Az Aura adatvédelmi incidens 900 000 kapcsolati rekordot tesz ki
Az Aura, egy online biztonságot és személyazonosság-védelmet kínáló vállalat megerősítette, hogy jelentős adatvédelmi incidens történt, amely körülbelül 900 000 kapcsolati rekordot érint. Az eset figyelmeztető emlékeztetője annak, hogy egyetlen szolgáltatás sem teljesen immunis a támadásokkal szemben, függetlenül attól, mit ígér megvédeni. A felelősséget feltehetően a ShinyHunters hackercsoport viseli, amely számos nagy horderejű adatlopási műveletéről ismert.
Mi történt az Aura incidens során?
A biztonsági rés nem egy kifinomult nulladik napi sebezhetőségen vagy az Aura alapinfrastruktúrájának hibáján keresztül keletkezett. Egy célzott telefonos adathalász támadással kezdődött – más néven vishing –, amelyet a vállalat egyik alkalmazottja ellen intéztek. Egy jogosulatlan személy manipulálta az alkalmazottat, hogy hozzáférést biztosítson, és ennek eredményeként körülbelül 900 000 kapcsolati rekord szivárgott ki.
A kompromittált adatok a következőket tartalmazzák:
- Teljes nevek
- E-mail címek
- IP-címek
- Telefonszámok
- Lakcímek
- Ügyfélszolgálati megjegyzések
Ez utóbbi kategóriára érdemes külön figyelmet fordítani. Az ügyfélszolgálati feljegyzések gyakran érzékeny összefüggéseket tartalmaznak, például fiókproblémákra, személyazonossággal kapcsolatos aggályokra vagy személyes körülményekre vonatkozó részleteket, amelyeket az emberek segítségkérés közben osztottak meg. Rossz kezekben az ilyen típusú információk rendkívül meggyőző utólagos csalások kitervelésére használhatók.
Miért különösen fájó ez az adatvédelmi incidens?
A legtöbb adatvédelmi incidens olyan vállalatokat érint, amelyek szolgáltatásuk melléktermékeként kezelnek érzékeny információkat. A bankok pénzügyi nyilvántartásokat tárolnak. A kereskedők fizetési adatokat őriznek. Az Aura azonban kifejezetten adatvédelmi és biztonsági platformként pozicionálja magát. Azok, akik ilyen jellegű szolgáltatásra iratkoznak fel, általában már aggódnak a személyazonosság-lopás és az online kiszolgáltatottság miatt. Ők védelemért fizetnek.
Az a tény, hogy a támadónak egyetlen telefonhívás elegendő volt ahhoz, hogy megkerülje az Aura védelmi rendszerét, fontos tanulságot hordoz: az emberi tényező marad a biztonsági incidensek legtöbbet kihasznált belépési pontja. Technikai kontrollok, tűzfalak és titkosítás mind megvalósíthatók, mégis egy jól időzített social engineering hívás képes megnyitni az ajtót.
A ShinyHunters csoportot számos nagy léptékű adatvédelmi incidenshez kötötték, köztük a Ticketmaster és a Santander Bank elleni támadásokhoz. Módszereik jellemzően a legkisebb ellenállás útját célozzák, és ebben az esetben ez az út egy személy volt.
Mit jelent ez az Ön számára?
Ha Ön az Aura ügyfele, feltételeznie kell, hogy kapcsolati adatai nyilvánosságra kerültek, és ennek megfelelően kell cselekednie. Ez a következőket jelenti:
Figyeljen az adathalász kísérletekre. Ha neve, e-mail címe, telefonszáma és lakcíme esetleg már forgalomban van, a támadóknak minden szükséges eszközük megvan meggyőző megszemélyesítő e-mailek vagy hívások összeállításához. Legyen szkeptikus minden kéretlen megkeresésssel szemben, amely az Aurától vagy egy kapcsolódó szolgáltatástól érkezőnek vallja magát.
Ne használja ugyanazt a jelszót több helyen. Ha az Aurához ugyanazt a jelszót használta, mint más fiókokhoz, változtassa meg azokat most. Egy jelszókezelő jelentősen megkönnyíti ennek kezelését több szolgáltatás esetén.
Engedélyezze a kétfaktoros hitelesítést mindenhol. Még ha egy támadónak van is az Ön e-mail címe és jelszava, a 2FA egy olyan réteget ad hozzá, amely a legtöbb automatizált támadást megállítja.
Gondolja át, milyen adatokat oszt meg bármely szolgáltatással. Minél kevesebb információt tárol egy vállalat Önről, annál kevesebb kerülhet nyilvánosságra, ha valami elromlik. Ez az eset gyakorlati érvet szolgáltat az adatminimalizálás mellett.
Ez az incidens egy tágabb szempontot is megerősít a rétegzett biztonságról. Egyetlen szolgáltatás vagy eszköz sem nyújt teljes körű védelmet. A személyazonosság-figyelő szolgáltatások, a VPN-ek, a jelszókezelők és a 2FA mindegyike a probléma különböző részeit kezeli. Ha az egyik réteget megkerülik vagy feltörik, a többiek még mindig képesek korlátozni a kárt.
Olyan adatvédelmi stratégia kialakítása, amely nem egyetlen pontra támaszkodik
Az Aura incidens hasznos alkalmat ad arra, hogy újragondolja, hogyan is épül fel a saját adatvédelmi rendszere. Ahelyett, hogy egyetlen platformra támaszkodna mindenben, egy praktikus megközelítés olyan eszközöket kombinál, amelyek mindegyike egy dolgot csinál jól.
Egy olyan VPN, mint a hide.me, védi a hálózati forgalmát és elrejti az IP-címét, ami azt jelenti, hogy még ha kapcsolati adatai egy adatvédelmi incidensben napvilágra is kerülnek, a tényleges böngészési tevékenységét és tartózkodási helyét nem naplózzák és teszik közzé az Ön által használt szolgáltatások. Ez egy nagyobb kép egyik eleme, amely magában foglalja az erős hitelesítési gyakorlatokat és az elővigyázatos döntéseket arról, hogy eleve milyen információkat ad át harmadik feleknek.
Egyetlen eszköz sem szünteti meg teljesen a kockázatot. De kombinálásuk azt jelenti, hogy egyetlen meghibásodási pont – legyen az egy adathalász hívás vagy egy adatbázis-szivárgás – nem dönti romba egyszerre az egészet. Ez a valódi tanulsága annak, ami az Aurával történt: a rugalmasság rétegekből fakad, nem abból, hogy egyetlen megoldásban bízunk, amely mindent megakadályoz.
