Amit a RingCentral megerősített, és amit a HIBP talált

A RingCentral elismerte, hogy biztonsági incidens történt, amely a vállalat megfogalmazása szerint ügyfeleinek „egy korlátozott részét” érinti, de nem erősítette meg, hogy valójában hány embert érintett. Ez a szám a Have I Been Pwned-től, a független adatszivárgás-értesítő szolgáltatástól származik, amely elemezte az interneten keringő kiszivárgott archívumot, és körülbelül 1,6 millió egyedi fiókot azonosított.

  1. augusztus 15-ig a RingCentral nem hozta nyilvánosságra, hogy hány érintett személyt értesített közvetlenül, és nem magyarázta meg azt sem, hogy a támadók hozzáférése hogyan vezetett 1,6 millió kiszivárgott rekordhoz. A vállalat gondosan megfogalmazott nyilatkozata és a szivárgás függetlenül megerősített mértéke közötti szakadék áll a RingCentral adatszivárgással kapcsolatos vishing-aggodalom középpontjában, amelyet a biztonsági kutatók most felvetnek. A szivárgás állítólag egy Shinyhunters zsarolási követelésre vezethető vissza, amely idén korábban bukkant fel, amikor a csoport a dark weben közzétett dossziéjában a RingCentralt áldozatként listázta, egyúttal azzal fenyegetve, hogy kiszivárogtatja a lopott adatokat, ha a fizetési követelések nem teljesülnek.

Miért jelentenek a kiszivárgott elérhetőségek kiváló alapanyagot a vishing támadásokhoz

A jelszavakat vagy pénzügyi számlaszámokat felfedő adatszivárgésekkel ellentétben ez az incidens állítólag neveket, telefonszámokat és egyéb elérhetőségeket érint. Felületesen szemlélve ez kevésbé súlyosnak tűnhet. A gyakorlatban azonban pontosan azt adja a bűnözők kezébe, amire a vishinghez, vagyis az e-mail helyett telefonhívásokon keresztül végrehajtott hangphishinghez szükségük van.

A vishing azért működik, mert a bizalomra és az ismerősségre épít. Egy hívó fél, aki már ismeri a nevét, a munkáltatóját és a telefonszámát, hitelesnek tűnik még a beszélgetés megkezdése előtt. A támadók kihasználhatják a RingCentral saját üzleti kommunikációs kontextusát a javukra, IT-támogatásnak, fiókbiztonsági csapatnak vagy vállalati beszállítónak kiadva magukat, hogy nyomást gyakoroljanak a célpontokra jelszavak, egyszeri kódok vagy átutalási jóváhagyások felfedése érdekében. Maga a platform, amelyet a legitim üzleti hívások elősegítésére terveztek, irónikus módon e hívások megszemélyesítésének alapanyagává vált.

Ezért a kiszivárgott elérhetőségeket, még ha jelszavak nem is kapcsolódnak hozzájuk, nem szabad alacsony kockázatú kategóriaként kezelni. Gyakran ők az első dominó egy hosszabb szociális manipulációs láncban, amely fiókátvétellel vagy pénzügyi csalással végződik.

A közzétételi hiányosság: mit írnak elő az amerikai adatszivárgás-bejelentési törvények

A RingCentral korlátozott nyilvános nyilatkozata és a HIBP függetlenül megerősített adata közötti eltérés nem csupán kommunikációs, hanem jogi kérdést is felvet. A legtöbb amerikai állam adatszivárgás-bejelentési törvénye előírja, hogy a vállalatok értesítsék az érintett lakosokat, amint megerősítést nyer, hogy személyes adataik kompromittálódtak, és sok jogszabály meghatározza az értesítések határidejét és kötelező tartalmát is, beleértve azt, hogy milyen adatok szivárogtak ki, és milyen lépéseket kell tenniük az érintetteknek.

Amikor egy vállalat csak homályos kifejezésekkel írja le az incidenst, például hogy az ügyfelek „egy korlátozott részét” érinti, anélkül hogy megerősítené annak mértékét, nehézzé válik a szabályozók, újságírók és érintett felhasználók számára egyaránt megítélni, hogy a jogi értesítési kötelezettségek valóban teljesültek-e. Az, hogy a RingCentral sem megerősíteni, sem tagadni nem hajlandó az 1,6 milliós számot, nyitva hagyja a kérdést, hogy minden érintett személyt értesítettek-e vagy fognak-e értesíteni közvetlenül. Ez a bizonytalanság azért számít, mert az értesítés nem csupán udvariasság, gyakran ez indítja el azt a döntést, hogy valaki jelszót változtat, figyeli a gyanús hívásokat, vagy zároltatja a hitelét.

Hogyan ellenőrizze, hogy érintett-e, és hogyan védje meg magát a vishing hívásoktól

Tekintettel a RingCentral saját közzétételét övező bizonytalanságra, a legmegbízhatóbb módja annak megállapítására, hogy adatai szerepelnek-e ebben a szivárgásban, ha saját maga ellenőrzi a Have I Been Pwned szolgáltatáson keresztül, amely már függetlenül indexelte az archívumot. Ha e-mail-címe vagy telefonszáma megjelenik a RingCentral bejegyzésben, kezeljen minden váratlan hívást, amely a RingCentralra, a munkáltatójára vagy fiókproblémákra hivatkozik, fokozott szkepticizmussal.

Néhány gyakorlati szokás sokat segít a vishing ellen. Soha ne erősítsen meg fiókhoz tartozó hitelesítő adatokat vagy egyszeri belépési kódokat bejövő hívás során, függetlenül attól, mennyire hitelesen hangzik a hívó fél. Ha valaki azt állítja, hogy a RingCentraltól vagy egy kapcsolódó beszállítótól hív, tegye le a telefont, és hívjon vissza egy Ön által függetlenül megtalált számot, nem pedig a hívó fél által megadottat. Legyen óvatos a sürgetéssel, a támadók a nyomásgyakorlásra támaszkodnak, hogy megakadályozzák az átgondolt döntést. És ha üzleti kommunikációs fiókokat kezel, fontolja meg olyan többtényezős hitelesítés engedélyezését, amely nem kizárólag telefonos ellenőrzésre támaszkodik, mivel a telefonszámával rendelkező támadók SIM-csere vagy hívásátirányítási trükköket kísérelhetnek meg.

Mit jelent ez Önnek

Még ha a szivárgásban nincsenek is jelszavak, az üzleti kommunikációs platformhoz kötődő nevek és telefonszámok kiszivárgása reális vishing-kockázatot teremt mind az egyéni felhasználók, mind a RingCentralra támaszkodó szervezetek számára. A vállalat hiányos közzététele azt jelenti, hogy nem várhat egyszerűen egy hivatalos értesítésre a cselekvéshez. Az érintettség proaktív ellenőrzése és a váratlan hívások kezelési módjának kiigazítása a két leghatékonyabb lépés, amely jelenleg rendelkezésre áll.

Fő tanulságok

  • A RingCentral nem erősítette meg a Have I Been Pwned által függetlenül jelentett 1,6 milliós számot, ami bizonytalanságot teremt a szivárgás valódi mértékét illetően.
  • A kiszivárgott elérhetőségek, még jelszavak nélkül is, értékesek a vishing- és megszemélyesítési csalásokat folytató támadók számára.
  • Az amerikai adatszivárgás-bejelentési törvények a vállalatok egyértelmű mérték-közzétételén alapulnak, amely lépést a RingCentral még nem tette meg teljes mértékben.
  • Ellenőrizze érintettségét a Have I Been Pwned szolgáltatáson keresztül, és kezelje óvatosan a RingCentralra hivatkozó kéretlen hívásokat, függetlenül ellenőrizve azokat, mielőtt bármilyen információt megosztana.