Il Dipartimento della Difesa ha notificato a milioni di militari statunitensi in servizio e in congedo che i loro dati personali sono stati rubati in una violazione durata mesi. Per chiunque abbia prestato servizio, o sia legato a qualcuno che lo ha fatto, la domanda pratica è semplice: cosa dovresti fare al riguardo? Questa guida illustra ciò che è noto e le misure di protezione in caso di violazione dei dati del personale militare che fanno una vera differenza.

Cosa sappiamo della violazione del DoD

Secondo quanto riportato da TechCrunch, il Dipartimento della Difesa ha inviato notifiche a milioni di militari in servizio e in congedo dopo aver stabilito che i loro dati personali erano stati sottratti nell'arco di mesi. Le notifiche sono il principale mezzo attraverso cui le persone coinvolte vengono a sapere che i loro dati sono stati interessati.

La copertura di altre testate fornisce un po' di contesto, sebbene le cifre differiscano. Federal News Network e ABC News descrivono una violazione del sistema informativo del Defense Manpower Data Center che ha interessato più di 3 milioni di persone legate all'ambito militare. CNN riporta che il Pentagono ha confermato che la violazione riguarda 2,76 milioni di "individui viventi", una categoria che potrebbe includere personale in servizio e in congedo. La discrepanza tra questi numeri riflette probabilmente metodi di conteggio diversi, quindi considera il totale esatto come non definito finché il Dipartimento della Difesa non pubblicherà maggiori dettagli.

Military Times ha riportato una lettera di notifica della violazione che avvertiva che utenti non autorizzati avevano acceduto a file contenenti informazioni personali. Security Magazine descrive l'incidente come una violazione di un sistema HR del Pentagono. Esattamente quali dati siano stati esposti può variare da persona a persona, ed è per questo che leggere la propria lettera conta più che affidarsi a riassunti generici.

Perché una permanenza di mesi aumenta il rischio di furto d'identità

La parola che spicca in questa storia è "durata mesi". Quando gli attaccanti hanno accesso a un sistema per un periodo prolungato, hanno più tempo per trovare, copiare e organizzare i registri. Nel momento in cui l'organizzazione rileva l'intrusione e invia le notifiche, i dati potrebbero già essere stati copiati, ordinati e forse condivisi o venduti.

Questa tempistica ha due conseguenze per le vittime:

  • Il conto alla rovescia è iniziato prima che tu ne fossi informato. Le tue informazioni potrebbero essere state nelle mani di qualcun altro per settimane o mesi prima che ricevessi una lettera.
  • Il rischio non scade. I dettagli personali rubati come nomi, date di nascita e numeri di identificazione non cambiano facilmente. I criminali possono conservarli e usarli in seguito, molto dopo che il ciclo di notizie si è spostato altrove.

È anche per questo che le notifiche di violazione dovrebbero essere trattate come l'inizio di un lungo periodo di vigilanza, non come un evento una tantum. Le frodi d'identità legate a vecchie fughe di dati possono manifestarsi un anno o più tardi sotto forma di una nuova carta di credito, una dichiarazione dei redditi o una richiesta di sussidi a tuo nome.

Il furto di dati su larga scala sta anche attirando maggiore attenzione da parte dei legislatori. La nostra precedente copertura su come la violazione ShinyHunters Canvas abbia attirato l'attenzione del Congresso mostra uno schema simile: una volta che una violazione raggiunge milioni di persone, tende a diventare una questione di responsabilità governativa.

Misure che il personale coinvolto dovrebbe adottare subito

Non puoi annullare una violazione, ma puoi rendere i dati rubati molto più difficili da usare. Inizia con questi passaggi:

  1. Leggi attentamente la tua notifica. Annota quali dati sono stati esposti e se la lettera offre servizi di monitoraggio del credito o di protezione dell'identità. Usa i canali ufficiali indicati nella lettera e diffida di chiamate, SMS o email non richiesti che affermano di riguardare la violazione. I truffatori spesso sfruttano le notizie.
  2. Blocca il tuo credito. Un blocco presso ciascuna delle principali agenzie di credito impedisce l'apertura della maggior parte dei nuovi conti a tuo nome. Generalmente è gratuito e può essere revocato temporaneamente quando devi richiedere credito.
  3. Reimposta e rafforza le password. Anche se la violazione non ha incluso le password, cambia quelle dei conti finanziari, email e legati al governo. Usa una password unica per ciascuno e un gestore di password per tenerne traccia.
  4. Attiva l'autenticazione a più fattori. Un'app di autenticazione o una chiave hardware è più forte degli SMS dove disponibile.
  5. Monitora i tuoi conti e i tuoi rapporti. Rivedi regolarmente gli estratti conto bancari e delle carte e controlla i tuoi rapporti di credito per conti che non riconosci.
  6. Attenzione al phishing mirato. Gli attaccanti che conoscono la tua storia di servizio o i tuoi dati personali possono scrivere messaggi convincenti. Verifica le richieste attraverso un canale separato e affidabile prima di cliccare o rispondere.

Cosa può e cosa non può fare una VPN dopo una violazione dei dati

Vale la pena essere diretti: una VPN non ti protegge da una violazione come questa. Una VPN crittografa il traffico tra il tuo dispositivo e internet, il che può aiutare su Wi-Fi pubblici e limitare ciò che il tuo provider di rete vede. Non ha alcun effetto sui dati già archiviati da un'organizzazione, come un database del personale governativo. Se gli attaccanti hanno copiato i registri da un sistema, nulla dalla tua parte avrebbe potuto impedirlo, e nulla che faccia una VPN li recupererà.

Dove una VPN può ancora avere un ruolo modesto è nell'igiene generale: ridurre l'esposizione su reti non affidabili mentre controlli i conti o blocchi il credito. È uno strato tra molti, non un rimedio per una violazione.

Cosa significa questo per te

Se hai ricevuto una notifica, prendila sul serio e agisci presto, ma non farti prendere dal panico. Gli strumenti più efficaci sono quelli poco appariscenti: un blocco del credito, password uniche, autenticazione a più fattori e un monitoraggio costante. Se non hai ricevuto una notifica ma hai legami con l'ambito militare, come essere un familiare o un ex militare, è ragionevole stare attenti agli annunci ufficiali e verificare se sei coperto.

Per tutti gli altri, la lezione è che i tuoi dati spesso si trovano in sistemi che non controlli. Non puoi prevenire completamente le violazioni, ma puoi limitare i danni assicurandoti che un singolo dettaglio trapelato non sblocchi tutto il resto.

Punti chiave

  • Controlla la tua notifica di violazione e usa solo canali ufficiali per rispondere.
  • Blocca il tuo credito e configura l'autenticazione a più fattori.
  • Reimposta le password e usa una diversa per ogni account.
  • Aspettati tentativi di phishing che usano dati personali reali.
  • Continua a monitorare per mesi e anni, poiché i dati rubati possono essere usati molto dopo una violazione.

Una solida protezione in caso di violazione dei dati del personale militare si riduce ad agire presto e mantenere la vigilanza nel tempo. Per un altro esempio di furto di dati su larga scala che ha spinto il governo a intervenire, leggi la nostra copertura della violazione ShinyHunters Canvas.