Proboj podataka u London Hydrou ostavio je podatke kupaca izloženima
Jedno kanadsko elektroprivredno poduzeće priznalo je proboj podataka u komunalnom poduzeću koji je možda ugrozio imena, adrese i podatke o računima kupaca, no tvrtka je ponudila malo jasnoće o tome kako je do upada došlo, koliko je ljudi pogođeno ili koliko su dugo napadači mogli imati pristup. London Hydro, koji opslužuje grad London u Ontariju, potvrdio je incident, ali je ostavio nekoliko ključnih pitanja neodgovorenima, što izaziva zabrinutost oko standarda transparentnosti kada pružatelji osnovnih usluga rukuju osjetljivim osobnim podacima.
Zašto su komunalna poduzeća lake mete za cyber kriminalce
Komunalna poduzeća zauzimaju neugodan položaj u svijetu kibernetičke sigurnosti. Posjeduju velike količine osobnih i financijskih podataka o kupcima koji nemaju praktičnog izbora nego poslovati s njima. Za razliku od maloprodajne aplikacije ili usluge strujanja, kupci ne mogu jednostavno izbrisati svoje račune i otići od lokalnog opskrbljivača električnom energijom.
Taj zarobljeni odnos stvara okruženje bogato podacima koje napadači smatraju privlačnim. Komunalna poduzeća prikupljaju kućne adrese, povijest naplate, podatke o plaćanju, a u nekim slučajevima i obrasce potrošnje koji mogu otkriti kada je nekretnina zauzeta. Ova kombinacija osobno identificirajućih podataka i podataka o ponašanju vrijedna je za prijevare, socijalni inženjering i krađu identiteta.
Operativni zahtjevi također idu protiv snažnih sigurnosnih mjera. Mnoge mreže komunalnih poduzeća oslanjaju se na naslijeđenu infrastrukturu koja nikada nije bila dizajnirana s modernom kibernetičkom sigurnošću na umu. Zakrpanje sustava ili isključivanje infrastrukture radi sigurnosnih ažuriranja može izravno biti u sukobu s obvezom održavanja svjetla. Rezultat je industrija koja nosi vrijedan teret podataka, dok ponekad zaostaje u sigurnosnim kontrolama koje su drugi sektori normalizirali.
Problem nije jedinstven za London Hydro. U jednom značajnom kanadskom primjeru, Nova Scotia Power pretrpio je proboj koji je izložio osobne podatke otprilike 915.000 sadašnjih i bivših kupaca nakon što je jedan zaposlenik stupio u interakciju sa zlonamjernim skočnim prozorom. Taj incident ilustrira kako jedna točka kvara unutar velike komunalne organizacije može prerasti u značajan događaj narušavanja privatnosti koji pogađa gotovo milijun ljudi.
Što je London Hydro otkrio, a što nije o proboju
Javna izjava London Hydra potvrdila je da su imena, kućne adrese i podaci o računima možda bili izloženi tijekom upada. Osim toga, objava je štura. Tvrtka nije potvrdila vektor napada, što znači da nije rekla je li proboj uključivao phishing, ranjivost u sustavima okrenutim prema van, ransomware ili neku sasvim drugu metodu.
Vremenski okvir upada također ostaje nejasan. Kupcima nije rečeno kada je proboj započeo, kada je otkriven niti koliko je dug bio razmak između ta dva događaja. Taj je prozor važan jer određuje koliko su dugo napadači imali za prikupljanje, kopiranje ili zloupotrebu onoga čemu su pristupili.
Nedostatak ovih detalja frustrirajući je za kupce koji pokušavaju procijeniti svoj osobni rizik i odražava širi obrazac u objavama o probojima u komunalnim poduzećima. Regulatori u Kanadi zahtijevaju obavijest o probojima koji predstavljaju stvarni rizik od značajne štete prema Zakonu o zaštiti osobnih podataka i elektroničkih dokumenata (PIPEDA), ali zakon postavlja donju granicu za objavu, a ne gornju. Tvrtke tehnički mogu biti usklađene, a da pritom uskrate detalje koji bi pomogli pogođenim pojedincima da donesu informirane odluke.
Tko je pogođen i koji bi podaci mogli biti ugroženi
London Hydro opslužuje kućanstva i poslovne korisnike diljem Londona u Ontariju. Iako tvrtka nije objavila točan broj pogođenih računa, svaki proboj koji uključuje imena, adrese i podatke o računima stvara značajnu izloženost za ljude u toj bazi podataka.
Kombinacija kućne adrese i broja računa opasnija je od svakog podatka pojedinačno. Prevaranti mogu koristiti detalje računa za lažno predstavljanje kupaca prilikom kontaktiranja komunalnog poduzeća, potencijalno preusmjeravajući komunikaciju o naplati ili postavljaju lažne zahtjeve za usluge. Kućne adrese, uparene s imenima, mogu se unakrsno povezati s drugim procurjelim skupovima podataka radi izgradnje potpunijih profila pogodnih za ciljani phishing ili fizičku prijevaru.
Ako su podaci o plaćanju bili uključeni u izložene podatke, rizik dalje eskalira. U vrijeme pisanja, London Hydro nije potvrdio jesu li financijski detalji poput bankovnih informacija ili brojeva kreditnih kartica bili dio izloženosti, što je i samo po sebi značajan nedostatak u objavi.
Kako se zaštititi kada je vaš pružatelj komunalnih usluga probijen
Kada dođe do proboja podataka u komunalnom poduzeću, kupci imaju ograničenu polugu, ali nekoliko praktičnih opcija za smanjenje daljnje štete.
Provjerite svoje račune za neuobičajene aktivnosti. Prijavite se na svoj London Hydro račun i pregledajte nedavne račune i kontakt podatke. Ako su vaša adresa ili kontakt informacije promijenjene bez vašeg znanja, odmah to prijavite komunalnom poduzeću.
Postavite upozorenje o prijevari ili zamrzavanje kredita. U Kanadi možete kontaktirati Equifax Canada ili TransUnion Canada kako biste postavili upozorenje o prijevari na svoj kreditni dosje. Zamrzavanje kredita ide dalje, ograničavajući nove kreditne upite dok ga ne ukinete. Ni jedno ni drugo ne košta, a oboje može spriječiti kradljivce identiteta u otvaranju novih računa na vaše ime.
Pazite na naknadne phishing poruke. Procurjeli podaci često završe u rukama phishing operatera koji sastavljaju uvjerljive poruke pretvarajući se da su iz samog komunalnog poduzeća. Budite skeptični prema bilo kojem e-mailu, poruci ili telefonskom pozivu koji tvrdi da dolazi iz London Hydra i traži od vas da potvrdite podatke o računu ili kliknete na poveznicu.
Koristite jedinstvenu e-mail adresu za račune komunalnih usluga. Ako koristite isti e-mail na više usluga, proboj kod jednog pružatelja može vas učiniti ranjivijima drugdje. Gdje je to moguće, koristite namjensku e-mail adresu za račune komunalija kako bi napadi popunjavanja vjerodajnica imali manju površinu za djelovanje.
Redovito nadzirite svoj kreditni izvještaj. Oba glavna kanadska kreditna ureda omogućuju besplatan pristup vašem kreditnom izvještaju. Povremeno pregledavanje pomaže u ranom otkrivanju znakova prijevare identiteta, kad ih je lakše riješiti.
Proboj u London Hydru podsjetnik je da organizacije koje drže naše najvažnije osobne podatke nisu uvijek najotvorenije kad stvari krenu po zlu. Kupci zaslužuju jasnije objave, brže vremenske okvire i djelotvornije informacije kada su njihovi podaci ugroženi. Dok regulatorni standardi ne dostignu to očekivanje, teret zaštite pada nerazmjerno na pogođene pojedince. Poduzimanje čak i nekoliko gore navedenih koraka može značajno smanjiti prozor prilike za svakoga tko je možda dobio pristup vašim informacijama.
