Sebuah kerentanan keamanan telah diperbaiki dalam database yang berisi lebih dari 125 juta pesan teks yang dikirim oleh bank, perusahaan asuransi, peritel, dan penyedia layanan Latvia dan Lituania kepada pelanggan mereka. Penyedia layanan di balik sistem tersebut mengatakan masalah tersebut telah diperbaiki. Peristiwa ini adalah contoh jelas dari risiko kebocoran data penyedia SMS: pesan sensitif sering kali berada pada vendor yang tidak pernah dipilih pelanggan dan mungkin tidak diketahui keberadaannya.
Laporan yang tersedia sejauh ini singkat, jadi artikel ini berpegang pada apa yang telah dinyatakan dan menjelaskan mengapa hal itu penting.
Apa yang terekspos dalam database SMS Baltik
Menurut laporan tersebut, database yang terdampak menyimpan lebih dari 125 juta pesan teks. Ini adalah pesan business-to-customer yang dikirim oleh bank, perusahaan asuransi, peritel, dan penyedia layanan Latvia dan Lituania. Sumber tersebut menggambarkan masalah ini sebagai kerentanan yang kini telah diperbaiki, dan judul berita membingkainya sebagai kebocoran data yang mungkin terjadi.
Pilihan kata itu penting. Kerentanan berarti ada kelemahan. Itu sendiri tidak memastikan bahwa siapa pun telah mengakses atau menyalin data tersebut. Materi sumber yang kami miliki tidak menyebutkan berapa lama kelemahan itu ada, siapa yang mungkin menemukannya, atau apakah ada pesan yang benar-benar dilihat oleh pihak yang tidak berwenang.
Meski demikian, jenis konten yang biasanya disimpan dalam database semacam itu patut dipertimbangkan. Perusahaan umumnya menggunakan SMS untuk kode sekali pakai, peringatan perbankan, pembaruan pengiriman, dan pemberitahuan akun. Pesan seperti ini dapat mengungkapkan di bank mana seseorang memiliki rekening, apa yang mereka beli, ke mana paket dikirim, dan layanan apa yang mereka gunakan. Bahkan tanpa satu pun kata sandi, konteks tersebut bernilai bagi seseorang yang merencanakan penipuan yang meyakinkan.
Mengapa vendor perpesanan pihak ketiga menjadi risiko tersembunyi
Kebanyakan orang menganggap bank atau peritel mengirim teks mereka sendiri. Dalam praktiknya, banyak organisasi menyerahkan tugas itu kepada penyedia perpesanan yang berada di antara perusahaan dan jaringan seluler. Pelanggan berurusan dengan merek, tetapi konten pesan melewati, dan mungkin disimpan oleh, perusahaan terpisah.
Hal ini menimbulkan beberapa masalah:
- Hubungan yang tak terlihat. Pelanggan jarang melihat vendor mana yang memproses data mereka, sehingga mereka tidak dapat menilai keamanan vendor tersebut.
- Data yang terpusat. Satu penyedia dapat melayani banyak klien di beberapa negara. Satu celah dapat menyentuh pesan dari bank, perusahaan asuransi, dan toko sekaligus, yang membuat angka seperti 125 juta pesan menjadi mungkin.
- Pertanyaan retensi. Log pesan mungkin disimpan untuk pemecahan masalah atau pelaporan. Semakin lama disimpan, semakin banyak yang bisa terekspos.
Pola yang sama muncul dalam insiden lain yang telah kami liput. Tinjauan kami tentang risiko pihak ketiga dalam pelanggaran Trump Mobile menunjukkan bagaimana data yang disimpan di luar dinding merek sendiri tetap dapat menjadi masalah merek tersebut. Pelanggaran data Fakturownia menyampaikan poin serupa tentang platform yang menyimpan jauh lebih banyak daripada yang tersirat dari namanya.
Apa yang dikonfirmasi dan tidak dikonfirmasi oleh perbaikan vendor
Pernyataan penyedia bahwa masalah telah diperbaiki adalah kabar baik, tetapi itu hanya menjawab sebagian dari pertanyaan.
Apa yang disiratkannya: kelemahan spesifik tersebut tidak lagi terbuka, sehingga jalur yang sama seharusnya tidak tersedia ke depannya.
Apa yang tidak dikonfirmasinya, berdasarkan sumber:
- Apakah ada pihak ketiga yang mengakses pesan sebelum perbaikan.
- Apakah pesan yang terekspos mencakup kode atau detail pribadi yang masih dapat digunakan.
- Apakah tinjauan independen telah memverifikasi perbaikan tersebut.
- Apakah perusahaan yang terdampak akan memberi tahu pelanggan mereka.
Sampai poin-poin tersebut dibahas secara publik, sikap yang masuk akal adalah bukan panik maupun lengah. Anggap perbaikan sebagai langkah yang diperlukan, bukan lampu hijau sepenuhnya. Organisasi yang menggunakan vendor tersebut adalah pihak yang paling tepat untuk menjelaskan apa, jika ada, yang harus dilakukan pelanggan.
Apa Artinya Bagi Anda
Jika Anda memiliki rekening bank, asuransi, atau berbelanja dengan perusahaan Latvia atau Lituania, pesan Anda mungkin telah melewati sistem seperti ini. Bahkan jika Anda berada di tempat lain, pelajarannya tetap berlaku: layanan apa pun yang mengirim teks kepada Anda bergantung pada rantai vendor yang tidak dapat Anda audit.
Risiko yang realistis biasanya bukan pengambilalihan akun secara dramatis dari satu teks lama. Melainkan phishing yang tertarget. Penipu yang mengetahui Anda baru-baru ini menerima pemberitahuan pengiriman atau peringatan bank dapat menulis pesan palsu yang tampak autentik, menggunakan detail nyata untuk mendapatkan kepercayaan Anda. Kode sekali pakai yang lama seharusnya sudah kedaluwarsa, tetapi login berbasis SMS itu sendiri tetap menjadi mata rantai yang lemah, karena teks dapat dicegat, diteruskan, atau terekspos di tempat yang tidak Anda kendalikan. Rangkuman keamanan mingguan kami juga mencatat bagaimana trik phishing terus berkembang, yang menjadi pengingat untuk tetap skeptis terhadap pesan tak terduga.
Cara melindungi diri dari phishing berbasis SMS dan risiko 2FA
Anda tidak dapat memilih vendor perpesanan bank Anda, tetapi Anda dapat mengurangi seberapa besar kerugian yang dapat ditimbulkan oleh teks yang terekspos.
- Beralihlah dari kode SMS jika memungkinkan. Gunakan aplikasi autentikator atau kunci keamanan perangkat keras untuk autentikasi dua faktor. Ini tidak melewati sistem perpesanan teks.
- Pertahankan SMS hanya sebagai cadangan. Jika suatu layanan memaksa verifikasi teks, aktifkan, tetapi tambahkan opsi yang lebih kuat di mana pun layanan mengizinkannya.
- Jangan percayai pesan yang merujuk pada aktivitas nyata. Teks yang menyebut pesanan atau bank nyata tidak membuktikan bahwa itu asli. Jangan ketuk tautan; buka aplikasi resmi atau ketik sendiri alamatnya.
- Jangan pernah membagikan kode. Tidak ada bank atau peritel yang sah yang akan meminta Anda membacakan kode sekali pakai.
- Pantau akun Anda. Periksa laporan dan peringatan login untuk hal apa pun yang tidak familiar, dan laporkan aktivitas mencurigakan ke bank Anda dengan cepat.
- Tanyakan kepada penyedia Anda. Jika Anda ingin mengetahui bagaimana sebuah perusahaan menangani data pesan, tanyakan siapa yang memprosesnya dan berapa lama data itu disimpan.
Intinya
Perbaikan database Baltik ini patut disambut, tetapi masih menyisakan pertanyaan tentang apakah data tersebut pernah diakses. Pelajaran yang lebih luas tentang risiko kebocoran data penyedia SMS tetap berlaku: pemberitahuan sensitif melewati vendor yang tidak pernah Anda pilih, dan Anda hanya dapat mengendalikan sisi Anda sendiri. Beralihlah ke 2FA berbasis aplikasi atau perangkat keras, tetap waspada terhadap pesan apa pun yang menyebut aktivitas nyata, dan baca lebih lanjut tentang bagaimana vendor luar menciptakan eksposur dalam artikel kami tentang pelanggaran Trump Mobile dan insiden Fakturownia.
