En Pentagon-datalekkasje som omfatter opptil 4 millioner personer, vekker oppmerksomhet av to grunner utover størrelsen: Inntrengningen skal ha gått uoppdaget i månedsvis, og de eksponerte opplysningene var ukrypterte. Ifølge rapporten vet etterforskerne fortsatt ikke det fulle omfanget av hva som har blitt aksessert. Her er hva som er rapportert, hvorfor disse detaljene er viktige, og hva berørte personer kan gjøre.
Det vi vet om Pentagon-personellbruddet
Ifølge kildens rapport kan personopplysninger til opptil 4 millioner amerikanske tjenestemedlemmer og forsvarsansatte ha blitt eksponert i et brudd på Pentagons personellsystemer. Hendelsen forble uoppdaget i månedsvis. De eksponerte opplysningene var ukrypterte, og etterforskerne har ennå ikke fastslått det fulle omfanget av eksponeringen.
Tallet beskrives som et potensielt maksimum, ikke et bekreftet antall. Denne distinksjonen er viktig. Tidligere dekning anslo at antallet personer knyttet til hendelsen var over 3 millioner, basert på en uttalelse fra en amerikansk forsvarsembetsmann, slik det dekkes i vår rapport om Pentagon-datalekkasjen knyttet til 3 millioner personer. Anslaget har siden vokst til så mange som fire millioner, noe som er vanlig når en etterforskning fortsatt arbeider med å finne ut hva som har blitt berørt. Vår tidligere rapport om den potensielle eksponeringen av 4 millioner personellopplysninger beskriver et brudd på Forsvarsdepartementets HR-systemer som gikk ubemerket i månedsvis.
Kildegartikkelen inneholder ikke en fullstendig liste over datatyper, en navngitt angriper eller et bekreftet inngangspunkt, så vi vil ikke spekulere i disse.
Hvorfor ukrypterte opplysninger og månedsvis med stillhet er viktig
To separate svikt ser ut til å ha kombinert seg her.
Manglende kryptering. Kryptering i hvile betyr at stjålne filer er uleselige uten en nøkkel. Når opplysninger lagres ukryptert, kan enhver som kommer seg forbi perimeteret lese dem som de er. Kryptering stopper ikke en inntrengning, men det kan gjøre et alvorlig brudd til et mye mindre nyttig utbytte for angriperen.
Deteksjonshull. Et brudd som forblir skjult i månedsvis gir en inntrenger tid til å utforske, kopiere data og komme tilbake. Det betyr også at de berørte ikke hadde noen sjanse til å beskytte seg i den perioden. Enhver misbruk av stjålne opplysninger kan ha startet lenge før hendelsen ble kjent.
Sammen forklarer disse faktorene hvorfor etterforskerne ennå ikke kan si nøyaktig hva som ble tatt. Uten fullstendige logger eller rettidige varsler er det vanskelig å rekonstruere en inntrengers aktivitet, og den berørte populasjonen kan bli revidert etter hvert som gjennomgangen fortsetter.
Risikoer for tjenestemedlemmer og deres familier
Personellopplysninger har en tendens til å inneholde informasjon som er vanskelig å endre. Et passord kan tilbakestilles på sekunder; et navn, fødselsdato eller tjenestehistorikk kan ikke. Det er derfor eksponering av denne typen kan skape en lang hale av risiko snarere enn en kort topp.
Mulige bekymringer for berørte personer inkluderer:
- Identitetstyveri og svindel, som falske lån eller kredittkontoer åpnet i noens navn.
- Målrettet phishing, der meldinger refererer til reelle detaljer om en persons rolle eller tjeneste for å fremstå legitime.
- Etterligning av embetsmenn eller ytelsesleverandører, rettet mot å hente ut mer informasjon eller betalinger.
- Risiko for familiemedlemmer, hvis opplysninger kan forekomme i de samme opplysningene eller utledes fra dem.
Dette er generelle risikoer som følger enhver eksponering av sensitive personopplysninger, ikke bekreftede utfall av denne spesifikke hendelsen. Kilden rapporterer ingen misbruk så langt.
Hva dette betyr for deg
Hvis du er et nåværende eller tidligere tjenestemedlem eller forsvarsansatt, bør du anta at opplysningene dine kan være i omfanget inntil du hører noe annet gjennom offisielle kanaler. Dette er en forholdsregel, ikke en grunn til panikk. Hvis du ikke er tilknyttet Pentagon, gjelder lærdommen fortsatt: Organisasjoner som oppbevarer dine data, krypterer dem kanskje ikke eller oppdager ikke et innbrudd raskt, så det er verdt å begrense hva du deler og overvåke kontoene dine overalt.
En VPN beskytter trafikken din under overføring på utrygge nettverk. Den ville ikke ha forhindret et brudd på en statlig database, så den bør ikke behandles som en løsning på denne typen eksponering.
Tiltak berørte personer kan ta nå
- Følg med på offisiell varsling. Stol på kommunikasjon fra arbeidsgiveren din eller Forsvarsdepartementet fremfor uoppfordrede e-poster, tekstmeldinger eller samtaler som hevder å handle om bruddet.
- Vurder kredittfrys. Å fryse kreditten din hos de store byråene gjør det vanskeligere for noen å åpne nye kontoer i ditt navn. Det er vanligvis gratis og reverserbart.
- Overvåk kontoene og kredittrapportene dine. Sjekk kontoutskrifter og gjennomgå kredittrapportene dine regelmessig for aktivitet du ikke kjenner igjen.
- Vær skeptisk til uventet kontakt. Ikke klikk på lenker eller del personlige detaljer som svar på meldinger som nevner tjenestehistorikken, ytelsene eller lønnen din.
- Sikre innloggingene dine. Bruk unike passord og aktiver flerfaktorautentisering for e-post, bank og eventuelle statlige eller ytelsesportaler.
- Snakk med familien din. Sørg for at ektefeller og pårørende kjenner til phishing-taktikker og trinnene ovenfor.
Hovedpunkter
Pentagon-datalekkasjen som omfatter 4 millioner personer, er like viktig for hvordan den skjedde som for størrelsen: månedsvis med stillhet og ukryptert lagring utvidet den potensielle skaden. Tallet er fortsatt et anslag, og etterforskningen pågår, så forvent at detaljer endrer seg.
Hvis du kan være berørt, start med de praktiske trinnene i vår veiledning om hva du bør gjøre etter Pentagon-bruddet, og les vår tidligere rapport om de 4 millioner opplysningene for hele tidslinjen over hva som er avslørt så langt.
