Det sveitsiske ishockeyforbundet har bekreftet et datalekkasje etter at personopplysninger knyttet til mer enn 100 000 personer tilknyttet sporten ble kompromittert og lagt ut på et nettforum. Datalekkasjen i Sveitsisk ishockey er en påminnelse om at idrettsorganisasjoner i det stille sitter på store mengder personopplysninger, og at personene i disse databasene ofte har lite de skulle ha sagt om hvor godt opplysningene beskyttes.

Kildereporten er kort, og flere detaljer er ikke blitt offentliggjort. Denne artikkelen holder seg til det som er bekreftet, og fokuserer på hva berørte personer med rimelighet kan gjøre videre.

Hva det sveitsiske ishockeyforbundet har bekreftet

Ifølge rapporten ble personopplysninger tilhørende mer enn 100 000 personer tilknyttet sveitsisk ishockey kompromittert av hackere og deretter lagt ut på et nettforum. Forbundet har offentlig erkjent hendelsen.

Den tilgjengelige rapporteringen spesifiserer ikke hvordan angriperne kom seg inn, når inntrengningen skjedde, eller om det ble krevd løsepenger. Den sier heller ikke om dataene tilbys for salg eller deles fritt. Inntil forbundet publiserer mer informasjon, forblir disse spørsmålene åpne, og lesere bør være skeptiske til påstander om angrepet som ikke kan spores tilbake til en offisiell uttalelse.

Hvem er berørt og hvilke data kan være eksponert

Formuleringen «personer tilknyttet sveitsisk ishockey» er vid. Et nasjonalt forbund har vanligvis å gjøre med spillere, trenere, dommere, klubbledere, frivillige og noen ganger fans eller billettkjøpere. Alle i disse gruppene kan være blant de 100 000 personene som er talt opp.

De nøyaktige kategoriene av eksponerte data er ikke detaljert i kildeartikkelen. Generelt kan idrettsforbund sitte på navn, kontaktopplysninger, fødselsdatoer og lisens- eller registreringsinformasjon. Siden detaljene er ubekreftet, er den sikreste tilnærmingen å anta at grunnleggende identitets- og kontaktopplysninger kan være i det lekkede datasettet, og vente på at forbundet sier mer.

Dette er også grunnen til at hendelsen har betydning utover én idrett. Registreringssystemer for ligaer og klubber samler ofte inn mye informasjon over mange år, også fra unge utøvere og deres foreldre. Et enkelt kompromittert system kan eksponere personer som ikke har vært aktive i idretten på lenge. For bredere kontekst om hvordan angripere retter seg mot idrettsanlegg og organisasjoner, se vår dekning av løsepengevirusangrepet på Thialf isstadion.

Hvordan lekkede data driver phishing og credential stuffing

Når personopplysninger først havner på et forum, blir de sjelden på ett sted. Andre kriminelle kan kopiere, pakke om og gjenbruke dem. To risikoer skiller seg ut for personer i en lekkasje som denne.

Målrettet phishing. Hvis en angriper kjenner navnet ditt, e-postadressen din og at du er tilknyttet sveitsisk ishockey, kan de skrive en melding som virker troverdig. Den kan utgi seg for å være fra klubben din, forbundet, en billettjeneste eller en «sikkerhetsvarsel» om selve lekkasjen. Disse meldingene presser deg vanligvis til å klikke på en lenke, åpne et vedlegg eller skrive inn et passord.

Credential stuffing. Hvis de lekkede opplysningene inkluderer e-postadresser, kan angripere prøve dem med vanlige passord, eller med passord eksponert i tidligere lekkasjer, på tvers av andre tjenester som e-post, bank og sosiale medier. Dette fungerer bare når folk gjenbruker samme passord på mer enn ett sted. Det er automatisert og billig, og derfor så vanlig.

Ingen av angrepene krever at kriminelle hacker deg direkte. De er avhengige av at du reagerer raskt eller gjenbruker et passord, og begge er ting du kan kontrollere.

Hva dette betyr for deg

Hvis du noen gang har spilt, trent, dømt, vært frivillig eller registrert deg hos en sveitsisk ishockeyklubb eller forbundet, bør du behandle deg selv som potensielt berørt, selv om du ikke har mottatt et varsel. Foreldre til juniorspillere bør gjøre det samme på vegne av barna sine.

Den praktiske risikoen er ikke en dramatisk overtakelse av livet ditt. Det er en økning i overbevisende svindelmeldinger og i automatiserte forsøk på å logge inn på kontoene dine. Noen få steg nå fjerner det meste av denne risikoen.

Steg berørte personer bør ta nå

  • Bytt gjenbrukte passord. Hvis du bruker samme passord for idrettskontoen din og noe annet, bytt de andre først, med start i e-post. Bruk et unikt passord for hver tjeneste, ideelt sett lagret i en passordbehandler.
  • Slå på flerfaktorautentisering. En autentiseringsapp eller en fysisk nøkkel på e-post-, bank- og sosiale kontoer betyr at et stjålet passord alene ikke er nok.
  • Behandle uventede meldinger med mistenksomhet. Vær forsiktig med e-poster, tekstmeldinger eller samtaler som nevner lekkasjen, klubben din eller forbundet. Ikke klikk på lenker i dem. Gå direkte til det offisielle nettstedet eller kontakt organisasjonen via detaljer du allerede stoler på.
  • Følg med på uvanlig aktivitet. Sjekk innloggingsvarsler og nylig aktivitet på hovedkontoene dine, og gjennomgå kontoutskrifter for noe ukjent.
  • Se etter offisielle oppdateringer. Følg forbundets egne kommunikasjoner for detaljer om hvilke data som ble eksponert, og hva de anbefaler.
  • Beskytt mindreåriges kontoer. Hvis et barn er registrert hos en klubb, bruk de samme stegene på deres e-post og eventuelle tilknyttede kontoer.

Viktige punkter

Datalekkasjen i Sveitsisk ishockey viser hvor mye personinformasjon idrettsorganer samler inn, og hvor raskt den kan havne i gale hender. Mange detaljer er fortsatt ubekreftet, så unngå spekulasjoner og stol på offisielle oppdateringer. I mellomtiden bør du bytte alle gjenbrukte passord, aktivere flerfaktorautentisering og behandle uventede meldinger med mistenksomhet. For et bredere blikk på trusselen sektoren står overfor, les rapporten vår om løsepengevirusangrepet på Thialf isstadion.