Egy jelentett szivárgás a Belbiztonsági Minisztériumnál (DHS) több mint 40 000 alkalmazott nevének, telefonszámának és e-mail-címének került forgalomba. A DHS alkalmazottai elérhetőségi adatainak adatvédelmi incidense a VOZ jelentése szerint a harmadik kormányzati adatszivárgás, amely az elmúlt hónapban a címlapokra került. A forrásul szolgáló cikk kevés technikai részletet tartalmaz, ezért ez az írás ahhoz tartja magát, amit jelentettek, és elmagyarázza, miért számít ez a fajta adat, még akkor is, ha ártalmatlannak tűnik.
Mit hoztak nyilvánosságra a DHS szivárgásában
A beszámolók alapján a nyilvánosságra került információk több mint 40 000 DHS-alkalmazottra terjednek ki, és három adattípusra korlátozódnak: nevekre, telefonszámokra és e-mail-címekre. A jelentés a rendelkezésünkre álló anyagban nem írja le, hogyan szerezték meg az adatokat, ki állt mögötte, mikor történt, vagy hogy érintettek-e más kategóriák, például társadalombiztosítási számok vagy pénzügyi nyilvántartások. Nem fogunk találgatni ezekkel a részletekkel kapcsolatban.
Ez a hiányosság figyelmet érdemel. Az incidensekről szóló korai jelentések gyakran hiányosak, és a hatókör változhat, ahogy az ügynökségek vizsgálódnak. Tekintsék a jelenlegi számot a jelentett kiindulási alapnak, nem pedig végleges összegnek, és figyeljék a DHS hivatalos nyilatkozatait.
A kormányzati adatszivárgások mintázata
A DHS esete nem áll egyedül. A jelentés úgy állítja be, mint a harmadik kormányzati adatszivárgást, amely egyetlen hónap alatt a címlapokra került. Két másik közelmúltbeli eset, amelyet a vpn.social is tárgyalt, hasznos kontextust nyújt. Az egyikben az FBI azt közölte, hogy egy alkalmazottai bizalmas adatait érintő incidens kezelésén dolgozik, és megfogadta, hogy felelősségre vonja azokat, akiket felelősnek tart. Egy másikban a francia hatóságok letartóztattak egy 15 éves fiút, akit azzal gyanúsítanak, hogy feltörte az ANTS-t, azt az ügynökséget, amely a személyazonosító okmányokat kezeli.
Ezek az esetek különböző ügynökségeket és országokat érintenek, ezért nem szabad feltételeznünk, hogy összefüggnek. Ami közös bennük, az a célpont: nagy közszférabeli adatbázisok, amelyek tele vannak személyes információkkal alkalmazottakról vagy állampolgárokról. A kormányzati szervek olyan adatokat tartanak, amelyek értékesek a bűnözők és bizonyos esetekben ellenséges szereplők számára, ami állandó célponttá teszi őket.
Miért táplálják az elérhetőségi adatok az adathalászatot és a szociális manipulációt
Csábító dolog félvállról venni a nevek, telefonszámok és e-mail-címek szivárgását. Nincsenek jelszavak vagy pénzügyi adatok, szóval mi a baj? A válasz az, hogy az elérhetőségi adatok a célzott támadások nyersanyagai.
Egy ellenőrzött névvel, egy munkahelyi e-mail-címmel és egy ismert munkáltatóhoz köthető telefonszámmal egy támadó képes:
- Meggyőző adathalász e-maileket készíteni, amelyek nevükön szólítják a személyt és hivatkoznak az ügynökségükre.
- Hangalapú adathalász (vishing) hívásokat folytatni, IT-támogatásnak, kollégának vagy beszállítónak kiadva magát.
- SMS-csalikat küldeni, amelyek a címzetteket hamis bejelentkezési oldalakra irányítják.
- Belső munkatársaknak kiadni magát, hogy információt csaljon ki olyan munkatársaktól, akik megbíznak egy ismerősen hangzó névben.
Egy biztonságra összpontosító ügynökség alkalmazottai számára a kockázat az, hogy a támadók pontosan tudják, ki dolgozik ott, és hogyan érhetik el őket. Már néhány sikeres üzenet is kapaszkodót adhat a támadónak. A kockázat nem korlátozódik ezekre az alkalmazottakra sem. A családtagok, a vállalkozók és bárki, aki a DHS munkatársaival kommunikál, olyan üzeneteket kaphat, amelyek megbízható forrásból érkezőnek tűnnek.
A csak elérhetőségi adatokat érintő szivárgásokat hajlamosak újra felhasználni. Az ellenőrzött e-mail-címek és telefonszámok listái összekapcsolhatók más incidensek adataival. A LimeLeads 49,4 millió üzleti kapcsolatot érintő szivárgásáról szóló tudósításunk megmutatja, hogyan kerülhetnek forgalomba és használhatják fel az elérhetőségi adatbázisokat jóval az eredeti incidens után is.
Mit jelent ez Önnek
Lehet, hogy nem a DHS-nél dolgozik, de a tanulságok mindenkire vonatkoznak. A legtöbbünk neve, e-mail-címe és telefonszáma számos adatbázisban szerepel: munkáltatóknál, kiskereskedőknél, adatbrókereknél és kormányzati ügynökségeknél. Amikor valamelyiket feltörik, ugyanazt az adathalász forgatókönyvet használják hétköznapi emberek ellen.
Ha Ön DHS-alkalmazott, vagy együtt dolgozik valakivel, számítson a szokásosnál több kéretlen üzenetre, és kezelje gyanakvással a váratlan kéréseket, még akkor is, ha a nevét használják vagy megemlítik a munkahelyét. Ha nem az, használja ezt emlékeztetőként, hogy tekintse át, mennyi saját elérhetőségi adata érhető el nyilvánosan, és ki tudja elérni Önt.
Hogyan csökkentheti saját személyes adatainak kitettségét
Nem irányíthatja, hogy egy szervezetet feltörnek-e, de korlátozhatja a kárt. Gyakorlati lépések közé tartozik:
- Használjon egyedi e-mail-aliasokat a különböző szolgáltatásokhoz, hogy egy helyen történő szivárgás ne kapcsolódjon minden máshoz.
- Tartson külön telefonszámot a regisztrációkhoz és nyilvános listázásokhoz az elsődleges mobilszáma helyett.
- Kapcsolja be a többfaktoros hitelesítést, ideálisan hitelesítő alkalmazással vagy hardverkulccsal SMS helyett.
- Ellenőrizzen, mielőtt megbízik. Ha egy hívás, szöveges üzenet vagy e-mail hitelesítő adatokat vagy sürgős intézkedést kér, lépjen kapcsolatba a szervezettel egy olyan csatornán keresztül, amelyről már tudja, hogy valódi.
- Ne kattintson linkekre váratlan üzenetekben. Inkább navigáljon közvetlenül az oldalra.
- Ellenőrizze az adatvédelmi incidensekről szóló értesítő eszközöket, hogy lássa, mely címei jelentek meg ismert szivárgásokban, és ennek megfelelően változtassa meg a jelszavait.
- Kérje adatainak eltávolítását az adatbróker-oldalakról, ahol az adatai szerepelnek.
A lényeg nem a kitettség megszüntetése, ami irreális, hanem hogy minden kiszivárgott részlet kevésbé legyen hasznos egy támadó számára.
A tanulság
A DHS alkalmazottai elérhetőségi adatainak jelentett adatvédelmi incidense szerénynek tűnhet azokhoz a szivárgásokhoz képest, amelyek jelszavakat vagy pénzügyi nyilvántartásokat tartalmaznak, de az elérhetőségi adatok pontosan azok, amelyek működőképessé teszik az adathalászatot és a szociális manipulációt. Mivel egy hónap alatt három kormányzati szivárgást jelentettek, most ésszerű alkalom arra, hogy felmérje, hol vannak kitéve saját elérhetőségi adatai, és szigorítsa a szokásait. A mintázat szélesebb kontextusáért olvassa el az FBI alkalmazotti adatvédelmi incidenséről és az ANTS személyazonossági nyilvántartásának feltöréséről szóló tudósításunkat, majd szánjon néhány percet saját fiókjai biztosítására.
