Egy biztonsági sebezhetőséget javítottak egy olyan adatbázisban, amely több mint 125 millió szöveges üzenetet tartalmazott, amelyeket lett és litván bankok, biztosítók, kiskereskedők és szolgáltatók küldtek ügyfeleiknek. A rendszer mögött álló szolgáltató szerint a problémát kijavították. Az eset világos példa az SMS-szolgáltatók adatszivárgási kockázataira: az érzékeny üzenetek gyakran olyan szállítónál találhatók, amelyet az ügyfelek soha nem választottak, és amelyről talán nem is tudnak.
A rendelkezésre álló tudósítások eddig rövidek, ezért ez a bejegyzés ahhoz tartja magát, amit kijelentettek, és elmagyarázza, miért fontos ez.
Mi szivárgott ki a balti SMS-adatbázisban
A jelentés szerint az érintett adatbázis több mint 125 millió szöveges üzenetet tartalmazott. Ezek vállalat-ügyfél üzenetek voltak, amelyeket lett és litván bankok, biztosítók, kiskereskedők és szolgáltatók küldtek. A forrás sebezhetőségként írja le a problémát, amelyet mostanra kijavítottak, a cím pedig lehetséges adatszivárgásként keretezi.
Ez a megfogalmazás számít. A sebezhetőség azt jelenti, hogy létezett egy gyenge pont. Önmagában nem erősíti meg, hogy bárki hozzáfért vagy lemásolta az adatokat. A rendelkezésünkre álló forrásanyag nem mondja meg, mennyi ideig állt fenn a gyenge pont, ki találhatta meg, vagy hogy a jogosulatlan felek valóban megtekintettek-e bármilyen üzenetet.
Mégis érdemes átgondolni, milyen típusú tartalmat tárolnak jellemzően az ilyen adatbázisok. A vállalatok gyakran használnak SMS-t egyszeri jelszavakhoz, banki riasztásokhoz, szállítási értesítésekhez és fiókfigyelmeztetésekhez. Az ilyen üzenetek felfedhetik, hogy egy személy melyik banknál van, mit vásárolt, hová tart egy csomag, és milyen szolgáltatásokat használ. Még egyetlen jelszó nélkül is ez a kontextus értékes valaki számára, aki meggyőző csalást tervez.
Miért jelentenek rejtett kockázatot a harmadik féltől származó üzenetküldő szállítók
A legtöbb ember azt feltételezi, hogy egy bank vagy kiskereskedő saját maga küldi a szöveges üzeneteit. A gyakorlatban sok szervezet ezt a feladatot egy üzenetküldő szolgáltatónak adja át, amely a vállalat és a mobilhálózat között helyezkedik el. Az ügyfél a márkával van kapcsolatban, de az üzenet tartalma egy külön vállalaton keresztül halad át, és azt az a vállalat tárolhatja is.
Ez néhány problémát vet fel:
- Láthatatlan kapcsolatok. Az ügyfelek ritkán látják, mely szállítók dolgozzák fel adataikat, így nem tudják megítélni a szállító biztonságát.
- Koncentrált adatok. Egy szolgáltató több országban sok ügyfelet szolgálhat ki. Egyetlen hiba egyszerre érinthet bankok, biztosítók és üzletek üzeneteit, ami lehetővé teszi egy olyan számot, mint a 125 millió üzenet.
- Megőrzési kérdések. Az üzenetnaplókat hibaelhárítás vagy jelentéskészítés céljából megőrizhetik. Minél tovább tárolják őket, annál több van kitéve.
Ugyanez a minta jelenik meg más, általunk tárgyalt incidensekben is. A harmadik féltől származó kockázatról a Trump Mobile adatszivárgásában szóló elemzésünk megmutatja, hogyan válhat a márka saját falain kívül tárolt adat mégis a márka problémájává. A Fakturownia adatszivárgás hasonló pontot tesz egy olyan platformról, amely sokkal többet tárol, mint amit a neve sugall.
Mit igazol és mit nem igazol a szállító javítása
A szolgáltató kijelentése, miszerint a problémát kijavították, jó hír, de csak a kérdés egy részére ad választ.
Mire utal: a konkrét gyenge pont már nem nyitott, így ugyanaz az útvonal a jövőben nem lehet elérhető.
Mit nem igazol a forrás alapján:
- Hogy bármely harmadik fél hozzáfért-e az üzenetekhez a javítás előtt.
- Hogy a kiszivárgott üzenetek tartalmaztak-e még használható kódokat vagy személyes adatokat.
- Hogy egy független vizsgálat ellenőrizte-e a javítást.
- Hogy az érintett vállalatok értesítik-e ügyfeleiket.
Amíg ezeket a pontokat nyilvánosan nem tisztázzák, a helyes álláspont sem a pánik, sem a kényelem. Tekintse a javítást szükséges lépésnek, nem teljes mindentiszta jelzésnek. A szállítót használó szervezetek vannak a legjobb helyzetben ahhoz, hogy elmagyarázzák, mit kellene tenniük az ügyfeleknek, ha egyáltalán kell valamit.
Mit jelent ez Önnek
Ha lett vagy litván vállalatoknál bankol, biztosít vagy vásárol, az üzenetei áthaladhattak egy ilyen rendszeren. Még ha máshol is van, a tanulság érvényes: minden szolgáltatás, amely szöveges üzenetet küld Önnek, olyan szállítók láncára támaszkodik, amelyet Ön nem tud auditálni.
A reális kockázat általában nem egy drámai fiókátvétel egyetlen régi szöveges üzenetből. Hanem a célzott adathalászat. Egy csaló, aki tudja, hogy nemrég kapott egy szállítási értesítést vagy banki riasztást, hitelesnek tűnő hamis üzenetet írhat, valódi részletekkel elnyerve a bizalmát. A régebbi egyszeri kódoknak lejártnak kellene lenniük, de maga az SMS-alapú bejelentkezés továbbra is a gyenge láncszem, mert a szöveges üzeneteket elfoghatják, továbbíthatják vagy olyan helyeken tehetik ki, amelyeket Ön nem irányít. Heti biztonsági összefoglalónk is megjegyzi, hogyan fejlődnek folyamatosan az adathalász trükkök, ami emlékeztető arra, hogy maradjon szkeptikus a váratlan üzenetekkel szemben.
Hogyan védekezzen az SMS-alapú adathalászat és a 2FA-kockázatok ellen
Nem választhatja meg bankja üzenetküldő szállítóját, de csökkentheti, hogy egy kiszivárgott szöveges üzenet mennyit árthat Önnek.
- Térjen el az SMS-kódoktól, ahol lehetséges. Használjon hitelesítő alkalmazást vagy hardveres biztonsági kulcsot a kétfaktoros hitelesítéshez. Ezek nem szöveges üzenetküldő rendszereken keresztül utaznak.
- Tartsa meg az SMS-t csak tartalékként. Ha egy szolgáltatás szöveges ellenőrzést kényszerít ki, engedélyezze, de adjon hozzá erősebb lehetőségeket, ahol a szolgáltatás engedi.
- Ne bízzon meg a valódi tevékenységre hivatkozó üzenetekben. Egy valódi rendelésre vagy bankra hivatkozó szöveges üzenet nem bizonyítja, hogy valódi. Ne koppintson a hivatkozásokra; nyissa meg a hivatalos alkalmazást, vagy írja be a címet saját maga.
- Soha ne osszon meg kódokat. Egyetlen legitim bank vagy kiskereskedő sem kéri meg, hogy olvasson fel egy egyszeri kódot.
- Figyelje a fiókjait. Ellenőrizze a kivonatokat és bejelentkezési riasztásokat bármilyen szokatlan tevékenységért, és jelentse a gyanús tevékenységet bankjának gyorsan.
- Kérdezze meg szolgáltatóit. Ha tudni szeretné, hogyan kezel egy vállalat üzenetadatokat, kérdezze meg, ki dolgozza fel azokat, és mennyi ideig tárolják.
A lényeg
A balti adatbázis javítása üdvözlendő, de nyitva hagyja a kérdéseket arról, hogy hozzáfértek-e valaha az adatokhoz. Az SMS-szolgáltatók adatszivárgási kockázatairól szóló szélesebb tanulság ettől függetlenül érvényes: az érzékeny értesítések olyan szállítókon keresztül haladnak át, amelyeket soha nem választott, és Ön csak a saját oldalát tudja irányítani. Váltson alkalmazásalapú vagy hardveres 2FA-ra, maradjon óvatos minden olyan üzenettel szemben, amely valódi tevékenységre hivatkozik, és olvasson többet arról, hogyan teremtenek kitettséget a külső szállítók a Trump Mobile adatszivárgásáról és a Fakturownia incidensről szóló írásainkban.
