Sigurnosna ranjivost ispravljena je u bazi podataka koja sadrži više od 125 milijuna tekstualnih poruka koje su latvijske i litavske banke, osiguravatelji, trgovci i pružatelji usluga poslali svojim klijentima. Pružatelj usluga koji stoji iza sustava kaže da je problem riješen. Ovaj slučaj jasan je primjer rizika curenja podataka kod SMS pružatelja usluga: osjetljive poruke često se nalaze kod dobavljača kojeg korisnici nikada nisu odabrali i za kojeg možda ne znaju da postoji.

Dostupno izvještavanje za sada je kratko, pa se ovaj tekst drži onoga što je navedeno i objašnjava zašto je to važno.

Što je bilo izloženo u baltičkoj SMS bazi podataka

Prema izvješću, zahvaćena baza podataka sadržavala je više od 125 milijuna tekstualnih poruka. Radilo se o porukama od tvrtki prema klijentima koje su poslali latvijske i litavske banke, osiguravatelji, trgovci i pružatelji usluga. Izvor problem opisuje kao ranjivost koja je sada ispravljena, a naslov je okviruje kao moguće curenje podataka.

Ta formulacija je važna. Ranjivost znači da je postojala slabost. Ona sama po sebi ne potvrđuje da je itko pristupio podacima ili ih kopirao. Izvorni materijal koji imamo ne navodi koliko je dugo slabost postojala, tko ju je mogao pronaći ni jesu li neovlaštene strane doista pregledale ikakve poruke.

Ipak, o vrsti sadržaja koji takva baza podataka obično sadrži vrijedi razmisliti. Tvrtke često koriste SMS za jednokratne pristupne kodove, bankovne obavijesti, ažuriranja o dostavi i obavijesti o računu. Takve poruke mogu otkriti s kojom bankom osoba posluje, što je kupila, kamo ide pošiljka i koje usluge koristi. Čak i bez ijedne zaporke, taj je kontekst vrijedan nekome tko planira uvjerljivu prijevaru.

Zašto su vanjski pružatelji poruka skriveni rizik

Većina ljudi pretpostavlja da banka ili trgovac sami šalju svoje tekstove. U praksi mnoge organizacije taj posao prepuštaju pružatelju usluga razmjene poruka koji stoji između tvrtke i mobilne mreže. Klijent posluje s brendom, ali sadržaj poruke prolazi kroz zasebnu tvrtku i ona ga može pohraniti.

To stvara nekoliko problema:

  • Nevidljivi odnosi. Klijenti rijetko vide koji dobavljači obrađuju njihove podatke, pa ne mogu procijeniti sigurnost dobavljača.
  • Koncentrirani podaci. Jedan pružatelj može posluživati mnoge klijente u nekoliko zemalja. Jedna ranjivost može istovremeno zahvatiti poruke banaka, osiguravatelja i trgovina, što omogućuje brojku poput 125 milijuna poruka.
  • Pitanja zadržavanja. Zapisnici poruka mogu se čuvati radi rješavanja problema ili izvještavanja. Što se dulje čuvaju, to je više toga izloženo.

Isti se obrazac pojavljuje u drugim incidentima koje smo obradili. Naš pregled rizika trećih strana u proboju Trump Mobile pokazuje kako podaci koji se nalaze izvan zidova samog brenda ipak mogu postati problem tog brenda. Proboj podataka u Fakturowniji upućuje na sličnu poantu o platformi koja drži mnogo više nego što njezino ime sugerira.

Što dobavljačevo rješenje potvrđuje, a što ne

Izjava pružatelja usluga da je problem ispravljen dobra je vijest, ali odgovara samo na dio pitanja.

Što sugerira: konkretna ranjivost više nije otvorena, pa isti put ubuduće ne bi trebao biti dostupan.

Što ne potvrđuje, na temelju izvora:

  • Je li ikakva treća strana pristupila porukama prije ispravka.
  • Jesu li izložene poruke uključivale kodove ili osobne podatke koji su još uvijek iskoristivi.
  • Je li neovisna provjera potvrdila popravak.
  • Hoće li zahvaćene tvrtke obavijestiti svoje klijente.

Dok se te točke javno ne razjasne, razuman je stav ni panika ni samozadovoljstvo. Ispravak treba smatrati nužnim korakom, a ne potpunim znakom da je sve u redu. Organizacije koje su koristile tog dobavljača najbolje mogu objasniti što, ako išta, klijenti trebaju učiniti.

Što to znači za vas

Ako bankarite, osiguravate se ili kupujete kod latvijskih ili litavskih tvrtki, vaše su poruke možda prošle kroz ovakav sustav. Čak i ako ste drugdje, pouka vrijedi: svaka usluga koja vam šalje tekstualne poruke oslanja se na lanac dobavljača koji ne možete provjeriti.

Realističan rizik obično nije dramatično preuzimanje računa na temelju jednog starog teksta. To je ciljani phishing. Prevarant koji zna da ste nedavno primili obavijest o dostavi ili bankovnu obavijest može napisati lažnu poruku koja izgleda autentično, koristeći stvarne pojedinosti kako bi zadobio vaše povjerenje. Stariji jednokratni kodovi trebali bi biti istekli, ali prijava putem SMS-a i sama ostaje slaba karika jer se tekstovi mogu presresti, proslijediti ili izložiti na mjestima koja ne kontrolirate. Naš tjedni sigurnosni pregled također bilježi kako se phishing trikovi neprestano razvijaju, što je podsjetnik da ostanete skeptični prema neočekivanim porukama.

Kako se zaštititi od SMS phishiga i rizika 2FA

Ne možete odabrati pružatelja usluga razmjene poruka svoje banke, ali možete smanjiti koliko vas izloženi tekst može naštetiti.

  1. Odmaknite se od SMS kodova gdje je moguće. Koristite aplikaciju za autentifikaciju ili hardverski sigurnosni ključ za dvofaktorsku autentifikaciju. Oni ne putuju kroz sustave tekstualnih poruka.
  2. Neka SMS ostane samo rezervna opcija. Ako usluga zahtijeva provjeru tekstom, uključite je, ali dodajte jače opcije gdje god usluga to dopušta.
  3. Ne vjerujte porukama koje spominju stvarnu aktivnost. Tekst koji spominje stvarnu narudžbu ili banku ne dokazuje da je stvaran. Ne dodirujte poveznice; otvorite službenu aplikaciju ili sami upišite adresu.
  4. Nikada ne dijelite kodove. Nijedna legitimna banka ili trgovac neće tražiti da naglas pročitate jednokratni kod.
  5. Pazite na svoje račune. Provjeravajte izvatke i obavijesti o prijavi na neuobičajeno, a sumnjivu aktivnost brzo prijavite svojoj banci.
  6. Pitajte svoje pružatelje usluga. Ako želite znati kako tvrtka postupa s podacima iz poruka, pitajte tko ih obrađuje i koliko dugo ih čuva.

Ključna poanta

Ispravak ove baltičke baze podataka dobrodošao je, ali ostavlja otvorena pitanja o tome je li se podacima ikada pristupalo. Šira pouka o rizicima curenja podataka kod SMS pružatelja usluga vrijedi bez obzira na to: osjetljive obavijesti prolaze kroz dobavljače koje nikada niste odabrali, a vi možete kontrolirati samo svoju stranu. Prijeđite na 2FA putem aplikacije ili hardvera, ostanite oprezni prema svakoj poruci koja spominje stvarnu aktivnost i pročitajte više o tome kako vanjski dobavljači stvaraju izloženost u našim tekstovima o proboju Trump Mobile i incidentu u Fakturowniji.