Adidas povreda podataka: Vanjski dobavljač izložio kontaktne podatke korisnika
Adidas je potvrdio da su hakeri pribavili kontaktne podatke korisnika putem kompromitiranog vanjskog pružatelja usluga korisničke podrške. Sportski div navodi da lozinke i podaci o plaćanju nisu bili pogođeni, ali incident je jasan podsjetnik da rizici od povrede podataka putem vanjskih dobavljača sežu daleko izvan sigurnosnih praksi bilo koje pojedine tvrtke. Kada dobavljač koji ima pristup vašim podacima bude kompromitiran, vaši korisnici snose posljedice — bez obzira na to koliko su robusne vaše interne kontrole.
Kako se dogodila Adidas povreda podataka: Objašnjen pristup trećih strana
Adidas ovdje nije bio izravna površina napada. Umjesto toga, tvrtka treće strane angažirana za upravljanje operacijama korisničke podrške čuvala je podatke o Adidas korisnicima i bila je točka kompromitiranja. Ovo je klasičan napad na lanac opskrbe: umjesto pokušaja probijanja obrane velikog globalnog brenda, napadači identificiraju manjeg, često slabije zaštićenog dobavljača u ekosustavu tog brenda.
Platforme za korisničku podršku rutinski dobivaju pristup imenima, adresama e-pošte, brojevima telefona i povijesti kupnje kako bi agenti mogli odgovarati na zahtjeve za podršku. Takva razina pristupa čini ih vrijednim metama. Iz perspektive hakera, srednje veliki vanjski pozivni centar možda ima znatno manje ulaganja u sigurnost od temeljne infrastrukture Adiasa, a ipak čuva podatke o milijunima istih korisnika.
Koji su korisnički podaci bili izloženi i zašto kontaktni podaci još uvijek nisu bezopasni
Adidas je potvrdio da su izloženi podaci uključivali kontaktne informacije korisnika. Bez lozinki, bez brojeva platnih kartica. Na površini to zvuči kao usko izbjegnuta katastrofa, ali kontaktni podaci daleko su od bezopasnih.
Imena, adrese e-pošte i brojevi telefona su sirovina za phishing kampanje, napade zamjene SIM kartice i socijalni inženjering. Akter prijetnje koji zna da ste Adidas korisnik može sastaviti uvjerljive lažne e-poruke o problemima s narudžbom ili ažuriranjima programa vjernosti. To je ulazna točka za krađu vjerodajnica ili financijsku prijevaru u budućnosti.
Povreda također postavlja pitanja o tome koliko dugo je dobavljač zadržavao te podatke, jesu li bili šifrirani u mirovanju i kakve su kontrole pristupa bile na snazi. Tvrtke često dijele podatke s dobavljačima bez provođenja striktnih politika minimizacije podataka, što znači da dobavljači ponekad čuvaju više informacija nego što im je stvarno potrebno za obavljanje posla.
Problem lanca dobavljača: Zašto veliki brendovi neprestano bivaju pogođeni putem dobavljača
Adidas nije jedini. Obrazac u kojemu su veliki trgovci izloženi putem partnera trećih strana dobro je utvrđen i u porastu. Gotovo identičan scenarij odvio se sa Zarom, gdje je kibernapad na bivšeg pružatelja tehnoloških usluga izložio osobne podatke otprilike 197.400 korisnika, a s incidentom je povezana skupina ShinyHunters. Oba slučaja slijede istu logiku: napadni dobavljača, dosegni korisnike brenda.
Problem je strukturalan. Globalni brendovi oslanjaju se na razgranate mreže izvođača, vanjskih usluga i SaaS platformi. Svaka od tih veza potencijalna je ulazna točka, a sigurnosni položaj svakog dobavljača uvelike se razlikuje. Tvrtka može snažno ulagati u vlastitu sigurnosnu arhitekturu i još uvijek biti izložena jer vanjski pružatelj usluga korisničke podrške s druge strane svijeta nije primijenio višefaktorsku autentifikaciju na svojim administratorskim računima.
Ovo nije ograničeno na maloprodaju. Ista dinamika pojavila se u zdravstvenoj skrbi, telekomunikacijama i IT uslugama. Razmjer i osjetljivost izloženih podataka razlikuju se, ali temeljni rizici od povrede podataka putem vanjskih dobavljača strukturno su isti u svim industrijama.
Iznad VPN-ova: Minimizacija podataka i transparentnost dobavljača kao alati privatnosti
Većina savjeta o privatnosti usredotočena je na ono što pojedinci mogu učiniti: koristiti snažne lozinke, omogućiti dvofaktorsku autentifikaciju, paziti na phishing e-poruke. Ti savjeti ostaju valjani. No Adidas povreda podataka ilustrira da individualne mjere opreza imaju ograničenja kada tvrtka koja čuva vaše podatke ne primjenjuje isti rigor prema svojim dobavljačima.
Za organizacije, praktične poluge su revizije dobavljača, ugovorni zahtjevi za minimizaciju podataka i stroge kontrole pristupa koje upravljaju time koje informacije treće strane mogu pohraniti i koliko dugo. Dobavljači bi trebali čuvati samo podatke koji su im stvarno potrebni za obavljanje ugovorene funkcije, a ti podaci trebali bi biti izbrisani prema definiranom rasporedu.
Za potrošače, realan zaključak odnosi se na upravljanje izloženošću, a ne na njeno eliminiranje. Korištenje namjenske adrese e-pošte za račune u maloprodaji, opreznost prema svakom neželjenom kontaktu koji se referira na vaše kupnje te praćenje pokušaja phishinga nakon objava o povredama — sve su to razumni koraci. Alati za aliasiranje e-pošte s naglaskom na privatnost mogu također smanjiti razmjere štete kada dobavljač koji čuva jednu od vaših adresa bude kompromitiran.
Što to znači za vas
Ako imate Adidas račun, u nadolazećim tjednima s posebnim oprezom pristupajte svim dolaznim e-porukama ili porukama koje se referiraju na vaš račun, narudžbe ili osobne podatke. Ne klikajte na poveznice u neželjenim e-porukama koje tvrde da dolaze od Adiasa, čak i ako izgledaju legitimno. Ako svoju Adidas adresu e-pošte ili korisničko ime koristite i drugdje, ovo je dobar trenutak za pregled tih računa.
Šire gledano, incidente poput ovog vrijedi pratiti jer otkrivaju sustavne obrasce. Pregled načina na koji se odvijaju slične povrede, uključujući povredu podataka Zare putem vanjskog dobavljača, daje jasniju sliku o tome kako funkcionira izloženost maloprodajnih dobavljača i koje informacije su obično u opasnosti.
Ključne poruke:
- Kontaktni podaci napadačima su stvarno vrijedni čak i bez lozinki ili podataka o plaćanju.
- Rizici od povrede podataka putem vanjskih dobavljača znače da su vaši podaci zaštićeni onoliko koliko je zaštićena najslabija karika u mreži dobavljača nekog brenda.
- Gdje je to moguće, koristite zasebne adrese e-pošte za račune u maloprodaji kako biste ograničili izloženost na više platformi.
- Budite oprezni na pokušaje phishinga koji se referiraju na vaš odnos s brendom nakon svake objave o povredi podataka.
- Pritisak na tvrtke da objave prakse revizije dobavljača i politike zadržavanja podataka legitiman je potrošački problem koji vrijedi pokrenuti.
