En rapportert lekkasje i Department of Homeland Security har satt navn, telefonnummer og e-postadresser til mer enn 40 000 ansatte i omløp. DHS-datainnbruddet med ansattes kontaktopplysninger er, ifølge rapporten fra VOZ, den tredje myndighetslekkasjen som har skapt overskrifter den siste måneden. Kildeartikkelen er kort på tekniske detaljer, så denne artikkelen holder seg til det som er rapportert og forklarer hvorfor denne typen data er viktig, selv når den ser harmløs ut.
Hva ble eksponert i DHS-lekkasjen
Basert på rapporteringen dekker den eksponerte informasjonen mer enn 40 000 DHS-ansatte og er begrenset til tre datatyper: navn, telefonnummer og e-postadresser. Rapporten beskriver ikke, i materialet tilgjengelig for oss, hvordan dataene ble skaffet til veie, hvem som sto bak, når det skjedde, eller om andre kategorier som personnummer eller finansielle opplysninger var involvert. Vi vil ikke gjette på disse detaljene.
Det gapet er verdt å merke seg. Tidlige rapporter om innbrudd er ofte ufullstendige, og omfanget kan endre seg etter hvert som etatene etterforsker. Behandle det nåværende tallet som det rapporterte utgangspunktet snarere enn en endelig telling, og følg med på offisielle uttalelser fra DHS.
Et mønster av myndighetslekkasjer
DHS-hendelsen står ikke alene. Rapporten rammer den inn som den tredje myndighetslekkasjen som har skapt overskrifter på en enkelt måned. To andre nylige saker dekket på vpn.social gir nyttig kontekst. I den ene sa FBI at de håndterte et innbrudd som involverte ansattes sensitive data og lovet å forfølge dem de mener er ansvarlige. I den andre arrestere franske myndigheter en 15-åring mistenkt for hacking av ANTS, etaten som håndterer identitetsdokumenter.
Disse sakene involverer forskjellige etater og land, så vi bør ikke anta at de er knyttet sammen. Det de har til felles er målet: store offentlige databaser fulle av personopplysninger om ansatte eller borgere. Statlige organer sitter på data som er verdifulle for kriminelle og, i noen tilfeller, for fiendtlige aktører, noe som gjør dem til vedvarende mål.
Hvorfor kontaktopplysninger driver phishing og sosial manipulering
Det er fristende å avfeie en lekkasje av navn, telefonnummer og e-poster som bagatellmessig. Ingen passord eller finansielle data, så hva er skaden? Svaret er at kontaktdata er råmaterialet for målrettede angrep.
Med et verifisert navn, en jobb-e-postadresse og et telefonnummer knyttet til en kjent arbeidsgiver, kan en angriper:
- Lage overbevisende phishing-e-poster som tiltaler en person ved navn og refererer til etaten deres.
- Kjøre talephishing (vishing)-samtaler ved å utgi seg for å være IT-støtte, en kollega eller en leverandør.
- Sende SMS-lokker som dirigerer mottakere til falske påloggingssider.
- Utgi seg for å være innsidere for å hente ut informasjon fra kolleger som stoler på et kjent klingende navn.
For ansatte i en sikkerhetsfokusert etat er risikoen at angripere vet nøyaktig hvem som jobber der og hvordan de kan nås. Selv et lite antall vellykkede meldinger kan gi en angriper et fotfeste. Risikoen er ikke begrenset til disse ansatte heller. Familiemedlemmer, entreprenører og alle som kommuniserer med DHS-ansatte kan motta meldinger som ser ut til å komme fra en pålitelig kilde.
Lekkasjer med kun kontaktopplysninger har også en tendens til å bli gjenbrukt. Lister over verifiserte e-poster og telefonnumre kan kombineres med data fra andre hendelser. Vår dekning av LimeLeads-eksponeringen av 49,4 millioner forretningskontakter viser hvordan kontaktdatabaser kan sirkulere og brukes lenge etter den opprinnelige hendelsen.
Hva dette betyr for deg
Du jobber kanskje ikke for DHS, men lærdommen gjelder alle. De fleste av oss har navn, e-poster og telefonnumre liggende i mange databaser: arbeidsgivere, forhandlere, datameglere og offentlige etater. Når en av dem blir kompromittert, brukes det samme phishing-manuset mot vanlige folk.
Hvis du er DHS-ansatt eller jobber med en, forvent flere uoppfordrede meldinger enn vanlig og behandle uventede forespørsler med mistenksomhet, selv om de bruker navnet ditt eller nevner arbeidsplassen din. Hvis du ikke er det, bruk dette som en påminnelse om å gå gjennom hvor mye av dine egne kontaktopplysninger som er offentlig tilgjengelige og hvem som kan nå deg.
Hvordan redusere din egen eksponering av personopplysninger
Du kan ikke kontrollere om en organisasjon blir kompromittert, men du kan begrense skaden. Praktiske tiltak inkluderer:
- Bruk unike e-postaliaser for forskjellige tjenester, slik at en lekkasje på ett sted ikke kobles til alt annet.
- Hold et separat telefonnummer for registreringer og offentlige oppføringer, i stedet for ditt primære mobilnummer.
- Slå på flerfaktorautentisering, helst med en autentiseringsapp eller en fysisk nøkkel i stedet for SMS.
- Verifiser før du stoler på noe. Hvis en samtale, tekstmelding eller e-post ber om påloggingsinformasjon eller haster med handling, kontakt organisasjonen gjennom en kanal du allerede vet er ekte.
- Ikke klikk på lenker i uventede meldinger. Naviger direkte til nettstedet i stedet.
- Sjekk verktøy for varsling om datainnbrudd for å se hvilke av dine adresser som har dukket opp i kjente lekkasjer, og endre passord deretter.
- Be om fjerning fra datamegler-nettsteder der opplysningene dine er listet opp.
Poenget er ikke å eliminere eksponering, noe som er urealistisk, men å gjøre hver lekket detalj mindre nyttig for en angriper.
Konklusjonen
Det rapporterte DHS-datainnbruddet med ansattes kontaktopplysninger kan virke beskjedent sammenlignet med lekkasjer som inkluderer passord eller finansielle opplysninger, men kontaktdata er nettopp det som får phishing og sosial manipulering til å fungere. Med tre myndighetslekkasjer rapportert på en måned, er det nå et fornuftig tidspunkt å gå gjennom hvor dine egne kontaktopplysninger er eksponert og skjerpe vanene dine. For bredere kontekst om mønsteret, les vår dekning av FBIs datainnbrudd med ansattes data og ANTS-hackingen av identitetsopplysninger, og bruk deretter noen minutter på å sikre dine egne kontoer.
