En ny rapport fra CyberStation sier at de fant 1,8 millioner bangladeshiske oppføringer som sirkulerer på det mørke nettet. Funnene er en nyttig påminnelse om at eksponering av bangladeshiske data på det mørke nettet sjelden er resultatet av en enkelt dramatisk hendelse. Oftere er det den langsomme opphopningen av mange mindre lekkasjer som aldri forsvinner.

Kildeartikkelen er kort, så dette innlegget holder seg til det som er rapportert og forklarer hva det antyder for vanlige folk.

Hva CyberStation fant på det mørke nettet

Ifølge rapporten sto offentlige tjenester for den største andelen av eksponerte innbyggerregistre. Teknologi og telekommunikasjon hadde de høyeste eksponeringsratene, noe som betyr at disse sektorene var mest representert i dataene CyberStation gjennomgikk.

Topptallet er 1,8 millioner oppføringer. Det er et stort tall, men den viktigere detaljen er hvordan det ble satt sammen. CyberStation undersøkte ikke én lekkasjedatabase. De så på data som sirkulerer på tvers av det mørke nettet og tilskrev det en rekke kilder.

Rapporten bekreftet ikke en spesifikk lekkasjekilde. Ingen enkelt selskap, etat eller hendelse er navngitt som opprinnelsen til oppføringene.

Hvorfor dataene kommer fra mange lekkasjer, ikke én

Den sannsynlige forklaringen, ifølge rapporten, er at oppføringene kommer fra flere tredjepartslekkasjer over tid. Med andre ord er dette ikke en fersk lekkasje som folk kan peke på og reagere på. Det er en samling data som har bygget seg opp fra tidligere hendelser.

Dette er viktig fordi stjålne personopplysninger ikke utløper når en lekkasjesak falmer. Når oppføringer er kopiert, kan de videreselges, slås sammen med andre datasett og gjenbrukes i årevis. Et navn og telefonnummer fra én hendelse kan kobles sammen med en e-postadresse fra en annen, og skape en mer fullstendig profil enn noen enkelt lekkasje ville gitt.

Det forklarer også hvorfor folk ikke kan stole på et enkelt lekkasjevarsel for å vite om de er berørt. Hvis eksponeringen kommer fra flere urelaterte tredjeparter, er det kanskje ingen enkelt organisasjon som er ansvarlig for å varsle deg. Du får kanskje aldri noe varsel i det hele tatt, selv om opplysningene dine er i omløp.

Mønsteret er kjent andre steder. Telekom- og offentlig eide identitetsdata har blitt målrettet i andre nylige saker, som Odido-lekkasjen som rammet 6,5 millioner kunder i Nederland og ANTS ID-lekkasjen med 18 millioner oppføringer i Frankrike. Dette er separate hendelser, og ingenting i CyberStation-rapporten kobler dem til Bangladesh. De viser bare hvordan de samme typene organisasjoner sitter på data som angripere finner verdifulle.

Hvorfor tallet 1,8 millioner kan være et underanslag

CyberStation beskriver tallene sine som konservative og sier at den faktiske eksponeringen kan være større. Det er noen grunner til at det er plausibelt, selv om rapporten selv bør behandles som autoriteten på sin egen metodikk.

Enhver telling av data på det mørke nettet avhenger av hva forskere kan finne og få tilgang til. Private fora, lukkede salg og datasett som handles direkte mellom kjøpere er vanskeligere å måle. Oppføringer som overlapper på tvers av flere lekkasjer kompliserer også tellingen, siden samme person kan forekomme i mer enn én kilde.

Den praktiske konklusjonen er at 1,8 millioner bør leses som et gulv snarere enn et tak. Det er et øyeblikksbilde av det som var synlig, ikke en fullstendig oversikt over alt som har blitt eksponert.

Hva dette betyr for deg

Hvis du bor i Bangladesh, eller har brukt bangladeshiske offentlige, telekom- eller teknologitjenester, bør du anta at noen av opplysningene dine allerede kan være der ute. Det er ikke grunn til panikk, men det bør endre hvordan du beskytter deg selv.

Hovedrisikoene ved denne typen eksponering er phishing, SMS-svindel og forsøk på kontoovertakelse. Angripere som kjenner navnet, telefonnummeret eller e-postadressen din, kan lage meldinger som ser overbevisende ut, spesielt hvis de ser ut til å komme fra en telekomleverandør eller et offentlig kontor.

Fordi dataene er gamle og spredte, er de mest effektive forsvarene de som fungerer uavhengig av hvilken lekkasje opplysningene dine kom fra.

Hvordan sjekke eksponeringen din og redusere risikoen

Begynn med å sjekke om e-postadressen og telefonnummeret ditt forekommer i kjente lekkasjer. Anerkjente verktøy for lekkasjevarsling lar deg søke på e-post, og noen dekker også telefonnumre. Et treff betyr ikke at du ble hacket i dag, men det forteller deg hvilke kontoer som fortjener oppmerksomhet.

Deretter bør du stramme inn kontoene dine:

  • Bruk unike passord for hver konto, ideelt sett lagret i en passordbehandler, slik at én gammel lekkasje ikke kan låse opp andre.
  • Slå på flerfaktorautentisering (MFA), helst med en autentiseringsapp i stedet for SMS der det er mulig.
  • Vær skeptisk til uventede meldinger som nevner navnet, nummeret eller kontoopplysningene dine. Kontakt organisasjonen via en offisiell kanal i stedet for å svare.
  • Del mindre personopplysninger med offentlige og telekomtjenester. Oppgi bare det som er påkrevd, og unngå valgfrie felt som øker mengden data en organisasjon har om deg.

Det er også verdt å huske at eksponering ikke er begrenset til én sektor. Selv bemannings- og forsyningsselskaper har blitt utsatt for angrep, som sett i den påståtte lekkasjen hos United Personnel, så vanen med å begrense hva du overlater gjelder bredt.

Viktige punkter

CyberStation-rapporten viser at eksponering av bangladeshiske data på det mørke nettet er en vedvarende tilstand, ikke en enkelthendelse med en klar start og slutt. Med 1,8 millioner oppføringer knyttet til flere tidligere tredjepartslekkasjer, og tall som kan underdrive den reelle totalen, er det ikke en pålitelig strategi å vente på et varsel.

Sjekk om e-postadressen og telefonnummeret ditt forekommer i kjente lekkasjer, bytt til unike passord med MFA, og del mindre personopplysninger med offentlige og telekomtjenester. Odido- og ANTS-sakene viser hvordan identitetsdata som holdes av telekomoperatører og offentlige etater kan eksponeres, så å redusere det du gir ut er ett av de få tiltakene som er helt under din kontroll.