Novo izvješće CyberStationa navodi da je pronašlo 1,8 milijuna bangladeških zapisa koji kruže dark webom. Taj je nalaz koristan podsjetnik da izloženost podataka na dark webu u Bangladešu rijetko kada proizlazi iz jednog dramatičnog incidenta. Češće je to sporo nakupljanje mnogih manjih curenja koja nikada ne nestaju.
Izvorni je članak kratak, pa se ovaj tekst drži onoga što je objavljeno i objašnjava što to znači za obične ljude.
Što je CyberStation pronašao na dark webu
Prema izvješću, državne službe činile su najveći udio izloženih zapisa građana. Tehnologija i telekomunikacije imale su najviše stope izloženosti, što znači da su se ti sektori najviše pojavljivali u podacima koje je CyberStation pregledao.
Naslovna brojka je 1,8 milijuna zapisa. To je velik broj, ali važniji je detalj kako je sastavljen. CyberStation nije pregledao jednu procurjelu bazu podataka. Pregledao je podatke koji kruže dark webom i pripisao ih nizu izvora.
Izvješće nije potvrdilo konkretan izvor povrede podataka. Nijedna tvrtka, agencija ni incident nisu imenovani kao podrijetlo zapisa.
Zašto podaci potječu iz mnogih povreda, a ne jedne
Vjerojatno objašnjenje, prema izvješću, jest da zapisi potječu iz više povreda podataka trećih strana tijekom vremena. Drugim riječima, to nije svježe curenje na koje se ljudi mogu usmjeriti i na njega odgovoriti. To je skup podataka koji se nakupio iz ranijih incidenata.
To je važno jer ukradeni osobni podaci ne istječu kada priča o povredi izblijedi. Jednom kada se zapisi kopiraju, mogu se preprodavati, spajati s drugim skupovima podataka i ponovno koristiti godinama. Ime i telefonski broj iz jednog incidenta mogu se upariti s adresom e-pošte iz drugog, stvarajući potpuniji profil nego što bi to pružila bilo koja pojedinačna povreda.
To također objašnjava zašto se ljudi ne mogu pouzdati u jednu obavijest o povredi kako bi znali jesu li pogođeni. Ako izloženost potječe od nekoliko nepovezanih trećih strana, možda ne postoji nijedna organizacija odgovorna da vam to kaže. Možda nikada nećete primiti nikakvu obavijest, iako su vaši podaci u optjecaju.
Taj je obrazac poznat i drugdje. Telekomunikacijski podaci i identitetski podaci koje drže državne institucije bili su meta u drugim nedavnim slučajevima, poput povrede Odida koja je zahvatila 6,5 milijuna korisnika u Nizozemskoj i povrede ANTS ID-a s 18 milijuna zapisa u Francuskoj. To su odvojeni događaji i ništa u izvješću CyberStationa ne povezuje ih s Bangladešom. Oni jednostavno pokazuju kako iste vrste organizacija drže podatke koje napadači smatraju vrijednima.
Zašto bi brojka od 1,8 milijuna mogla biti manja od stvarne
CyberStation svoje brojke opisuje kao konzervativne i navodi da bi stvarna izloženost mogla biti veća. Nekoliko je razloga zašto je to vjerojatno, iako samo izvješće treba smatrati mjerodavnim za vlastitu metodologiju.
Svako brojanje podataka s dark weba ovisi o tome što istraživači mogu pronaći i kojima mogu pristupiti. Privatni forumi, zatvorene prodaje i skupovi podataka koji se razmjenjuju izravno među kupcima teže su mjerljivi. Zapisi koji se preklapaju u nekoliko povreda također kompliciraju brojanje, jer se ista osoba može pojaviti u više od jednog izvora.
Praktični zaključak jest da 1,8 milijuna treba čitati kao donju, a ne gornju granicu. To je snimka onoga što je bilo vidljivo, a ne potpuni obračun svega što je izloženo.
Što to znači za vas
Ako živite u Bangladešu ili ste koristili bangladeške državne, telekomunikacijske ili tehnološke usluge, pretpostavite da su neki od vaših podataka možda već vani. To nije razlog za paniku, ali bi trebalo promijeniti način na koji se štitite.
Glavni rizici ove vrste izloženosti su phishing, SMS prijevare i pokušaji preuzimanja računa. Napadači koji znaju vaše ime, telefonski broj ili adresu e-pošte mogu sastaviti uvjerljive poruke, osobito ako izgledaju kao da dolaze od telekomunikacijskog operatera ili državnog ureda.
Budući da su podaci stari i raspršeni, najučinkovitije su obrane one koje djeluju bez obzira na to iz koje povrede potječu vaši podaci.
Kako provjeriti svoju izloženost i smanjiti rizik
Započnite provjerom pojavljuju li se vaša adresa e-pošte i telefonski broj u poznatim povredama. Ugledni alati za obavještavanje o povredama omogućuju pretragu prema adresi e-pošte, a neki pokrivaju i telefonske brojeve. Pogodak ne znači da ste danas hakirani, ali vam govori kojim računima treba posvetiti pozornost.
Zatim učvrstite svoje račune:
- Koristite jedinstvene lozinke za svaki račun, idealno pohranjene u upravitelju lozinki, kako jedna stara povreda ne bi mogla otključati ostale.
- Uključite višefaktorsku autentifikaciju (MFA), po mogućnosti s aplikacijom za autentifikaciju umjesto SMS-a.
- Budite skeptični prema neočekivanim porukama koje spominju vaše ime, broj ili podatke o računu. Obratite se organizaciji putem službenog kanala umjesto da odgovorite.
- Dijelite manje osobnih podataka s državnim i telekomunikacijskim uslugama. Navedite samo ono što je obvezno i izbjegavajte neobavezna polja koja povećavaju količinu podataka koje organizacija ima o vama.
Također je vrijedno zapamtiti da izloženost nije ograničena na jedan sektor. Čak su se i agencije za zapošljavanje i komunalna poduzeća suočile s napadima, kao što se vidi u navodnoj povredi u United Personnelu, pa navika ograničavanja onoga što predajete vrijedi široko.
Ključni zaključci
Izvješće CyberStationa pokazuje da je izloženost podataka na dark webu u Bangladešu trajno stanje, a ne pojedinačni događaj s jasnim početkom i krajem. Uz 1,8 milijuna zapisa povezanih s više prošlih povreda trećih strana i brojkama koje mogu podcjenjivati stvarni ukupni broj, čekanje na obavijest nije pouzdana strategija.
Provjerite pojavljuju li se vaša adresa e-pošte i telefonski broj u poznatim povredama, prijeđite na jedinstvene lozinke s MFA-om i dijelite manje osobnih podataka s državnim i telekomunikacijskim uslugama. Slučajevi Odido i ANTS pokazuju kako identitetski podaci koje drže telekomunikacijski operateri i javne agencije mogu biti izloženi, pa je smanjenje onoga što dajete jedan od rijetkih koraka koji je potpuno u vašoj kontroli.
