutilillesi ja jollekin muulle, vaihda ensin muut, aloittaen sähköpostista. Käytä jokaisessa palvelussa ainutlaatuista salasanaa, mieluiten salasananhallinnassa.
  • Ota monivaiheinen todennus käyttöön. Todennussovellus tai laitteistopääavain sähköpostissa, pankkipalveluissa ja sosiaalisissa tileissä tarkoittaa, että pelkkä varastettu salasana ei riitä.
  • Suhtaudu odottamattomiin viesteihin epäluuloisesti. Ole varovainen sähköpostien, tekstiviestien tai puheluiden suhteen, jotka mainitsevat tietomurron, seurasi tai liiton. Älä klikkaa niissä olevia linkkejä. Mene suoraan viralliselle verkkosivustolle tai ota yhteyttä organisaatioon jo tuntemillasi yhteystiedoilla.
  • Tarkkaile epätavallista toimintaa. Tarkista kirjautumishälytykset ja viimeaikainen toiminta päätileilläsi ja käy läpi tiliotteet mahdollisten outojen tapahtumien varalta.
  • Etsi virallisia päivityksiä. Seuraa liiton omia tiedotteita siitä, mitä tietoja paljastui ja mitä se suosittelee.
  • Suojaa alaikäisten tilit. Jos lapsi on rekisteröitynyt seuraan, sovella samoja toimenpiteitä hänen sähköpostiinsa ja mahdollisiin linkitettyihin tileihin.

Keskeiset havainnot

Sveitsin jääkiekon tietomurto osoittaa, kuinka paljon henkilötietoja urheiluelimet keräävät ja kuinka nopeasti ne voivat päätyä vääriin käsiin. Monet yksityiskohdat ovat vielä vahvistamattomia, joten vältä spekulaatioita ja luota virallisiin päivityksiin. Sillä välin vaihda kaikki uudelleenkäytetyt salasanat, ota monivaiheinen todennus käyttöön ja suhtaudu odottamattomiin viesteihin epäluuloisesti. Laajemman katsauksen alaan kohdistuvaan uhkaan saat lukemalla raporttimme Thialfin jäähallin kiristyshaittaohjelmahyökkäyksestä.