Najveći europski lanac teretana potvrđuje veliku povredu podataka

Basic-Fit, lanac teretana koji posluje s tisućama lokacija diljem Europe, potvrdio je da su hakeri pristupili osobnim podacima otprilike milijun njegovih članova. Povreda je pogodila korisnike u Nizozemskoj, Belgiji, Francuskoj, Njemačkoj, Luksemburgu i Španjolskoj, što je čini jednim od značajnijih incidenata s potrošačkim podacima koji je pogodio fitness industriju.

Kompromitirani podaci uključuju imena, kućne adrese, adrese e-pošte, brojeve telefona, datume rođenja i podatke o bankovnim računima. Napadači su pristupili sustavu putem tvrtkinog sustava za bilježenje posjeta, koji prati prijave članova u njezinim objektima. Basic-Fit je potvrdio da lozinke i identifikacijski dokumenti nisu bili dio ukradenih podataka, što je važna razlika. Međutim, kombinacija izloženih informacija i dalje je dovoljna da nanese ozbiljnu štetu pogođenim osobama.

Koji su podaci ukradeni i zašto je to važno

Primamljivo je umanjiti važnost povrede kada lozinke nisu uključene. No skup podataka koji je ovdje izložen upravo je ono što prevaranti i phishing operateri trebaju za provođenje uvjerljivih prijevara. Kada vas netko kontaktira znajući vaše puno ime, kućnu adresu, broj telefona, datum rođenja i banku koju koristite, mogu sastavljati poruke koje je iznimno teško prepoznati kao lažne.

Podaci o bankovnim računima posebno podižu uloge. Ovisno o tome koje su specifične informacije prikupljene, ovi podaci mogli bi se koristiti za olakšavanje neovlaštenih pokušaja izravnog terećenja, lažno predstavljanje članova financijskim institucijama ili omogućavanje ciljanih napada socijalnog inženjeringa.

Basic-Fit je izravno priznao rizik od phishinga, upozoravajući članove da budu oprezni u pogledu neželjenih komunikacija koje tvrde da dolaze od tvrtke ili pružatelja financijskih usluga. To je razuman savjet, ali teret u potpunosti stavlja na pojedince da se brane od rizika koji su nastali iz korporativnog sustava nad kojim nisu imali nikakvu kontrolu.

Skriveni trošak rutinskog prikupljanja podataka

Ova povreda ilustrira širi problem s načinom na koji suvremene tvrtke prikupljaju i pohranjuju osobne podatke. Sustav za bilježenje posjeta u svojoj osnovi postoji kako bi provjerio da gymnaši ulaze u objekte koje imaju pravo koristiti. Ta funkcija sama po sebi ne zahtijeva nužno pohranjivanje podataka o bankovnim računima zajedno s kućnim adresama i brojevima telefona u jednom dostupnom sustavu.

Kada tvrtke agregiraju podatke u više funkcija, bilo za naplatu, kontrolu pristupa, marketing ili usklađenost, stvaraju konsolidirane mete. Jedna uspješna provala može donijeti daleko više nego što bi napadači dobili da su podaci bili više razgraničeni. Što više podatkovnih točaka organizacija drži o vama na jednom mjestu, taj sustav postaje vrijedniji kriminalcima.

Ovo nije problem jedinstven za Basic-Fit. Trgovci na malo, pružatelji zdravstvenih usluga, programi vjernosti i usluge pretplate rutinski akumuliraju detaljne osobne profile kao nusprodukt normalnog poslovanja. Članovi i korisnici rijetko imaju uvid u to kako su ti podaci organizirani, osigurani ili interno segregirani.

Što to znači za vas

Ako ste član Basic-Fit-a, neposredni koraci su jasni. Pratite svoj bankovni račun i sve povezane načine plaćanja za neobičnu aktivnost. Budite vrlo skeptični prema svim e-porukama, SMS-ovima ili telefonskim pozivima koji se odnose na vaše članstvo, naplatu ili podatke o računu, čak i ako se čini da komunikacija zna točne informacije o vama. Prevaranti koriste procurjele podatke kako bi dodali vjerodostojnost phishing pokušajima, a ova povreda pruža im čvrstu osnovu.

Razmislite o postavljanju upozorenja o prijevari u svojoj banci i pregledu svih ovlaštenja za izravno terećenje povezanih s vašim računom. Ako ste koristili istu kombinaciju e-pošte i lozinke za Basic-Fit na drugim uslugama, odmah promijenite te lozinke, čak i ako je Basic-Fit naveo da lozinke nisu bile dio ukradenih podataka. Sama adresa e-pošte dovoljna je za početak pokušaja punjenja vjerodajnica korištenjem prethodno procurelih popisa lozinki iz drugih povreda.

U širem smislu, ovaj incident koristan je poticaj za reviziju osobnih podataka koje ste općenito podijelili s uslugama pretplate i članstva. Minimizacija podataka, pružanje samo onog što je strogo potrebno pri prijavi za usluge, smanjuje vašu izloženost kada se dogode ovakve povrede. Nije svakoj usluzi potrebna vaša kućna adresa, a nije svakoj platformi potreban vaš datum rođenja.

Praktični zaključci

  • Provjerite izvode svog bankovnog računa za neovlaštene transakcije i postavite upozorenja o transakcijama ako ih vaša banka nudi.
  • Ignorujte neželjene kontakte koji se odnose na vaše članstvo u teretani, čak i ako pošiljatelj izgleda kao da zna točne osobne podatke.
  • Ažurirajte lozinke na svim računima koji dijele istu adresu e-pošte koju koristite za Basic-Fit.
  • Pregledajte ovlaštenja za izravno terećenje na svom bankovnom računu i otkažite ona koja ne prepoznajete.
  • Revidirajte svoj podatkovni otisak u uslugama pretplate i uklonite nepotrebno pohranjene osobne podatke gdje je moguće.
  • Omogućite dvofaktorsku autentifikaciju na svom računu e-pošte i financijskim računima ako to još niste učinili.

Povrede podataka u pouzdanim, etabliranim tvrtkama podsjetnik su da osobni podaci podijeljeni s bilo kojom organizacijom nose inherentni rizik. Najbolja zaštita dostupna pojedincima jest ograničavanje toga koji podaci postoje i mogu biti ukradeni, u kombinaciji s ostajanjem na oprezu prema prijevarama koje pouzdano slijede ove incidente.