A Svájci Jégkorong Szövetség megerősítette az adatvédelmi incidenst, miután a sporthoz köthető több mint 100 000 ember személyes adatai kompromittálódtak és egy online fórumon megjelentek. A svájci jégkorong adatvédelmi incidense emlékeztető arra, hogy a sportszervezetek csendben nagy mennyiségű személyes információt tárolnak, és hogy az ezekben az adatbázisokban szereplő embereknek gyakran alig van beleszólásuk abba, mennyire jól védik meg azokat.

A forrásjelentés rövid, és több részletet nem hoztak nyilvánosságra. Ez a cikk ahhoz tartja magát, amit megerősítettek, és arra összpontosít, hogy az érintett emberek mit tehetnek észszerűen a következő lépésként.

Amit a Svájci Jégkorong Szövetség megerősített

A jelentés szerint több mint 100 000, a svájci jégkoronghoz köthető személy személyes adatait kompromittálták hackerek, majd egy online fórumon tették közzé azokat. A szövetség nyilvánosan elismerte az incidenst.

A rendelkezésre álló beszámolók nem részletezik, hogyan jutottak be a támadók, mikor történt a behatolás, vagy követeltek-e váltságdíjat. Azt sem mondják meg, hogy az adatokat eladásra kínálják-e vagy szabadon megosztják-e. Amíg a szövetség több információt nem tesz közzé, ezek a kérdések nyitottak maradnak, és az olvasóknak óvatosnak kell lenniük minden olyan állítással szemben a támadásról, amely nem vezethető vissza hivatalos nyilatkozatra.

Kit érint, és milyen adatok szivároghatnak ki

A „svájci jégkoronghoz köthető személyek" kifejezés tág. Egy nemzeti szövetség jellemzően játékosokkal, edzőkkel, bírókkal, klubtisztviselőkkel, önkéntesekkel, és néha szurkolókkal vagy jegyvásárlókkal foglalkozik. E csoportok bármelyikének tagja lehet a számlált 100 000 ember között.

A kiszivárgott adatok pontos kategóriáit a forráscikk nem részletezte. Általában a sportszövetségek neveket, elérhetőségi adatokat, születési dátumokat, valamint engedélyezési vagy regisztrációs információkat tárolhatnak. Mivel a részletek nem megerősítettek, a legbiztonságosabb megközelítés az, ha feltételezzük, hogy alapvető személyazonossági és elérhetőségi adatok szerepelhetnek a kiszivárgott adathalmazban, és megvárjuk, amíg a szövetség többet mond.

Ez az oka annak is, hogy az incidens egy sportágon túl is számít. A ligák és klubok regisztrációs rendszerei gyakran sok információt gyűjtenek több éven át, beleértve a fiatal sportolókat és szüleiket is. Egyetlen kompromittált rendszer olyan embereket tehet ki, akik már régóta nem aktívak a sportágban. A támadók sportlétesítmények és -szervezetek elleni célzásának szélesebb összefüggéseiről lásd a Thialf jégstadion elleni zsarolóvírus-támadásról szóló beszámolónkat.

Hogyan táplálja a kiszivárgott adat az adathalászatot és a hitelesítő adatok újrafelhasználását

Amint a személyes adatok egy fórumra kerülnek, ritkán maradnak egy helyen. Más bűnözők lemásolhatják, újracsomagolhatják és újra felhasználhatják őket. Két kockázat emelkedik ki az ilyen szivárgásban érintett emberek számára.

Célzott adathalászat. Ha egy támadó tudja a nevedet, az e-mail-címedet, és azt, hogy a svájci jégkoronghoz kötődsz, hitelesnek tűnő üzenetet írhat. Az üzenet a klubodnak, a szövetségnek, egy jegyértékesítő szolgáltatásnak vagy magáról a szivárgásról szóló „biztonsági értesítésnek" adhatja ki magát. Ezek az üzenetek általában arra ösztönöznek, hogy kattints egy linkre, nyiss meg egy mellékletet vagy adj meg egy jelszót.

Hitelesítő adatok újrafelhasználása (credential stuffing). Ha a kiszivárgott adatok e-mail-címeket tartalmaznak, a támadók megpróbálhatják azokat gyakran használt jelszavakkal, vagy korábbi szivárgásokban felfedett jelszavakkal más szolgáltatásoknál, például e-mailnél, banki szolgáltatásoknál és közösségi médiánál. Ez csak akkor működik, ha az emberek ugyanazt a jelszót használják több helyen. Automatizált és olcsó, ezért olyan gyakori.

Egyik támadás sem igényli, hogy a bűnöző közvetlenül feltörjön téged. Attól függnek, hogy gyorsan reagálsz-e vagy újrahasználsz-e egy jelszót, és mindkettő olyasmi, amit te irányíthatsz.

Mit jelent ez számodra

Ha valaha játszottál, edzősködtél, bíráskodtál, önkénteskedtél vagy regisztráltál egy svájci jégkorongklubnál vagy a szövetségnél, tekints magad potenciálisan érintettnek, még akkor is, ha nem kaptál értesítést. Az utánpótláskorú játékosok szüleinek ugyanezt kell tenniük gyermekeik nevében.

A gyakorlati kockázat nem az életed drámai átvétele. Hanem a meggyőző csaló üzenetek és a fiókjaidba való automatizált bejelentkezési kísérletek növekedése. Néhány lépés most megszünteti e kockázat nagy részét.

Lépések, amelyeket az érintett embereknek most meg kell tenniük

  • Változtasd meg az újrahasznált jelszavakat. Ha ugyanazt a jelszót használod a sportfiókodhoz és bármi máshoz, először a többit változtasd meg, kezdve az e-maillel. Használj egyedi jelszót minden szolgáltatáshoz, ideális esetben jelszókezelőben tárolva.
  • Kapcsold be a többtényezős hitelesítést. Egy hitelesítő alkalmazás vagy hardverkulcs az e-mail-, banki és közösségi fiókjaidon azt jelenti, hogy egy ellopott jelszó önmagában nem elég.
  • Kezeld gyanakvással a váratlan üzeneteket. Légy óvatos az olyan e-mailekkel, szöveges üzenetekkel vagy hívásokkal, amelyek a szivárgást, a klubodat vagy a szövetséget említik. Ne kattints a bennük lévő linkekre. Menj közvetlenül a hivatalos weboldalra, vagy lépj kapcsolatba a szervezettel olyan adatok használatával, amelyekben már megbízol.
  • Figyeld a szokatlan tevékenységet. Ellenőrizd a bejelentkezési riasztásokat és a fő fiókjaid legutóbbi tevékenységét, és nézd át a bankszámlakivonatokat bármi ismeretlen után kutatva.
  • Keresd a hivatalos frissítéseket. Kövesd a szövetség saját közleményeit arról, milyen adatok szivárogtak ki, és mit javasol.
  • Védd a kiskorúak fiókjait. Ha egy gyermek regisztrálva van egy klubnál, alkalmazd ugyanezeket a lépéseket az ő e-mail-címére és bármely kapcsolt fiókjára.

Fő tanulságok

A svájci jégkorong adatvédelmi incidense megmutatja, mennyi személyes információt gyűjtenek a sportszervezetek, és milyen gyorsan kerülhet rossz kezekbe. Sok részlet még nem megerősített, ezért kerüld a találgatásokat, és támaszkodj a hivatalos frissítésekre. Addig is változtasd meg az újrahasznált jelszavakat, engedélyezd a többtényezős hitelesítést, és kezeld gyanakvással a váratlan üzeneteket. Az ágazatot fenyegető veszély szélesebb áttekintéséért olvasd el a Thialf jégstadion zsarolóvírus-támadásáról szóló jelentésünket.