Az ADT adatszivárgás 5,5 millió ügyfelet érint egy vishing-támadást követően
Az ADT otthonbiztonsági vállalat megerősítette, hogy adatszivárgás történt, amely körülbelül 5,5 millió ügyfelét érinti, és amelynek során nevek, telefonszámok és lakcímek kerültek illetéktelen kezekbe. Kisebb számú esetben társadalombiztosítási számok is kiszivárogtak. A jogsértés nem kifinomult hálózati behatolás vagy zero-day sebezhetőség kihasználásának eredménye volt. Egy telefonhívással kezdődött.
A beszámolók szerint a ShinyHunters hackercsoport hangalapú adathalász technikát, más néven vishingot alkalmazott, amelynek segítségével rávett egy ADT-alkalmazottat, hogy adja ki Okta egyszeri bejelentkezési (SSO) hitelesítő adatait. A megszerzett hitelesítő adatok segítségével a támadók hozzáfértek az ADT Salesforce-környezetéhez, ahol az ügyféladatokat tárolták. Az eset egyértelműen emlékeztet arra, hogy még azokat a vállalatokat is meg lehet dönteni egyetlen feltört alkalmazotti fiókkal, amelyek teljes üzleti modellje az emberek otthonának védelmére épül.
Mi az a vishing, és miért olyan hatékony?
A vishing egy telefonon keresztül végrehajtott social engineering támadás. A támadó általában megbízható félnek adja ki magát – például egy kollégának, IT-támogatási munkatársnak vagy szállítói képviselőnek –, és rámanipulálja az áldozatot, hogy érzékeny információkat vagy hitelesítő adatokat adjon ki. A rosszindulatú programokkal vagy hálózati támadásokkal ellentétben a vishing az emberi bizalmat használja ki, nem technikai sebezhetőségeket.
Ebben az esetben a támadó rávette az ADT egyik alkalmazottját, hogy adja ki Okta SSO hitelesítő adatait. Az egyszeri bejelentkezési rendszereket arra tervezték, hogy egyszerűsítsék a hozzáférést azáltal, hogy az alkalmazottak egyetlen hitelesítő adatkészletet használhatnak több platformon is. Ez a kényelem azonban felelősséggé válik, ha ezek a hitelesítő adatok rossz kezekbe kerülnek, mivel egyetlen feltörés egyszerre nyithat ajtót több belső rendszerhez is.
A ShinyHunters egy jól ismert kiberbűnözői csoport, amelynek hosszú múltja van a nagy horderejű adatlopások terén. Az a képességük, hogy egy egyszerű telefonhívást fegyverként tudnak használni egy nagy biztonsági vállalat ellen, jól mutatja, hogy a social engineering még a dedikált biztonsági csapatokkal rendelkező szervezetekkel szemben is mennyire hatékony marad.
Milyen adatok szivárogtak ki az ADT adatszivárgásában
Az érintett 5,5 millió ügyfél többségének a következő adatai kerültek illetéktelen kezekbe:
- Teljes nevek
- Telefonszámok
- Lakcímek
Az ügyfelek egy kisebb részének társadalombiztosítási számai is érintett voltak. Az ADT nem határozta meg nyilvánosan, hogy pontosan hány személy tartozik ebbe a nagyobb kockázatú kategóriába.
Bár a nevek, telefonszámok és lakcímek kevésbé tűnnek riasztónak, mint a pénzügyi adatok, ez a kombináció rendkívül hasznos a további támadásokhoz. A bűnözők felhasználhatják meggyőző adathalász e-mailek összeállításához, célzott vishing-hívások indításához maguk az ügyfelek felé, vagy személyazonosság-lopáshoz szükséges profilok létrehozásához. Ha egy lakcím egy ismert biztonsági rendszer ügyfeléhez kapcsolódik, fizikai biztonsági következményei is vannak, amelyeket érdemes figyelembe venni.
A társadalombiztosítási számok, még ha az esetek kisebb részében szivárogtak is ki, komolyabb kockázatot jelentenek. Felhasználhatók hamis hitelszámlák nyitásához, hamis adóbevallások benyújtásához vagy az áldozatok megszemélyesítéséhez állami juttatási rendszerekben.
Mit jelent ez az Ön számára
Ha Ön jelenlegi vagy korábbi ADT-ügyfél, az első feltételezés az legyen, hogy elérhetőségi adatai rosszindulatú szereplők körében forgalmazásra kerülhettek. Ez megváltoztatja, hogyan kell értékelnie a kéretlen kommunikációkat a jövőben.
Ez az adatszivárgás egy tágabb összefüggésre is rávilágít a digitális adatvédelemmel kapcsolatban: egyetlen eszköz vagy szolgáltatás sem nyújt teljes körű védelmet. Egy VPN például biztosítja az internetes forgalmat és védi az IP-címét, de nem akadályozta volna meg ezt a jogsértést. A támadási vektor itt emberi volt, nem technikai. Az átfogó adatvédelem több szokás és eszköz együttes alkalmazását igényli.
Teendők, ha Ön ADT-ügyfél:
- Figyelje hiteljelentéseit. Kérjen ingyenes jelentéseket mindhárom nagy hitelintézettől, és keressen ismeretlen számlákat vagy megkereséseket. Fontolja meg a hitelzárolást, ha társadalombiztosítási száma érintett volt.
- Legyen gyanakvó a kéretlen megkeresésekkel szemben. A bűnözők felhasználhatják a kiszivárgott adatait az ADT vagy más megbízható szervezetek megszemélyesítésére. Személyes adatok megadása előtt ellenőrizze az azt kérő személy kilétét.
- Engedélyezze a többtényezős hitelesítést (MFA) minden fiókján. Ha egy szolgáltatás támogatja az MFA-t, kapcsolja be. Ez egy olyan védelmi réteget ad hozzá, amelyet egy ellopott jelszó önmagában nem tud megkerülni.
- Használjon egyedi, erős jelszavakat. Egy jelszókezelő kezelhető feladattá teszi ezt. Ha egy szolgáltatás hitelesítő adatai kiszivárognak, az egyedi jelszavak megakadályozzák, hogy a támadók hozzáférjenek a többi fiókjához.
- Fontolja meg személyazonosság-figyelési szolgáltatás igénybevételét. Ezek a szolgáltatások értesítik Önt, ha személyes adatai megjelennek adatközvetítők, dark web fórumokon vagy új fiókigénylésekben.
Az ADT adatszivárgása szemléletes esettanulmány arra, hogy a biztonsági kudarcok forrása gyakran nem a hibás kódban, hanem a megtört bizalomban keresendő. Egyetlen jól végrehajtott telefonhívás elegendő volt ahhoz, hogy több millió ügyfél személyes adatai illetéktelen kezekbe kerüljenek. Az igazi adatvédelmi ellenálló képesség kiépítéséhez meg kell érteni, hogy a technikai védelemnek és az emberi tudatosságnak együtt kell működnie. Egyetlen zár – digitális vagy fizikai – sem erősebb, mint a kulcsot tartó személy.
