Gdy doniesienie o naruszeniu nie przystaje do rzeczywistości

Nowe doniesienie o naruszeniu danych Carhartt, które pojawiło się w tym tygodniu, jest przydatnym przypomnieniem, że nie wszystko, co grupa hakerska publikuje w sieci, należy przyjmować za dobrą monetę. Grupa wymuszająca ShinyHunters ogłosiła, że naruszyła amerykańskiego sprzedawcę odzieży roboczej i modowej Carhartt, twierdząc, że ukradła ponad 50 GB skompresowanych danych zawierających miliony rekordów klientów. Początkowe doniesienie szacowało liczbę unikalnych adresów e-mail na blisko 25 milionów, co szybko rozprzestrzeniło się w kanałach informacyjnych o cyberbezpieczeństwie i mediach społecznościowych jako fakt.

Jednak badacz bezpieczeństwa Troy Hunt, założyciel Have I Been Pwned, postanowił faktycznie sprawdzić dane, zanim przyjął tę liczbę. To, co odkrył, okazało się znacznie mniej spektakularne niż nagłówkowe doniesienie i stanowi cenną lekcję o tym, jak powinno wyglądać raportowanie naruszeń.

Jak Troy Hunt zweryfikował dane

Proces Hunta jest dokładnie tym, co powinno mieć miejsce za każdym razem, gdy grupa przestępcza ogłasza nowe naruszenie: pobranie rzeczywistego zbioru danych, bezpośrednie ich zbadanie i sprawdzenie, czy doniesienia odpowiadają rzeczywistości. Zamiast przyjąć liczbę ShinyHunters wynoszącą około 25 milionów unikalnych adresów e-mail, Hunt sam przeanalizował dane.

Jego analiza wykazała, że rzeczywista liczba unikalnych, weryfikowalnych adresów e-mail w danych Carhartt wynosiła bliżej 12,9 miliona, czyli mniej więcej połowę tego, co grupa publicznie deklarowała. To wciąż znacząca liczba osób dotkniętych problemem, ale skala jest diametralnie inna niż ta, która pierwotnie krążyła w relacjach prasowych i kanałach alertów. Hunt nie twierdził, że Carhartt w ogóle nie został dotknięty, ale że zakres incydentu został zawyżony — czy to celowo przez przestępców, czy przez niechlujne obchodzenie się z danymi na którymś etapie łańcucha raportowania.

Dlaczego liczby się nie zgadzały

Tego rodzaju zawyżanie nie jest niczym niezwykłym w ekosystemie raportowania naruszeń. Grupy wymuszające mają wszelkie powody, by wyolbrzymiać skalę ataku: większe liczby generują większe zainteresowanie mediów, większą presję na organizację-ofiarę i większą dźwignię w negocjacjach okupu. Zduplikowane rekordy, błędne wpisy i dane pochodzące z niezwiązanych źródeł mogą zawyżać surową liczbę plików bez odzwierciedlania rzeczywiście nowych lub unikalnych skompromitowanych kont.

Ostrzegawcza historia Hunta uwydatnia szerszy problem: dziennikarze, dostawcy rozwiązań bezpieczeństwa i zautomatyzowane systemy alertów często powtarzają podane przez grupę hakerską liczby bez ich niezależnej weryfikacji. Gdy liczba taka jak „25 milionów rekordów" zostanie opublikowana, zwykle jest kopiowana z jednego outletu do drugiego, stając się przyjętym faktem, nawet jeśli nikt faktycznie nie sprawdził danych źródłowych. To właśnie tę lukę zamknęło dochodzenie Hunta w sprawie Carhartt.

Atrybucja i wyzwania weryfikacyjne nie są unikalne dla grup motywowanych finansowo, takich jak ShinyHunters. Nawet w bardziej zaawansowanych operacjach sponsorowanych przez państwa, takich jak niedawno opisana kampania grupy Lazarus wykorzystująca lukę zero-day w systemie Windows skierowaną przeciwko pracownikom obronności, badacze muszą starannie weryfikować doniesienia i szczegóły techniczne, zamiast polegać wyłącznie na początkowych raportach. Przypadek Carhartt to mniejszy, konsumencki przykład tej samej dyscypliny: weryfikuj, zanim nagłośnisz.

Co to oznacza dla Ciebie

Jeśli otrzymałeś alert lub zobaczyłeś nagłówki twierdzące, że Carhartt padł ofiarą naruszenia dotykającego blisko 25 milionów osób, skorygowana liczba około 12,9 miliona wciąż zasługuje na poważne potraktowanie, jeśli masz konto u tego sprzedawcy. Naruszenie danych Carhartt o takiej skali, nawet przy niższej zweryfikowanej liczbie, może narazić adresy e-mail i potencjalnie inne szczegóły konta na dalsze ataki phishingowe lub próby podstawiania danych uwierzytelniających.

Ważniejszy wniosek dotyczy jednak tego, jak ogólnie należy traktować wiadomości o naruszeniach. Gdy grupa przestępcza ogłasza atak, jej liczby są wstępnym twierdzeniem, a nie zweryfikowanym faktem. Uznani badacze sprawdzający surowe dane, tak jak zrobił to Hunt, są tym, co zamienia przerażający nagłówek w dokładny obraz rzeczywistego ryzyka.

Praktyczne wnioski

  • Jeśli masz konto Carhartt, zmień hasło i włącz uwierzytelnianie dwuskładnikowe tam, gdzie jest dostępne, niezależnie od dokładnej liczby dotkniętych kont.
  • Uważaj na wiadomości phishingowe odwołujące się do Carhartt lub podszywające się pod powiadomienia o bezpieczeństwie dotyczące naruszenia; atakujący często wykorzystują cykle informacyjne o naruszeniach.
  • Traktuj wstępne liczby dotyczące zakresu naruszenia podawane przez grupy hakerskie z podejrzliwością, dopóki zaufany badacz lub dotknięta firma nie potwierdzi szczegółów.
  • Korzystaj z menedżera haseł i unikalnych haseł dla każdej witryny, aby jedno skompromitowane konto — zweryfikowane lub nie — nie naraziło pozostałych na ryzyko.

Incydent Carhartt jest przypomnieniem, że doniesienia o naruszeniach danych zasługują na analizę, zanim ukształtują publiczne postrzeganie lub osobistą panikę. Weryfikacja ma znaczenie, a dzięki niezależnym badaczom sprawdzającym pracę rzeczywista skala tego naruszenia jest teraz znacznie jaśniejsza, niż sugerował początkowy alert.