ShinyHunters proboj pogađa Charter: 4,9 milijuna zapisa putem vishinga

ShinyHunters proboj pogađa Charter: 4,9 milijuna zapisa putem vishinga

Povreda podataka Charter Communicationsa ponovno se pojavila kao upozoravajuća priča o modernim metodama napada koje nijedan vatrozid ne može zaustaviti. Iznuđivačka skupina ShinyHunters objavila je podatke navodno ukradene iz Charter Communicationsa, telekomunikacijskog diva koji stoji iza brenda Spectrum, nakon što je tvrtka navodno odbila platiti otkupninu. Iako je skupina prvotno tvrdila da posjeduje 42 milijuna zapisa, analiza stranice HaveIBeenPwned suzila je broj jedinstvenih, potvrđenih korisničkih zapisa na približno 4,9 milijuna. Izloženi podaci uključuju imena, kućne adrese i telefonske brojeve – vrstu osobnih informacija koje potiču naknadne prijevare i ciljano uznemiravanje.

Za korisnike koji vode računa o privatnosti, uključujući one koji se oslanjaju na VPN-ove kako bi zaštitili svoju internetsku aktivnost, ova povreda je podsjetnik da neki od najosjetljivijih podataka koje predajete nikada ne putuju kroz enkriptirani tunel. Oni se nalaze u naplatnom sustavu vašeg davatelja internetskih usluga.

Kako su ShinyHuntersi iskoristili vishing kako bi zaobišli tehničku sigurnost u Charteru

Vektor napada ovdje nije bio zero-day exploit ili sofisticirani zlonamjerni softver. Prema izvještaju o ShinyHunters vishing napadu koji je pogodio Charter, skupina je koristila glasovni phishing, poznat kao vishing, kako bi manipulirala zaposlenike da odobre pristup internim sustavima. U vishing napadu, zlonamjerni akteri izravno zovu zaposlenike, lažno se predstavljajući kao osoblje IT podrške, menadžeri ili pouzdani dobavljači kako bi izvukli vjerodajnice ili uvjerili mete da odobre lažne zahtjeve za pristup.

Ovaj pristup je učinkovit upravo zato što cilja ljudsko donošenje odluka umjesto ranjivosti softvera. Višefaktorska autentifikacija, alati za otkrivanje krajnjih točaka i praćenje mreže mogu postati beskorisni kada obučeni socijalni inženjer uvjeri pravog zaposlenika da dobrovoljno preda ključeve. Tehničke obrane osmišljene su za zaustavljanje strojeva; vishing umjesto toga zaustavlja ljude.

Koji su podaci bili izloženi i zašto davatelji internetskih usluga posjeduju toliko toga

Davatelji internetskih usluga zauzimaju jedinstveno privilegiran položaj u ekosustavu podataka. Kako bi pružili uslugu, zahtijevaju potvrđene identifikacijske podatke: najmanje vaše zakonsko ime, adresu usluge, adresu za naplatu i telefonski broj. Ovisno o povijesti računa, mogu također posjedovati zapise o plaćanjima, identifikatore uređaja i obrasce korištenja usluge. Ti podaci nalaze se u bazama podataka koje moraju biti dostupne predstavnicima korisničke službe, naplatnim sustavima i timovima tehničke podrške, što je upravo vrsta pristupa koju uspješan vishing napad može otključati.

4,9 milijuna zapisa koje je potvrdio HaveIBeenPwned predstavljaju ljude čije informacije sada kruže mrežama posrednika podataka i potencijalno se koriste za kreiranje daljnjih phishing pokušaja. Čak i ako zapis sadrži samo ime, adresu i telefonski broj, ta kombinacija je dovoljna za izgradnju uvjerljivih izgovora za naknadne prijevare koje izravno ciljaju te pojedince.

Zašto VPN-ovi ne štite od napada socijalnog inženjeringa

VPN enkriptira promet između vašeg uređaja i interneta, prikrivajući vašu aktivnost pregledavanja od vašeg davatelja internetskih usluga i sprječavajući nadzor na razini mreže. To je stvarna i vrijedna zaštita. Međutim, ne čini ništa za zaštitu podataka o računu koje vaš davatelj usluga već posjeduje prije nego što se bilo kakva veza uspostavi.

Kada se prijavite za internetsku uslugu, predajete osobne podatke kao dio ugovornog odnosa. Ti podaci postoje u Charterovim sustavima bez obzira na to koristite li VPN na svojoj vezi. Vishing napad usmjeren na Charterovo interno osoblje uopće ne dolazi u dodir s vašim enkriptiranim prometom; ide izravno u bazu podataka gdje su pohranjeni vaši podaci o naplati i računu. Povreda podataka Charter Communicationsa ilustrira strukturno ograničenje: korisnici VPN-a nisu izuzeti od povreda podataka davatelja usluga jer podaci koji su u opasnosti prethode bilo kojem alatu za privatnost koji bi mogli koristiti.

To ne znači da su VPN-ovi neučinkoviti. To znači da rješavaju određeni problem, a taj problem nije socijalni inženjering ili napadi s unutarnjim pristupom.

Praktični koraci koje korisnici svjesni privatnosti mogu poduzeti odmah

Ako ste korisnik Charters ili Spectra, najhitniji korak je provjeriti pojavljuju li se vaši zapisi u javno dostupnim bazama podataka o povredama. Osim toga, postoje konkretne radnje koje vrijedi poduzeti bez obzira na to pojavljujete li se u ovom specifičnom skupu podataka.

• Pazite na ciljani vishing usmjeren osobno na vas. Kriminalci koji dođu do vašeg imena, adrese i telefonskog broja često koriste te podatke kako bi se lažno predstavljali kao vaša banka, davatelj internetskih usluga ili vladine agencije u naknadnim pozivima. Budite skeptični prema svakom neželjenom pozivu koji od vas traži potvrdu podataka o računu ili odobravanje bilo kakve radnje.
• Osvijestite svjesnost o lažiranju brojeva. ID pozivatelja nije pouzdan pokazatelj tko vas zapravo zove. Svaki neočekivani poziv koji traži osjetljive informacije tretirajte kao sumnjiv, čak i ako broj izgleda poznato.
• Koristite jedinstvene kontaktne podatke kada je to moguće. Usluge koje generiraju maskirane telefonske brojeve ili pseudonime e-pošte ograničavaju koliko jedna povreda može eskalirati u drugu.
• Pregledajte svoj račun kod davatelja usluga radi neovlaštenih promjena. Ako su vaša adresa, kontakt broj ili podaci o plaćanju izmijenjeni bez vašeg znanja, to može ukazivati na to da je netko već koristio vaše izložene podatke.
• Zamrznite svoj kredit ako već niste. Prema trenutnim izvješćima, čini se da ova povreda ne uključuje brojeve socijalnog osiguranja, ali uparivanje izloženih adresa i telefonskih podataka s drugim procurjelim skupovima podataka uobičajena je taktika za krađu identiteta.

Za potpuniji pregled vremenskog slijeda povrede i onoga što je Charter javno potvrdio, izvještaj o ShinyHunters vishing napadu pruža dublji kontekst o tome kako se incident odvijao i što je tvrtka otkrila.

Povreda podataka Charter Communicationsa podsjetnik je da zaštita vaše privatnosti zahtijeva razmišljanje izvan okvira jednog alata. VPN-ovi, jake lozinke i dvofaktorska autentifikacija su važni, ali organizacije s kojima dijelite podatke ostaju faktor rizika izvan vaše izravne kontrole. Razumijevanje gdje vaši podaci žive i kako im se može pristupiti prvi je korak prema učinkovitom upravljanju tim rizikom.