Što je povreda podataka Odida otkrila i tko je pogođen

Povreda podataka Odida jedna je od neugodnijih priča koje su ove godine izašle iz europskog telekomunikacijskog sektora. Odido, treći najveći mobilni operater u Nizozemskoj, imao je ukradene podatke 6,5 milijuna korisnika u veljači. U napadu su prikupljeni kontaktni podaci, datumi rođenja, brojevi korisničkih ID-ova i drugi osobni podaci. Ono što ovaj incident čini posebno udarnim nije samo razmjer. To je činjenica da ga je sigurnosni tim Odida u potpunosti propustio.

Tvrtka je potvrdila da je za povredu saznala tek nakon što joj se hakerska skupina ShinyHunters obratila izravno. ShinyHunters, plodna kibernetičko-kriminalna skupina poznata po krađi podataka u velikim količinama, zapravo je obavijestila žrtvu. Izvršni direktor Odida javno je priznao da su napravljene pogreške. Lozinke, podaci o naplati, zapisi poziva i podaci o lokaciji navodno nisu uključeni u ukradeni skup podataka, ali to ograničeno jamstvo ne mijenja temeljni problem: milijuni ljudi imali su izložene telekomunikacijske podatke bez znanja tvrtke.

Kako je interni sustav otkrivanja Odida zakazao mjesecima

Ovo je dio priče o povredi podataka Odida koji većina izvještavanja površno obrađuje. Napad se dogodio u veljači. Tvrtka je provela internu istragu. Ta istraga nije pronašla ništa. Trebali su sami napadači da zatvore krug.

Ovakav propust u otkrivanju nije jedinstven za Odido. Telekomunikacijske tvrtke upravljaju opsežnim CRM sustavima s milijunima zapisa, a sofisticirane tehnike upada mogu ostaviti minimalne tragove ako je napadač oprezan. No propust upućuje na sustavni jaz: interni nadzor očito nije bio dovoljan za otkrivanje eksfiltracije podataka u stvarnom vremenu. Do trenutka kada je Odido potvrdio što se dogodilo, podaci su već bili u rukama skupine s iskustvom prodaje ukradenih zapisa na tržištima darkweba.

Za kontekst o širem obrascu ShinyHuntersa, skupina je povezana s više povreda velikih razmjera u kojima su tvrtke bile slično spore ili nesvjesne. Njihov napad na Canvas ranije ove godine slijedio je usporediv obrazac: eksfiltrirati podatke, objaviti povredu javno ili putem žrtve i primijeniti pritisak. Incident s Oidom gotovo savršeno odgovara tom predlošku.

Zašto su telekomunikacijske povrede posebno opasne za privatnost

Nisu sve povrede podataka jednako rizične u naknadnim posljedicama. Telekomunikacijski podaci nalaze se na posebno opasnom raskrižju jer povezuju vaš stvarni identitet s vašim brojem telefona, a ta kombinacija otključava određeni skup napada.

Prijevara zamjenom SIM kartice najneposrednija je briga. Kada napadač ima vaše ime, broj telefona i podatke o računu, može kontaktirati vašeg operatera pretvarajući se da ste vi i zatražiti prijenos SIM kartice na uređaj koji kontrolira. Jednom kada dobije vaš broj, može presresti SMS kodove za dvofaktorsku autentifikaciju i dobiti pristup bankovnim računima, e-pošti i kripto novčanicima. To nije teorijski rizik. To je jedna od primarnih metoda monetizacije ukradenih telekomunikacijskih zapisa.

Osim zamjena SIM kartica, telekomunikacijski metapodaci omogućuju visoko ciljani phishing. Napadač koji zna vaše ime, mobilni broj i da ste korisnik određenog operatera može sastaviti uvjerljive poruke koje se lažno predstavljaju kao tim podrške tog operatera. To nisu generičke spam poruke. To su napadi društvenim inženjeringom izgrađeni iz stvarnih podataka, što ih čini znatno težima za uočavanje.

Ovo je dio šireg obrasca vidljivog u povredama diljem Europe. Curenje podataka francuskog davatelja usluga e-pošte koje je izložilo 40 milijuna zapisa i izlaganje 18 milijuna francuskih identifikacijskih zapisa od strane tinejdžerskog hakera oboje su pokazali kako agregacija osobnih podataka ubrzava rizik za pojedince, čak i kada nijedan pojedinačni podatak sam po sebi ne izgleda katastrofalno. Telekomunikacijski podaci posebno su vrijedni jer sve te agregirane informacije sidre uz dostupan, komunikacijski kanal u stvarnom vremenu.

Slojevite zaštite koje bi korisnici VPN-a trebali dodati nakon curenja telekomunikacijskih podataka

Ako ste korisnik Odida, ili jednostavno netko tko razmišlja što ova povreda znači za ljude poput vas, postoje konkretni koraci koje vrijedi poduzeti sada.

Prvo, kontaktirajte svog mobilnog operatera i zatražite dodavanje SIM zaključavanja ili zamrzavanja prijenosa na vaš račun. To znatno otežava napadaču prijenos vašeg broja bez osobne provjere. Mnogi operateri to nude i ne oglašavaju prominentno.

Drugo, uklonite se od SMS-based dvofaktorske autentifikacije gdje god je to moguće. Umjesto toga koristite aplikaciju za autentifikaciju. Ako vaš broj telefona bude kompromitiran zamjenom SIM kartice, SMS kodovi postaju odgovornost, a ne zaštita.

Treće, provjerite gdje se vaš broj telefona koristi kao metoda oporavka. Računi e-pošte, aplikacije za bankarstvo i platforme društvenih medija koje koriste vaš mobilni broj za oporavak računa potencijalne su mete ako su vaši telekomunikacijski podaci bili izloženi.

Četvrto, razmotrite VPN s DNS zaštitom od curenja za vaš mobilni uređaj. VPN ne sprječava zamjenu SIM kartice, ali dodaje sloj zaštite za pregledavanje i promet aplikacija na vašem uređaju, posebno na javnim mrežama gdje napadač može pokušati presresti promet nakon kompromitiranja SIM kartice.

Na kraju, koristite uslugu praćenja povreda kako biste pratili pojavljuje li se vaša adresa e-pošte ili broj telefona u novoizašlim skupovima ukradenih podataka. Have I Been Pwned već ima indeksiranu povredu Odida.

Što ovo znači za vas

Povreda podataka Odida podsjetnik je da tvrtke koje čuvaju vaše podatke možda ne znaju da su ukradeni dok im to netko drugi ne kaže. Propusti u otkrivanju se događaju, i kada se dogode, prozor između krađe i vaše svijesti može biti dug mjesecima. Tijekom tog prozora vaši podaci mogu biti kupljeni, prodani i korišteni.

Shvatite ovo kao poticaj za provjeru sigurnosti vašeg telekomunikacijskog računa i smanjenje oslanjanja na autentifikaciju temeljenu na broju telefona na vašim najosjetljivijim računima. Incident s Oidom vrijedi promatrati i uz širu aktivnost ShinyHuntersa. Razumijevanje obrasca ciljanja velike potrošačke platforme od strane te skupine pomaže objasniti zašto ni jedna tvrtka ni sektor nisu sigurna pretpostavka. Počnite s brojem telefona. To je ključ koji otključava više nego što većina ljudi shvaća.