Når en bruddpåstand ikke holder mål

Et nytt påstand om databrudd hos Carhartt som sirkulerer denne uken er en nyttig påminnelse om at ikke alt en hackergruppe legger ut på nettet bør tas for god fisk. Utpressingsgruppen ShinyHunters annonserte at de hadde kompromittert den amerikanske arbeidsklær- og moteforhandleren Carhartt, og hevdet at de hadde stjålet mer enn 50 GB komprimerte data som inneholdt millioner av kundeposter. Den første påstanden satte antallet unike e-postadresser til nesten 25 millioner, et tall som raskt spredte seg som fakta gjennom cybersikkerhetsnyheter og sosiale medier.

Men sikkerhetsforsker Troy Hunt, grunnlegger av Have I Been Pwned, bestemte seg for å faktisk sjekke dataene før han aksepterte tallet. Det han fant var langt mindre dramatisk enn den overskriftsvennlige påstanden, og det gir en verdifull lærdom i hvordan rapportering av databrudd bør fungere.

Hvordan Troy Hunt verifiserte dataene

Hunts prosess er nøyaktig det som burde skje hver gang en kriminell gruppe annonserer et nytt databrudd: hente ut det faktiske datasettet, undersøke det direkte, og se om påstandene stemmer med virkeligheten. I stedet for å akseptere ShinyHunters' tall på omtrent 25 millioner unike e-postadresser, gikk Hunt gjennom dataene selv.

Gjennomgangen hans fant at det reelle antallet unike, verifiserbare e-postadresser i Carhartt-dataene var nærmere 12,9 millioner, omtrent halvparten av det gruppen hadde hevdet offentlig. Det er fortsatt et betydelig antall berørte personer, men det er en dramatisk annen skala enn det som først sirkulerte i nyhetsdekning og varslingsfeeder. Hunts poeng var ikke at Carhartt ikke var berørt i det hele tatt, men at omfanget av hendelsen hadde blitt blåst opp, enten bevisst fra kriminellenes side eller gjennom slurvete håndtering av dataene et sted i rapporteringskjeden.

Hvorfor tallene ikke stemte

Denne typen oppblåsing er ikke uvanlig i økosystemet for rapportering av databrudd. Utpressingsgrupper har alle incentiver til å overdrive omfanget av et hack: større tall genererer mer medieoppmerksomhet, mer press på offerorganisasjonen, og mer innflytelse i løsepengeforhandlinger. Duplikate poster, feilformaterte oppføringer, og data hentet fra urelaterte kilder kan alle blåse opp en råfil telling uten å representere genuint nye eller unike kompromitterte kontoer.

Hunts advarende fortelling belyser et bredere problem: journalister, sikkerhetsleverandører, og automatiserte varslingssystemer gjentar ofte en hackergruppes oppgitte tall uten å uavhengig verifisere dem. Når et tall som «25 millioner poster» først er publisert, har det en tendens til å bli kopiert fra utsalgssted til utsalgssted, og bli akseptert som fakta selv om ingen faktisk sjekket de underliggende dataene. Det er nettopp dette gapet Hunts etterforskning lukket for Carhartt.

Attribusjons- og verifiseringsutfordringer er ikke unike for økonomisk motiverte grupper som ShinyHunters. Selv i mer sofistikerte, statssponsede operasjoner, som den nylig rapporterte Lazarus-gruppens Windows zero-day-kampanje rettet mot forsvarspersonell, må forskere nøye validere påstander og tekniske detaljer i stedet for å stole kun på innledende rapporter. Carhartt-saken er et mindre skala, forbrukervendt eksempel på samme disiplin: verifiser før du forsterker.

Hva dette betyr for deg

Hvis du fikk et varsel eller så overskrifter som hevdet at Carhartt hadde blitt rammet av et databrudd som påvirket nesten 25 millioner mennesker, er det korrigerte tallet på rundt 12,9 millioner fortsatt verdt å ta på alvor hvis du har en konto hos forhandleren. Et Carhartt-databrudd av den størrelsen, selv med det lavere verifiserte tallet, kan eksponere e-postadresser og potensielt andre kontodetaljer for ytterligere phishing- eller passordfyllingsforsøk.

Den viktigste lærdommen, derimot, er hvordan du bør behandle bruddnyheter generelt. Når en kriminell gruppe annonserer et hack, er tallene deres en startpåstand, ikke et verifisert faktum. Anerkjente forskere som sjekker rådataene, slik Hunt gjorde her, er det som gjør en skummel overskrift til et nøyaktig bilde av reell risiko.

Praktiske råd

  • Hvis du har en Carhartt-konto, endre passordet ditt og aktiver tofaktorautentisering der det er tilgjengelig, uavhengig av det nøyaktige antallet berørte kontoer.
  • Vær oppmerksom på phishing-e-poster som refererer til Carhartt eller utgir seg for å være sikkerhetsvarsler om databrudd; angripere utnytter ofte nyhetssykluser om databrudd.
  • Behandle innledende tall om bruddets omfang fra hackergrupper med skepsis til en pålitelig forsker eller det berørte selskapet bekrefter detaljene.
  • Bruk en passordbehandler og unike passord for hvert nettsted, slik at en enkelt kompromittert konto, verifisert eller ikke, ikke setter dine andre kontoer i fare.

Carhartt-hendelsen er en påminnelse om at påstander om databrudd fortjener gransking før de former offentlig oppfatning eller personlig panikk. Verifisering betyr noe, og takket være uavhengige forskere som sjekker arbeidet, er den reelle skalaen av dette bruddet nå mye tydeligere enn det innledende varselet antydet.