Navodno curenje podataka kod latvijskog pružatelja usluga CSCTelecom bacilo je svjetlo na slabu točku o kojoj mnogi ljudi nikada ne razmišljaju: telekomunikacijski sloj. Prema Cybernews-u, curenje je izložilo zapise povezane s klijentima tvrtke, uključujući Swedbank, SEB, airBaltic i desetke drugih tvrtki. Za čitatelje koji pitaju što CSCTelecomovo curenje i izlaganje SMS podataka može značiti u praksi, iskren odgovor je da su detalji još uvijek ograničeni, a ovaj članak razdvaja ono što je potvrđeno od općih smjernica.

Što je CSCTelecomovo curenje navodno izložilo

CSCTelecom prvenstveno posluje u Latviji, ali Cybernews izvještava da je curenje također pogodilo tvrtke i pojedince u Litvi i Estoniji. Imenovane tvrtke uključuju Swedbank, SEB i airBaltic, uz desetke drugih. Izvješće uključuje broj zapisa i primjere zapisa, prikazane na slici iz Cybernews-a.

Ono što izvor ne govori jednako je važno. Dostupno izvješćivanje ne navodi jesu li sadržaj poruka, zapisnici poruka ili jednokratne zaporke bili izloženi, i ovaj članak ne tvrdi da jesu. Cybernews je rekao da je kontaktirao CSCTelecom za komentar i da će ažurirati svoj članak kada tvrtka odgovori. Do tada, točne vrste podataka, broj pogođenih ljudi i uzrok treba smatrati nepotvrđenima.

Šira poanta i dalje stoji. Kada tvrtka angažira telekomunikacijskog pružatelja usluga za upravljanje komunikacijom s kupcima, taj pružatelj postaje dio lanca koji štiti kupce. Problem kod pružatelja može istovremeno pogoditi klijente mnogih tvrtki, čak i ako svaka od tih tvrtki provodi vlastitu snažnu sigurnost.

Zašto su SMS jednokratne zaporke slab razlog sigurnosti

Mnoge banke, zračne kompanije i online usluge još uvijek šalju kodove za prijavu ili plaćanje putem tekstualnih poruka. To je bolje od same zaporke, ali ima dobro poznata ograničenja, a ovakav incident podsjetnik je na njih.

  • Kodovi putuju kroz treće strane. Tekstualna poruka može proći kroz agregate i telekomunikacijske pružatelje usluga prije nego što stigne na vaš telefon. Svaki od njih je još jedno mjesto gdje stvari mogu poći po zlu.
  • SIM swapping. Napadač koji uvjeri operatera da premjesti vaš broj na novu SIM karticu može primati vaše kodove.
  • Phishing. Lažna stranica za prijavu može od vas zatražiti kod i proslijediti ga u stvarnom vremenu.
  • Nedostatak vidljivosti. Ne možete vidjeti ni kontrolirati kako pružatelj usluga pohranjuje ili štiti poruke koje obrađuje za neku tvrtku.

Ništa od ovoga ne znači da trebate ignorirati SMS kodove kada su jedina opcija. Znači da su rezervno rješenje, a ne najjača brava koju možete koristiti. Autentifikatori temeljeni na aplikacijama i hardverski sigurnosni ključevi ne ovise o tekstualnoj poruci koja prelazi telekomunikacijsku mrežu, što uklanja tu kariku iz lanca.

Kako provjeriti jeste li pogođeni

Budući da curenje navodno dotiče klijente nekoliko velikih baltičkih tvrtki, kupci tih tvrtki mogu se pitati jesu li uključeni. Nekoliko praktičnih koraka pomaže:

  1. Pazite na službene obavijesti. Tvrtke imenovane u curenju obično izravno kontaktiraju pogođene kupce. Budite oprezni da je poruka koja tvrdi da je jedna od tih obavijesti autentična; prevaranti često iskorištavaju vijesti o povredi podataka.
  2. Provjerite ažuriranja izvora. Cybernews je rekao da će ažurirati svoj članak kada CSCTelecom odgovori, pa se detalji mogu promijeniti.
  3. Pregledajte aktivnost računa. Pogledajte nedavne prijave, plaćanja i promjene rezervacija za sve što ne prepoznajete.
  4. Obratite pozornost na neočekivane tekstualne poruke ili pozive. Porast čudnih poruka ili zahtjeva za verifikaciju koje niste zatražili može biti znak upozorenja.

Ne klikajte na poveznice u neželjenim porukama o ovom curenju. Sami posjetite službenu aplikaciju ili web-stranicu tvrtke.

Smanjenje vaše izloženosti curenjima na razini telekomunikacija

Ne možete kontrolirati kako pružatelj usluga iza vaše banke ili zračne kompanije postupa s podacima, ali možete ograničiti štetu ako nešto pođe po zlu.

  • Premjestite kritične račune sa SMS kodova. Prebacite bankarstvo, e-poštu i svaki račun povezan s novcem na autentifikatorsku aplikaciju ili sigurnosni ključ gdje to usluga dopušta.
  • Zaštitite svoj telefonski broj. Pitajte svog mobilnog operatera o SIM locku ili port-out PIN-u.
  • Koristite jedinstvene zaporke. Upravitelj zaporkama sprječava da jedan izloženi podatak za prijavu otključa druge.
  • Štedljivo dijelite svoj broj. Što ga manje usluga ima, to je manje mjesta s kojih može procuriti.
  • Ostanite na oprezu zbog lažnog predstavljanja. Izloženi kontaktni podaci često se koriste kako bi prevarantske poruke izgledale uvjerljivo.

VPN ne rješava ovakvu vrstu problema. Štiti vašu vezu na nepouzdanim mrežama, ali ne kontrolira što telekomunikacijski pružatelj usluga ili dobavljač neke tvrtke pohranjuje o vama. Zbog toga su zaštite na razini računa ovdje važnije.

Što to znači za vas

Ako bankarite u Swedbanku ili SEB-u ili letite s airBalticom, u dostupnom izvješćivanju nema potvrđenih dokaza da su vaši konkretni podaci izloženi i nema potrebe za panikom. Razuman odgovor je pojačati zaštitu računa koji su najvažniji, paziti na službenu komunikaciju i biti skeptični prema neočekivanim porukama. Sigurnosni propusti kod dobavljača izvan su vaše kontrole, ali koliko vas jedna pogreška može povrijediti dijelom ovisi o vama.

Iste navike vrijede za svako veliko izlaganje. Naš vodič o tome što učiniti nakon vala povreda podataka prolazi kroz praktičan popis za provjeru nakon povrede koji odgovara i ovoj situaciji. Incidenti potaknuti iznudom također su podsjetnik da tvrdnje mogu nadmašiti činjenice, kao što se vidi u nepotvrđenim tvrdnjama Stripe ShinyHunters o iznudi, stoga pričekajte potvrdu prije donošenja zaključaka.

Ključni zaključci i sljedeći koraci

Pitanje CSCTelecomovog curenja i izlaganja SMS podataka postat će jasnije kada tvrtka odgovori i kada se objavi više detalja. U međuvremenu, postupajte prema onome što možete kontrolirati:

  • Premjestite svoje najvažnije račune sa SMS kodova na autentifikatorsku aplikaciju ili sigurnosni ključ.
  • Pitajte svog operatera o SIM zaštiti.
  • Pregledajte nedavnu aktivnost na bankovnim i putnim računima.
  • Zanemarite poveznice u neželjenim porukama o povredi i umjesto toga koristite službene aplikacije.
  • Slijedite popis za provjeru u našem vodiču nakon povrede kako biste bili spremni za sljedeći incident.

Male promjene sada znače da će sljedeće curenje na razini telekomunikacija, gdje god se dogodilo, puno manje vjerojatno doći do vaših računa.