Egy állítólagos adatszivárgás a lett szolgáltatónál, a CSCTelecomnál rávilágított egy gyenge pontra, amelyre sok ember soha nem gondol: a telekommunikációs rétegre. A Cybernews szerint a szivárgás a vállalat ügyfeleihez köthető rekordokat tett közzé, köztük a Swedbank, az SEB, az airBaltic és több tucat más vállalat adatait. Azoknak az olvasóknak, akik azt kérdezik, mit jelenthet a gyakorlatban a CSCTelecom adatszivárgása és az SMS-adatok exponálása, az őszinte válasz az, hogy a részletek még mindig korlátozottak, és ez a cikk szétválasztja a megerősített tényeket az általános útmutatástól.
Mit tett közzé állítólag a CSCTelecom szivárgás
A CSCTelecom elsősorban Lettországban működik, de a Cybernews arról számol be, hogy a szivárgás Litvániában és Észtországban is érintett vállalatokat és magánszemélyeket. A megnevezett vállalatok közé tartozik a Swedbank, az SEB és az airBaltic, valamint több tucat másik. A jelentés tartalmazza a rekordok számát és rekordpéldákat, amelyeket a Cybernews egy képen mutat be.
Amit a forrás nem mond, az ugyanolyan fontos. A rendelkezésre álló jelentés nem pontosítja, hogy az üzenetek tartalma, az üzenetnaplók vagy bármely egyszeri jelszó exponálódott-e, és ez a cikk nem állítja, hogy igen. A Cybernews azt közölte, hogy megkereste a CSCTelecomot kommentárért, és frissíteni fogja cikkét, amint a vállalat válaszol. Addig kezelje a pontos adattípusokat, az érintett személyek számát és az okot megerősítetlenként.
A tágabb tanulság továbbra is érvényes. Amikor egy vállalat telekommunikációs szolgáltatót bíz meg az ügyfélkommunikáció kezelésével, az a szolgáltató az ügyfeleket védő lánc részévé válik. A szolgáltatónál felmerülő probléma egyszerre sok vállalat ügyfeleit érintheti, még akkor is, ha e vállalatok mindegyike erős saját biztonságot működtet.
Miért gyenge védelem az SMS-es egyszeri jelszó
Sok bank, légitársaság és online szolgáltatás még mindig szöveges üzenetben küld bejelentkezési vagy fizetési kódokat. Ez jobb, mint a jelszó önmagában, de ismert korlátai vannak, és egy ilyen incidens ezekre emlékeztet.
- A kódok harmadik feleken keresztül utaznak. Egy szöveges üzenet aggregátorokon és telekommunikációs szolgáltatókon haladhat át, mielőtt eléri a telefonját. Mindegyik egy újabb hely, ahol valami rosszul sülhet el.
- SIM-csere. Egy támadó, aki ráveszi a szolgáltatót, hogy helyezze át az Ön számát egy új SIM-kártyára, megkaphatja a kódjait.
- Adathalászat. Egy hamis bejelentkezési oldal elkérheti Öntől a kódot, és valós időben továbbíthatja.
- Átláthatóság hiánya. Nem láthatja és nem szabályozhatja, hogyan tárolja vagy védi egy szolgáltató a vállalat számára kezelt üzeneteket.
Mindez nem jelenti azt, hogy figyelmen kívül kell hagynia az SMS-kódokat, amikor azok az egyetlen lehetőség. Azt jelenti, hogy tartalék megoldás, nem a legerősebb zár, amelyet használhat. Az alkalmazásalapú hitelesítők és a hardveres biztonsági kulcsok nem függenek attól, hogy egy szöveges üzenet átkeljen egy telekommunikációs hálózaton, ami eltávolítja ezt a láncszemet a láncból.
Hogyan ellenőrizze, hogy érintett-e
Mivel a szivárgás állítólag több nagy balti vállalat ügyfeleit érinti, e cégek ügyfelei kíváncsiak lehetnek, hogy érintettek-e. Néhány gyakorlati lépés segít:
- Figyelje a hivatalos értesítéseket. A szivárgásban megnevezett vállalatok általában közvetlenül felveszik a kapcsolatot az érintett ügyfelekkel. Ügyeljen arra, hogy az egyik ilyen értesítésnek mondott üzenet valódi legyen; a csalók gyakran kihasználják az adatvédelmi incidensek hírét.
- Ellenőrizze a forrás frissítéseit. A Cybernews azt közölte, hogy frissíteni fogja cikkét, amikor a CSCTelecom válaszol, így a részletek változhatnak.
- Tekintse át a fióktevékenységet. Nézze meg a legutóbbi bejelentkezéseket, fizetéseket és foglalásmódosításokat, hogy talál-e bármit, amit nem ismer fel.
- Jegyezze fel a váratlan szöveges üzeneteket vagy hívásokat. A furcsa üzenetek vagy a nem kért ellenőrzési kérések hirtelen megnövekedése figyelmeztető jel lehet.
Ne kattintson linkekre a szivárgással kapcsolatos kéretlen üzenetekben. Önállóan keresse fel a vállalat hivatalos alkalmazását vagy webhelyét.
A telekommunikációs szintű szivárgásoknak való kitettség csökkentése
Nem szabályozhatja, hogyan kezeli az adatokat a bankja vagy légitársasága mögötti szolgáltató, de korlátozhatja a kárt, ha valami rosszul sül el.
- Vigye át a kritikus fiókokat az SMS-kódokról. Váltson banki, e-mail- és minden pénzhez kötött fiókot hitelesítő alkalmazásra vagy biztonsági kulcsra, ahol a szolgáltatás engedi.
- Védje a telefonszámát. Kérdezze meg mobilszolgáltatójától a SIM-zárról vagy a számátviteli PIN-kódról.
- Használjon egyedi jelszavakat. A jelszókezelő megakadályozza, hogy egy exponált hitelesítő adat másokat is feloldjon.
- Ossza meg takarékosan a számát. Minél kevesebb szolgáltatás tárolja, annál kevesebb helyről szivároghat ki.
- Maradjon éber a személyiséghamisítással szemben. A kiszivárgott kapcsolattartási adatokat gyakran használják arra, hogy a csaló üzenetek hitelesnek tűnjenek.
A VPN nem oldja meg ezt a fajta problémát. Védi a kapcsolatát nem megbízható hálózatokon, de nem szabályozza, mit tárol Önről egy telekommunikációs szolgáltató vagy egy vállalat beszállítója. Ezért itt a fiókszintű védelem számít többet.
Mit jelent ez Önnek
Ha a Swedbanknál vagy az SEB-nél bankol, vagy az airBalticcal repül, a rendelkezésre álló jelentésben nincs megerősített bizonyíték arra, hogy az Ön konkrét adatai exponálódtak volna, és nincs ok pánikra. Az észszerű válasz az, hogy szigorítsa a legfontosabb fiókokat, figyelje a hivatalos kommunikációt, és legyen szkeptikus a váratlan üzenetekkel szemben. Egy beszállítónál bekövetkező biztonsági hiba az Ön ellenőrzésén kívül esik, de hogy egyetlen hiba mennyit árthat Önnek, részben Önön múlik.
Ugyanezek a szokások vonatkoznak bármely nagyobb exponálásra. Útmutatónk arról, hogy mit kell tenni egy adatszivárgási hullám után, egy gyakorlati, szivárgás utáni ellenőrzőlistát mutat be, amely erre a helyzetre is illik. A zsarolásvezérelt incidensek arra is emlékeztetnek, hogy az állítások túlszárnyalhatják a tényeket, ahogyan az ellenőrizetlen Stripe ShinyHunters zsarolási állítások esetében is látható, ezért várja meg a megerősítést, mielőtt következtetéseket von le.
Tanulságok és következő lépések
A CSCTelecom adatszivárgása és az SMS-adatok exponálásának kérdése tisztábbá válik, amint a vállalat válaszol, és több részlet jelenik meg. Addig cselekedjen azon, amit szabályozhat:
- Vigye át a legfontosabb fiókjait az SMS-kódokról hitelesítő alkalmazásra vagy biztonsági kulcsra.
- Kérdezze meg szolgáltatójától a SIM-védelemről.
- Tekintse át a banki és utazási fiókok legutóbbi tevékenységét.
- Hagyja figyelmen kívül a kéretlen szivárgási üzenetekben lévő linkeket, és inkább használja a hivatalos alkalmazásokat.
- Kövesse a szivárgás utáni útmutatónkban található ellenőrzőlistát, hogy felkészüljön a következő incidensre.
A mostani kis változtatások azt jelentik, hogy a következő telekommunikációs szintű szivárgás, bárhol is történjen, sokkal kevésbé valószínű, hogy eléri az Ön fiókjait.
