La violazione del sistema Oracle HR della Tulane University espone codici fiscali e dati bancari

Una violazione dei dati presso la Tulane University ha avviato una potenziale azione legale collettiva dopo che soggetti non autorizzati hanno sfruttato una vulnerabilità in una piattaforma Oracle per accedere ai file del sistema HR. La violazione ha esposto informazioni personali altamente sensibili, tra cui nomi, numeri di previdenza sociale e dati bancari. Lo studio legale Edelson Lechtzin LLP sta ora indagando sull'incidente per conto delle persone coinvolte. Per chiunque si trovi a dover affrontare preoccupazioni relative alla protezione dei dati personali in seguito a una violazione universitaria, questo caso è un duro promemoria del fatto che anche le istituzioni dotate di ampie risorse possono esporre le persone a rischi senza alcuna colpa da parte loro.

Cosa ha esposto la violazione della Tulane e come sono entrati gli aggressori

Secondo le informazioni confermate dalla Tulane University, gli aggressori hanno sfruttato una vulnerabilità in una piattaforma Oracle utilizzata per gestire i file del sistema HR. I prodotti Oracle sono ampiamente diffusi nelle grandi organizzazioni per la pianificazione delle risorse aziendali, l'elaborazione delle buste paga e la gestione delle risorse umane. Quando esiste una falla in quella piattaforma sottostante, ogni istituzione che la utilizza diventa un potenziale bersaglio.

I dati esposti in questa violazione rientrano tra le categorie più dannose che un aggressore possa ottenere. I numeri di previdenza sociale possono essere utilizzati per anni di frodi d'identità. Le informazioni bancarie aprono la porta al furto finanziario diretto. I nomi completi associati a entrambi forniscono tutto il necessario per impersonare qualcuno o aprire conti fraudolenti a suo nome. Le persone coinvolte non hanno scelto di archiviare questi dati nel sistema Oracle di terze parti della Tulane. Erano obbligate a farlo, come condizione di impiego o iscrizione.

Perché i sistemi HR e di busta paga sono obiettivi di alto valore

Le piattaforme HR e di busta paga sono tra gli obiettivi più appetibili per i criminali informatici proprio per ciò che contengono. A differenza di un database di vendita al dettaglio che conserva la cronologia degli acquisti, un sistema HR aggrega documenti d'identità, documenti fiscali, dettagli di accredito diretto e storia lavorativa in un unico posto. Gli aggressori possono monetizzare quei dati attraverso il furto d'identità, le frodi fiscali o la vendita su mercati del dark web.

Le istituzioni di istruzione superiore si trovano di fronte a un problema aggravato. Le università impiegano popolazioni ampie e diversificate, tra cui docenti, personale, collaboratori esterni e studenti lavoratori, e spesso operano attraverso decine di dipartimenti con livelli variabili di supervisione informatica. I fornitori di software aziendale di terze parti come Oracle introducono un rischio aggiuntivo perché una singola vulnerabilità nel codice del fornitore può propagarsi a tutti i clienti che utilizzano quella piattaforma. La superficie di attacco non è solo l'università; sono tutti coloro che utilizzano lo stesso stack software.

Non si tratta di un caso isolato. Come si è visto nella violazione dei dati Stryker, gli aggressori prendono sempre più di mira il livello del software aziendale piuttosto che colpire direttamente le singole organizzazioni. Quando una piattaforma ampiamente utilizzata presenta una falla, sfruttarla una sola volta può fruttare dati di migliaia di persone appartenenti a più organizzazioni.

Cosa possono fare le persone coinvolte quando le organizzazioni le lasciano esposte

Quando un'istituzione con cui si è obbligati a condividere i propri dati subisce una violazione, le opzioni sono limitate ma non inesistenti. Il primo passo è verificare se si è coinvolti. Si prevede che la Tulane notifichi direttamente le persone interessate, ma se si è un dipendente o uno studente attuale o ex e non si è ricevuta alcuna comunicazione, è ragionevole contattare l'ufficio per la protezione dei dati o l'ufficio HR dell'università.

Una volta confermata l'esposizione, i seguenti passi sono pratici e urgenti:

  • Bloccare il credito presso tutte e tre le principali agenzie di credito (Equifax, Experian, TransUnion). Un blocco impedisce l'apertura di nuovi conti di credito a proprio nome senza il proprio esplicito consenso ed è gratuito.
  • Impostare avvisi antifrode come ulteriore livello che notifica ai finanziatori di verificare l'identità prima di concedere credito.
  • Monitorare attentamente i conti bancari per individuare transazioni non autorizzate, soprattutto se le informazioni bancarie sono state confermate come parte dei dati esposti.
  • Presentare la dichiarazione dei redditi in anticipo se si riceve una notifica di esposizione del numero di previdenza sociale. Le frodi fiscali d'identità, in cui un criminale presenta una dichiarazione usando il proprio codice fiscale per richiedere un rimborso, sono comuni dopo violazioni di questo tipo.
  • Documentare tutta la corrispondenza ricevuta dall'università in merito alla violazione. Se l'azione legale collettiva va avanti, avere traccia di ciò che è stato comunicato e quando potrebbe essere rilevante.

La potenziale azione legale collettiva di Edelson Lechtzin LLP potrebbe fornire un rimedio finanziario, ma i procedimenti legali richiedono tempo. Le azioni protettive personali non devono attendere il contenzioso.

Lezioni per la sicurezza dei dati personali: VPN, monitoraggio e altro

Questa violazione mette in evidenza un problema fondamentale nella protezione dei dati personali in caso di violazioni universitarie: i dati più sensibili che ci riguardano sono spesso archiviati in sistemi su cui non si ha visibilità né controllo. Non si possono verificare le pratiche di sicurezza di Oracle. Non si può scegliere quale fornitore utilizza il proprio datore di lavoro. Ciò che si può controllare è la rapidità con cui si rilevano i problemi e quanto bene si limita un'ulteriore esposizione.

Alcune abitudini di sicurezza a più livelli riducono significativamente il proprio profilo di rischio dopo una violazione:

  • Utilizzare un servizio affidabile di monitoraggio dell'identità che tenga d'occhio il proprio codice fiscale, gli indirizzi e-mail e i conti finanziari che compaiono nei database delle violazioni o sui forum del dark web.
  • Attivare l'autenticazione a più fattori su ogni conto finanziario e di posta elettronica. Se gli aggressori ottengono le proprie credenziali da un'altra fonte e tentano di abbinarle ai dati di questa violazione, l'MFA blocca i tentativi di accesso automatizzati.
  • Usare una VPN sulle reti pubbliche per prevenire l'intercettazione opportunistica delle credenziali, in particolare se si è in viaggio o si lavora da remoto dopo una notifica di violazione. Sebbene una VPN non annulli un codice fiscale già compromesso, impedisce un'ulteriore esposizione delle proprie credenziali mentre si adottano misure correttive.
  • Separare i conti finanziari ove possibile. Se le informazioni bancarie nel sistema HR della Tulane fanno riferimento a un conto principale, considerare l'apertura di un conto separato per gli accrediti diretti futuri, al fine di limitare le conseguenze di qualsiasi incidente futuro.

La realtà, illustrata da casi come quello della Tulane e dalla violazione Stryker, è che affidare alle istituzioni i propri dati sensibili comporta un rischio intrinseco perché il loro livello di sicurezza è in gran parte al di fuori del proprio controllo. Ciò non significa essere impotenti. Significa sviluppare abitudini di sicurezza personale che diano per scontato che una violazione prima o poi si verificherà e ti preparino a rispondere rapidamente.

Cosa significa per te

Se sei un dipendente o uno studente attuale o ex della Tulane University, considera questa una situazione attiva che richiede un'azione immediata, non una notizia da seguire passivamente. Blocca il credito subito, monitora i tuoi conti bancari e tieni d'occhio qualsiasi notifica da parte dell'università. Se ritieni di poter essere stato coinvolto e non hai ancora ricevuto comunicazioni dalla Tulane, contattala direttamente.

In modo più generale, questo caso conferma che le vulnerabilità del software aziendale creano rischi che si propagano ben oltre una singola organizzazione. Ogni istituzione che utilizza i prodotti Oracle HR, o piattaforme simili, rappresenta un potenziale bersaglio. Vale la pena rivedere la propria configurazione di sicurezza personale — inclusi il monitoraggio del credito, l'autenticazione a più fattori e la separazione dei conti — indipendentemente dal fatto che si sia ricevuta una notifica di violazione.

Le violazioni dei dati a livello istituzionale sono in gran parte fuori dal tuo controllo. La rapidità con cui rispondi, e quanto sono stratificate le tue difese personali, invece non lo sono.