Egy zsarolólevél nélküli adatszivárgás

Az Egyesült Királyság Rendőrségi Nemzeti Jogi Adatbázisa (PNLD) megerősítette, hogy hozzávetőleg 114 000 rendőr, munkatárs és igazságügyi szakember elérhetőségi adatait tette közzé a dark weben egy magát ExfilSquadnak nevező csoport. Az Északkeleti Regionális Szervezett Bűnözés Elleni Egység (NEROCU) augusztus 3-án hitelesítette az incidenst, a nyomozók pedig hangsúlyoztak egy szokatlan részletet: nem érkezett váltságdíj-követelés.

Ez a körülmény jelentőséggel bír. A legtöbb nagy horderejű adatszivárgás egy ismerős forgatókönyvet követ: a támadók adatokat lopnak, kilátásba helyezik a kiszivárogtatásukat, és fizetést követelnek a hallgatásért. Az ExfilSquad kihagyta ezt a lépést, és egyenesen közzétette az adatokat. A NEROCU azt is közölte, hogy nincs bizonyíték jelszavak vagy más bejelentkezési adatok kompromittálódására, ami szűkíti a közvetlen kockázatot, de nem szünteti meg. Önmagukban az elérhetőségi adatok – különösen, ha rendvédelmi dolgozókhoz kapcsolódnak – saját veszélyeket hordoznak.

Ez az incidens a korábbi, a PNLD adatszivárgásával kapcsolatos tudósításunkra épül, amely elsőként részletezte, hogyan került veszélybe a jogi adatbázis és a hozzá tartozó Ask the Police szolgáltatás. Kapcsolódik továbbá ahhoz a szélesebb mintázathoz is, amelyet az ExfilSquad szélesebb körű szivárogtatási tevékenységét bemutató összeállításunkban dokumentáltunk, és amely más brit kormányzati rendszerekből származó, ugyanebben az időszakban megszerzett adatokat is tartalmazott.

Miért jelentenek továbbra is valós kockázatot az elérhetőségi adatok?

Csábító lehet lebecsülni egy olyan adatszivárgást, amely nem érint jelszavakat vagy pénzügyi nyilvántartásokat. A rendőrök és az igazságügyi alkalmazottak esetében azonban a kiszivárgott elérhetőségi adatok a hagyományos személyazonosság-lopáson túlmutató módon is fegyverré válhatnak.

Azok a tisztek, akiknek neve, beosztása és elérhetőségei most egy dark webes szivárogtatási oldalon keringenek, fokozottan ki vannak téve a célzott adathalászat, a megszemélyesítési kísérletek és – súlyosabb esetekben – a fizikai biztonságot fenyegető kockázatoknak. Az igazságügyi szakemberek gyakran dolgoznak olyan ügyeken, amelyekben erősen motivált személyek érintettek a megtorlásra vagy megfélemlítésre. Egy kiszivárgott név- és elérhetőségi címtár pontosan ilyen célú támadások eszközévé válhat, akár egyetlen jelszó nélkül is.

A váltságdíj-követelés hiánya kérdéseket vet fel az indítékkal kapcsolatban is. Az anyagilag motivált csoportok általában a közzététel előtt kérik a fizetést. Ennek a lépésnek a kihagyása arra utal, hogy az ExfilSquadot inkább a hírnévrontás, a zavarkeltés vagy egyszerűen a képességei demonstrálása érdekelheti, nem pedig a pénzszerzés. Bármi is legyen a motiváció, az érintettek számára a gyakorlati következmény ugyanaz: az adataik mostantól nyilvánosak, és gyakorlatilag véglegesen elérhetők.

A szivárogtatás mögötti tágabb mintázat

Ez az adatszivárgás nem elszigetelten történt. Az ExfilSquadot több brit intézményt érintő szivárogtatások sorozatával hozták összefüggésbe, és a PNLD-incidens abba a szélesebb trendbe illeszkedik, amelyben a bűnüldöző és kormányzati rendszereket rövid időn belül egymás után érik támadások. Amikor több ügynökséget is rövid időablakon belül ér csapás, az gyakran arra utal, hogy vagy egy közös sebezhetőséget használnak ki ágazatokon átívelően, vagy a fenyegető szereplő szándékosan halad végig egy nagy értékű célpontokat tartalmazó listán.

Egy olyan szervezet esetében, mint a PNLD, amely kifejezetten a rendőrségi jogi döntéshozatal támogatására létezik, egy adatszivárgás nem csupán az egyének magánéletét ássa alá. Kérdéseket vet fel az olyan rendszerek biztonsági helyzetével kapcsolatban, amelyek az országos bűnüldözési műveletek mindennapjait támogatják. A nyomozók nem utaltak arra, hogy operatív rendőrségi adatok vagy ügyiratok is részei lennének ennek a szivárogtatásnak, de a nyilvánosság előtt működő igazságügyi intézmények számára a hírnévre és bizalomra gyakorolt hatás ettől függetlenül jelentős.

Mit jelent ez Önnek?

Ha Ön rendőrségi alkalmazott, igazságügyi dolgozó, vagy olyan személy, akinek szakmai elérhetőségi adatai a PNLD-hez kapcsolódhatnak, kezeljen fokozott gyanakvással minden váratlan e-mailt, hívást vagy üzenetet, amely a beosztására hivatkozik. A támadók gyakran használják fel a kiszivárgott elérhetőségi adatokat meggyőző adathalász kísérletek megfogalmazására, és időnként pontos beosztásokat vagy osztályokat is megemlítenek, hogy hitelesnek tűnjenek.

Még ha jelszavak nem is szerepeltek ebben a szivárogtatásban, ez egy megfelelő pillanat arra, hogy áttekintse saját hitelesítési szokásait. A jelszavak munkahelyi és személyes fiókok közötti újrafelhasználása, vagy a többtényezős hitelesítés bekapcsolásának elmulasztása ott, ahol elérhető, sebezhetőbbé teszi egy későbbi, bejelentkezési adatokat is tartalmazó adatszivárgás esetén. Ez az eset arra is hasznos emlékeztető, hogy az érzékeny elérhetőségi adatbázisokat kezelő szervezeteknek – legyen szó bűnüldözésről, egészségügyről vagy oktatásról – folyamatos monitorozásra és gyors nyilvános tájékoztatásra van szükségük, ha valami baj történik. A NEROCU viszonylag gyors megerősítése jó példa erre az átláthatóságra.

Gyakorlati teendők

Ha az Ön elérhetőségi adatai is érintettek lehettek ebben a szivárogtatásban, fontolja meg a következő lépéseket: legyen éber a beosztására vagy munkahelyére hivatkozó adathalász kísérletekkel szemben; a váratlan megkereséseket közvetlen válasz helyett hivatalos csatornákon keresztül ellenőrizze; kapcsolja be a többtényezős hitelesítést minden olyan fiókon, amely a szakmai e-mail címéhez kapcsolódik; és figyelje, nem próbálják-e megszemélyesíteni a nevét vagy a beosztását használva. A hasonló adatbázisokat kezelő szervezetek kezeljék ezt az esetet ösztönzésként a hozzáférés-szabályozás felülvizsgálatára, és annak ellenőrzésére, hogy az elérhetőségi adatok el vannak-e különítve az érzékenyebb operatív rendszerektől.

Az ExfilSquad szivárogtatásával kapcsolatos nyomozás előrehaladtával további részletek derülhetnek ki arról, hogyan történt a behatolás, és hogy további adatok is érintettek-e. Egyelőre a váltságdíj-követelés hiánya nem teszi kevésbé súlyossá az incidenst, csupán az indítékot homályosítja, az éberség szükségességét pedig ugyanolyan valósággá teszi.