Quante persone potrebbero essere state coinvolte nella violazione dei dati del Pentagono?

I dati personali di fino a 4 milioni di membri delle forze armate statunitensi e dipendenti della difesa potrebbero essere stati esposti, sebbene questo sia descritto come un massimo potenziale piuttosto che un conteggio confermato.

Per quanto tempo la violazione è rimasta non rilevata?

L'incidente sarebbe rimasto non rilevato per mesi.

I registri esposti erano cifrati?

No, i registri esposti non erano cifrati, il che significa che chiunque abbia superato il perimetro poteva leggerli così come sono.

Gli investigatori conoscono la piena portata di ciò a cui è stato effettuato l'accesso?

No, gli investigatori non hanno ancora stabilito la piena portata dell'esposizione e non conoscono ancora la piena entità di ciò a cui è stato effettuato l'accesso.

Perché l'archiviazione non cifrata dei registri è importante?

La cifratura at rest significa che i file rubati sono illeggibili senza una chiave, quindi i registri non cifrati possono essere letti direttamente da chiunque vi acceda, rendendo una violazione grave un bottino molto più utile per un attaccante.

Violazione dei dati del Pentagono 4 milioni: mesi senza essere rilevata, non cifrati

Una violazione dei dati del Pentagono che ha coinvolto fino a 4 milioni di persone sta attirando l'attenzione per due ragioni che vanno oltre la sua portata: l'intrusione sarebbe rimasta non rilevata per mesi e i registri esposti non erano cifrati. Secondo il rapporto, gli investigatori non conoscono ancora la piena portata di ciò a cui è stato effettuato l'accesso. Ecco cosa è stato riportato, perché questi dettagli contano e cosa possono fare le persone coinvolte.

Cosa sappiamo sulla violazione del personale del Pentagono

Secondo il rapporto fonte, i dati personali di fino a 4 milioni di membri delle forze armate statunitensi e dipendenti della difesa potrebbero essere stati esposti in una violazione dei sistemi del personale del Pentagono. L'incidente è rimasto non rilevato per mesi. I registri esposti non erano cifrati e gli investigatori non hanno ancora stabilito la piena portata dell'esposizione.

La cifra è descritta come un massimo potenziale, non un conteggio confermato. Questa distinzione è importante. Una precedente copertura indicava il numero di persone collegate all'incidente in più di 3 milioni, sulla base di una dichiarazione di un funzionario della difesa statunitense, come riportato nel nostro articolo sulla violazione dei dati del Pentagono legata a 3 milioni di persone. La stima è da allora cresciuta fino a quattro milioni, il che è comune quando un'indagine sta ancora stabilendo cosa è stato toccato. Il nostro precedente articolo sulla potenziale esposizione di 4 milioni di registri del personale descrive una violazione dei sistemi delle risorse umane del Dipartimento della Difesa che è passata inosservata per mesi.

L'articolo fonte non include un elenco completo dei campi dati, un attaccante identificato o un punto di ingresso confermato, quindi non speculeremo su questi aspetti.

Perché i registri non cifrati e mesi di silenzio contano

Due fallimenti separati sembrano essersi combinati qui.

Cifratura mancante. La cifratura at rest significa che i file rubati sono illeggibili senza una chiave. Quando i registri sono archiviati non cifrati, chiunque superi il perimetro può leggerli così come sono. La cifratura non ferma un'intrusione, ma può trasformare una violazione grave in un bottino molto meno utile per l'attaccante.

Lacune nel rilevamento. Una violazione che rimane nascosta per mesi dà a un intruso il tempo di esplorare, copiare dati e tornare. Significa anche che le persone coinvolte non hanno avuto alcuna possibilità di proteggersi durante quel periodo. Qualsiasi uso improprio delle informazioni rubate potrebbe essere iniziato molto prima che l'incidente diventasse noto.

Insieme, questi fattori spiegano perché gli investigatori non possono ancora dire esattamente cosa è stato prelevato. Senza log completi o avvisi tempestivi, ricostruire l'attività di un intruso è difficile, e la popolazione coinvolta potrebbe essere rivista man mano che la revisione continua.

Rischi per i membri delle forze armate e le loro famiglie

I registri del personale tendono a contenere informazioni difficili da cambiare. Una password può essere reimpostata in pochi secondi; un nome, una data di nascita o una storia di servizio no. Ecco perché l'esposizione di questo tipo può creare una lunga coda di rischio anziché un breve picco.

Le possibili preoccupazioni per le persone coinvolte includono:

Furto d'identità e frode, come prestiti fraudolenti o conti di credito aperti a nome di qualcuno.
Phishing mirato, in cui i messaggi fanno riferimento a dettagli reali sul ruolo o sul servizio di una persona per apparire legittimi.
Impersonificazione di funzionari o fornitori di benefici, finalizzata a estrarre ulteriori informazioni o pagamenti.
Rischio per i familiari, i cui dettagli possono apparire negli stessi registri o essere dedotti da essi.

Questi sono rischi generali che seguono qualsiasi esposizione di registri personali sensibili, non esiti confermati di questo specifico incidente. La fonte non riporta alcun uso improprio finora.

Cosa significa per te

Se sei un membro in servizio o ex membro delle forze armate o un dipendente della difesa, presupponi che le tue informazioni potrebbero essere coinvolte finché non sentirai il contrario attraverso canali ufficiali. Questa è una precauzione, non un motivo di panico. Se non sei collegato al Pentagono, la lezione vale comunque: le organizzazioni che detengono i tuoi dati potrebbero non cifrarli o non notare un'effrazione rapidamente, quindi limitare ciò che condividi e monitorare i tuoi account vale la pena ovunque.

Una VPN protegge il tuo traffico in transito su reti non affidabili. Non avrebbe impedito una violazione di un database governativo, quindi non dovrebbe essere considerata una soluzione per questo tipo di esposizione.

Passi che le persone coinvolte possono intraprendere ora

Attendi la notifica ufficiale. Affidati alle comunicazioni del tuo datore di lavoro o del Dipartimento della Difesa anziché a email, messaggi di testo o chiamate non richiesti che affermano di riguardare la violazione.
Considera un blocco del credito. Bloccare il tuo credito presso i principali bureau rende più difficile per qualcuno aprire nuovi conti a tuo nome. È generalmente gratuito e reversibile.
Monitora i tuoi account e rapporti di credito. Controlla gli estratti conto bancari e rivedi regolarmente i tuoi rapporti di credito per attività che non riconosci.
Sii scettico verso contatti inaspettati. Non cliccare link o condividere dettagli personali in risposta a messaggi che menzionano il tuo record di servizio, benefici o stipendio.
Proteggi i tuoi accessi. Usa password uniche e attiva l'autenticazione a più fattori per email, banking e qualsiasi portale governativo o di benefici.
Parla con la tua famiglia. Assicurati che coniugi e persone a carico conoscano le tattiche di phishing e i passi sopra indicati.

Punti chiave

La violazione dei dati del Pentagono che ha coinvolto 4 milioni di persone conta tanto per come è avvenuta quanto per la sua portata: mesi di silenzio e archiviazione non cifrata hanno ampliato il potenziale danno. Il numero è ancora una stima e l'indagine è in corso, quindi aspettati che i dettagli cambino.

Se potresti essere coinvolto, inizia con i passi pratici nella nostra guida su cosa fare dopo la violazione del Pentagono, e leggi il nostro precedente articolo sui 4 milioni di registri per la cronologia completa di ciò che è stato divulgato finora.