Una presunta fuga di dati presso il Department of Homeland Security ha messo in circolazione i nomi, i numeri di telefono e gli indirizzi email di oltre 40.000 dipendenti. La violazione dei dati del DHS sui recapiti dei dipendenti è, secondo il rapporto di VOZ, la terza fuga di dati governativa a finire sui titoli dei giornali nell'ultimo mese. L'articolo originale è scarso di dettagli tecnici, quindi questo pezzo si attiene a quanto è stato riportato e spiega perché questo tipo di dati sia importante, anche quando sembra innocuo.
Cosa è stato esposto nella fuga di dati del DHS
In base al resoconto, le informazioni esposte riguardano oltre 40.000 dipendenti del DHS e sono limitate a tre tipi di dati: nomi, numeri di telefono e indirizzi email. Il rapporto non descrive, nel materiale a nostra disposizione, come siano stati ottenuti i dati, chi ci sia dietro, quando sia accaduto o se fossero coinvolte altre categorie come numeri di previdenza sociale o registrazioni finanziarie. Non faremo supposizioni su questi dettagli.
Questa lacuna merita di essere segnalata. I primi resoconti sulle violazioni sono spesso incompleti e la portata può cambiare man mano che le agenzie indagano. Considerate la cifra attuale come una base riportata e non come un conteggio definitivo, e tenete d'occhio le dichiarazioni ufficiali del DHS.
Un pattern di fughe di dati governative
L'incidente del DHS non è isolato. Il rapporto lo presenta come la terza fuga di dati governativa a finire sui titoli dei giornali in un solo mese. Altri due casi recenti trattati su vpn.social offrono un contesto utile. In uno, l'FBI ha dichiarato di stare affrontando una violazione che coinvolge i dati sensibili dei suoi dipendenti e ha promesso di perseguire i responsabili. In un altro, le autorità francesi hanno arrestato un quindicenne sospettato di aver violato ANTS, l'agenzia che gestisce i documenti d'identità.
Questi casi coinvolgono agenzie e paesi diversi, quindi non dovremmo presumere che siano collegati. Ciò che hanno in comune è l'obiettivo: grandi database del settore pubblico pieni di informazioni personali su dipendenti o cittadini. Gli enti governativi detengono dati preziosi per i criminali e, in alcuni casi, per attori ostili, il che li rende bersagli persistenti.
Perché i recapiti alimentano il phishing e l'ingegneria sociale
È tentante liquidare una fuga di nomi, numeri di telefono ed email come irrilevante. Nessuna password né dato finanziario, quindi quale sarebbe il danno? La risposta è che i dati di contatto sono la materia prima per attacchi mirati.
Con un nome verificato, un indirizzo email di lavoro e un numero di telefono legato a un datore di lavoro noto, un attaccante può:
- Elaborare email di phishing convincenti che si rivolgono a una persona per nome e fanno riferimento alla sua agenzia.
- Condurre chiamate di voice phishing (vishing) fingendosi supporto IT, un collega o un fornitore.
- Inviare esche via SMS che indirizzano i destinatari a pagine di login false.
- Impersonare insider per estrarre informazioni da colleghi che si fidano di un nome familiare.
Per i dipendenti di un'agenzia incentrata sulla sicurezza, il rischio è che gli attaccanti sappiano esattamente chi lavora lì e come raggiungerlo. Anche un piccolo numero di messaggi andati a buon fine può dare a un attaccante un punto d'appoggio. Il rischio non è limitato a quei dipendenti. Anche familiari, appaltatori e chiunque comunichi con il personale del DHS potrebbe ricevere messaggi che sembrano provenire da una fonte affidabile.
Le fughe di soli recapiti tendono anche a essere riutilizzate. Elenchi di email e numeri di telefono verificati possono essere combinati con dati provenienti da altri incidenti. La nostra copertura di l'esposizione di LimeLeads di 49,4 milioni di contatti business mostra come i database di contatti possano circolare ed essere utilizzati molto tempo dopo l'incidente originale.
Cosa significa per voi
Potreste non lavorare per il DHS, ma le lezioni valgono per tutti. La maggior parte di noi ha nome, email e numero di telefono presenti in molti database: datori di lavoro, rivenditori, data broker e agenzie governative. Quando uno di questi viene violato, lo stesso copione di phishing viene usato contro le persone comuni.
Se siete dipendenti del DHS o lavorate con uno di loro, aspettatevi più messaggi non richiesti del solito e trattate le richieste inaspettate con sospetto, anche se usano il vostro nome o menzionano il vostro luogo di lavoro. Se non lo siete, usate questo episodio come spunto per verificare quanto dei vostri recapiti sia pubblicamente disponibile e chi possa raggiungervi.
Come ridurre la propria esposizione dei dati personali
Non potete controllare se un'organizzazione viene violata, ma potete limitare i danni. Le misure pratiche includono:
- Usate alias email unici per servizi diversi, così una fuga in un punto non si collega a tutto il resto.
- Tenete un numero di telefono separato per iscrizioni ed elenchi pubblici, invece del vostro numero di cellulare principale.
- Attivate l'autenticazione a più fattori, preferibilmente con un'app di autenticazione o una chiave hardware anziché via SMS.
- Verificate prima di fidarvi. Se una chiamata, un SMS o un'email chiede credenziali o un'azione urgente, contattate l'organizzazione tramite un canale che sapete già essere reale.
- Non cliccate sui link in messaggi inaspettati. Navigate direttamente al sito.
- Controllate gli strumenti di notifica delle violazioni per vedere quali dei vostri indirizzi sono comparsi in fughe note e cambiate le password di conseguenza.
- Richiedete la rimozione dai siti dei data broker dove sono elencati i vostri dati.
Il punto non è eliminare l'esposizione, cosa irrealistica, ma rendere ogni dettaglio trapelato meno utile a un attaccante.
Il punto chiave
La presunta violazione dei dati del DHS sui recapiti dei dipendenti può sembrare modesta rispetto a fughe che includono password o registrazioni finanziarie, ma i dati di contatto sono proprio ciò che fa funzionare phishing e ingegneria sociale. Con tre fughe governative segnalate in un mese, è ora un buon momento per verificare dove sono esposti i vostri recapiti e rafforzare le vostre abitudini. Per un contesto più ampio sul pattern, leggete la nostra copertura di la violazione dei dati dei dipendenti dell'FBI e l'hack dei registri d'identità di ANTS, poi prendetevi qualche minuto per mettere al sicuro i vostri account.
