Et stort sikkerhetsselskap fikk nettopp et stort sikkerhetsproblem

Alert 360, den femte største leverandøren av hjemme- og bedriftssikkerhet i USA, har angivelig blitt offer for et betydelig datainnbrudd. Hackergruppen ShinyHunters tok på seg ansvaret for å ha stjålet 2,5 millioner poster fra selskapet, og endte til slutt med å dumpe dataene på det mørke nettet etter at løsepengeforhandlingene brøt sammen. Den lekkede informasjonen inkluderer personlig identifiserbar informasjon (PII) sammen med interne bedriftsdata, noe som skaper alvorlig eksponeringsrisiko for selskapets store kundebase.

Hendelsen er slående ikke bare på grunn av omfanget, men for hva den sier om den generelle tilstanden til datasikkerhet. Hvis et selskap hvis kjernevirksomhet er å beskytte mennesker og eiendom ikke kan sikre sine egne kundedata, reiser det vanskelige spørsmål om hvordan enhver organisasjon håndterer den sensitive informasjonen den samler inn.

Hvem er ShinyHunters og hvorfor er de viktige?

ShinyHunters er ikke et ukjent navn i cybersikkerhetsmiljøer. Gruppen har blitt koblet til en rekke høyprofilerte datainnbrudd de siste årene, med mål rettet mot selskaper på tvers av flere bransjer og geografier. Deres typiske fremgangsmåte innebærer å infiltrere et mål, hente ut store mengder data, kreve løsepenger og publisere dataene offentlig når forhandlingene mislykkes eller ingen betaling gjøres.

Det siste steget, å publisere dataene, er det som forvandler et brudd fra et inneholdt bedriftsproblem til en vidtrekkende forbrukerrisiko. Når poster havner på mørke nettforum, blir de tilgjengelige for et bredt spekter av ondsinnede aktører, fra identitetstyver til phishing-operatører. Dataene forsvinner ikke etter at de er publisert; de sirkulerer, selges videre og fortsetter å forårsake skade lenge etter at den opprinnelige hendelsen har forsvunnet fra overskriftene.

At løsepengeforhandlingene mislyktes i dette tilfellet betyr at uansett hvilken innflytelse Alert 360 måtte ha hatt for å begrense eksponeringen, er den nå borte. Dataene er ute.

Hvilken type data ble eksponert?

Rapporter indikerer at det lekkede datasettet inkluderer personlig identifiserbar informasjon, en bred kategori som typisk dekker navn, adresser, telefonnumre, e-postadresser, kontodetaljer og potensielt mer sensitive poster avhengig av hva selskapet lagret. Interne bedriftsdata ble også angivelig inkludert i dumpingen.

For kunder av en leverandør av hjemme- eller bedriftssikkerhet strekker implikasjonene seg utover de vanlige bekymringene om et brudd hos en forhandler eller på sosiale medier. Folk som bruker sikkerhetstjenester har ofte delt detaljert informasjon om sine hjem, bedrifter, timeplaner og fysiske adgangssystemer. Karakteren av dette forholdet betyr at dataene disse selskapene holder på kan være mer kontekstuelt sensitive enn en enkel liste over e-postadresser.

På dette stadiet har Alert 360 ikke publisert en omfattende offentlig uttalelse som detaljerer nøyaktig hvilke poster som ble kompromittert eller hvor mange kunder som er direkte berørt. Denne mangelen på klarhet er i seg selv en bekymring for alle som noen gang har vært kunde hos selskapet.

Hva dette betyr for deg

Dette bruddet er en tydelig illustrasjon på et problem som berører alle som deler personlige data med en hvilken som helst organisasjon: du har svært begrenset kontroll over hva som skjer med disse dataene når de forlater hendene dine. Du kan velge sterke passord og bruke tofaktorautentisering på dine egne kontoer, men du kan ikke kontrollere sikkerhetspraksisen til hvert eneste selskap som holder på informasjonen din.

Denne virkeligheten gjør det viktig å tenke på hvordan du administrerer ditt personlige dataavtrykk mer generelt. Noen praktiske steg er verdt å vurdere i kjølvannet av hendelser som denne.

Overvåk kontoene og kreditten din. Hvis du er eller har vært en Alert 360-kunde, hold et nøye øye med finanskontoene dine og vurder å legge inn et svindelvarsel eller en kredittfrysing hos de store kredittbyråene. Dette koster ingenting og kan hindre at nye kredittlinjer åpnes i ditt navn uten din viten.

Vær oppmerksom på phishing-forsøk. Lekkede PII-data brukes ofte til å lage overbevisende phishing-e-poster og tekstmeldinger. Vær skeptisk til all uønsket kommunikasjon som refererer til kontoen din, hjemmesikkerhetssystemet ditt, eller som ber deg om å klikke på en lenke eller oppgi påloggingsinformasjon.

Bruk unike passord og en passordbehandler. Hvis du gjenbruker passord på tvers av kontoer, kan et brudd hos ett selskap gi uautorisert tilgang andre steder. En passordbehandler gjør det praktisk å opprettholde unike påloggingsdetaljer for hver tjeneste.

Tenk over hvilke data du deler fremover. Ikke alle tjenester trenger fullt navn, hjemmeadresse og telefonnummer. Der det er mulig, begrens informasjonen du oppgir til kun det som er strengt nødvendig.

Sjekk databaser for bruddvarsler. Tjenester som samler inn brudddata kan fortelle deg om e-postadressen din har dukket opp i kjente lekkasjer, og gir deg et tidlig signal om å endre påloggingsdetaljer og holde deg på vakt.

Alert 360-bruddet er en påminnelse om at ingen selskaper er immune mot angrep, ikke engang de som er i sikkerhetsbransjen selv. Det beste forsvaret som er tilgjengelig for enkeltpersoner er å holde seg informert, handle raskt når brudd annonseres og ta konsistente steg for å begrense skaden som lekkede data kan gjøre. Å beskytte din personlige informasjon krever løpende oppmerksomhet, ikke en engangskonfigurasjon.