Hakiranje Nova Scotia Power: 915.000 korisnika izloženo jednim klikom

U travnju 2025., jedan zaposlenik tvrtke Nova Scotia Power kliknuo je na zlonamjerni skočni prozor. Taj jedan trenutak bio je dovoljan da se izloži osobne podatke otprilike 915.000 sadašnjih i bivših korisnika, prema nalazima Povjerenika za privatnost Kanade. Ovaj incident je jasna opomena da čak ni veliki pružatelji kritične infrastrukture nisu imuni na napade socijalnog inženjeringa, te da su vaši osobni podaci sigurni samo onoliko koliko je sigurna najslabija karika u bilo kojoj organizaciji koja ih čuva.

Koji su podaci bili izloženi

Opseg informacija kompromitiranih u ovom incidentu iznimno je zabrinjavajući. Pogođeni korisnici mogli su imati izložene sljedeće podatke:

  • Puna imena
  • Telefonski brojevi
  • E-mail adrese
  • Poštanske adrese
  • Datumi rođenja
  • Povijest korisničkih računa, uključujući evidenciju plaćanja, povijest naplate i kreditnu povijest
  • Brojevi bankovnih računa
  • Brojevi vozačkih dozvola
  • Brojevi socijalnog osiguranja (SIN)

Ovo nije beznačajno curenje podataka. Kombinacija brojeva bankovnih računa, SIN-ova i brojeva vozačkih dozvola napadačima pruža gotovo sve što im je potrebno za počinjenje prijevare identiteta ili otvaranje lažnih računa u nečije ime. Činjenica da su se ti podaci nalazili u sustavima komunalnog poduzeća — tvrtke s kojom većina ljudi komunicira jednostavno kako bi imala struju — naglašava koliko su naše osjetljive informacije rasprostranjene po organizacijama o kojima rijetko razmišljamo.

Kako je skočni prozor srušio obranu energetske tvrtke

Metoda napada ovdje nije bio sofisticirani zlonamjerni softver koji je razvila neka država. Radilo se o zlonamjernom skočnom prozoru — onoj vrsti prozora s kojom se većina nas susrela tijekom pregledavanja interneta. Jedan zaposlenik ga je kliknuo, i to je bilo dovoljno da se otvore vrata u sustave tvrtke Nova Scotia Power.

Ovo je socijalni inženjering u svom najosnovnijem obliku. Napadači ne moraju uvijek probijati vatrozidove ili zaobilaziti enkripciju. Često je najlakši put onaj koji prolazi kroz čovjeka. Uvjerljiv skočni prozor, lažni upit za prijavu ili dobro osmišljena phishing poruka e-pošte može za nekoliko sekundi zaobići višestruke slojeve tehničke sigurnosti.

Velike organizacije ulažu mnogo u perimetarsku sigurnost, ali ponašanje korisnika ostaje jedna od najtežih varijabli za kontrolu. Nijedan IT odjel, bez obzira na proračun ili stručnost, ne može jamčiti da će svaki zaposlenik uvijek donijeti ispravnu odluku. To nije kritika zaposlenika tvrtke Nova Scotia Power; to je jednostavno stvarnost načina na koji ovi napadi funkcioniraju. Dizajnirani su da budu uvjerljivi i osmišljeni su da iskoriste kratki trenutak kada je nečija pažnja smanjena.

Što to znači za vas

Ako ste sadašnji ili bivši korisnik tvrtke Nova Scotia Power, trebali biste ozbiljno shvatiti sljedeće korake:

Pratite svoje račune. Pregledajte bankovne izvode i kreditne izvještaje zbog bilo kakve neobične aktivnosti. U Kanadi možete zatražiti besplatni kreditni izvještaj od tvrtki Equifax i TransUnion.

Budite oprezni s phishing pokušajima. Budući da su vaša e-mail adresa, ime i povijest računa potencijalno sada u rukama napadača, možete postati meta iznimno personaliziranih phishing e-mailova. Budite skeptični prema svakoj poruci koja od vas traži da kliknete na poveznicu ili date informacije, čak i ako izgleda kao da dolazi iz pouzdanog izvora.

Omogućite višefaktorsku autentifikaciju (MFA) svugdje gdje možete. MFA dodaje drugi sloj provjere vašim računima, što napadačima znatno otežava pristup čak i ako imaju vašu lozinku.

Razmotrite zamrzavanje kredita. Ako ste zabrinuti zbog prijevare identiteta, zamrzavanje kredita pri kanadskim kreditnim uredima može spriječiti otvaranje novih računa u vaše ime bez vašeg izričitog odobrenja.

Ubuduće prakticirajte minimizaciju podataka. Pažljivo razmislite koje osobne informacije dijelite s bilo kojom uslugom i navedite samo ono što je strogo potrebno.

Vrijedi se osvrnuti i na širu točku: ne možete kontrolirati kako svaka organizacija pohranjuje ili štiti vaše podatke. Komunalna poduzeća, osiguravatelji, trgovci na malo i pružatelji zdravstvenih usluga — svi čuvaju dijelove vašeg osobnog profila. Kada jedan od njih bude kompromitiran, posljedice padaju na vas. Zato je važno nadograditi vlastite mjere zaštite privatnosti — ne zato što to sprječava hakerski napad na neku tvrtku, već zato što smanjivanje ukupne izloženosti ograničava štetu kada do napada ipak dođe.

Shvatite vlastitu privatnost ozbiljno

Incident s tvrtkom Nova Scotia Power korisna je poticajna točka za preispitivanje vlastitih digitalnih navika. Korištenjem VPN-a poput hide.me šifrirate vlastiti internetski promet i maskirate svoju IP adresu, što pomaže u zaštiti vaše mrežne aktivnosti od promatranja ili presretanja — posebno na javnim ili nezaštićenim mrežama gdje su zlonamjerni skočni prozori i phishing preusmjeravanja češći. To neće spriječiti hakiranje komunalnog poduzeća, ali je praktičan dio šire strategije zaštite privatnosti.

Uz VPN, koristite snažne, jedinstvene lozinke za svaki račun, MFA gdje god je dostupan, te zdravu skeptičnost prema neželjenim porukama — i imat ćete smislenu obranu od mnogih posrednih rizika koji proizlaze iz ovakvih incidenata.

Tvrtke će i dalje biti meta napada. Zaposlenici će ponekad kliknuti na pogrešnu stvar. Pitanje je koliko ste vi spremni kada se to dogodi.