Zgłoszony wyciek w Departamencie Bezpieczeństwa Krajowego (DHS) wprowadził do obiegu imiona i nazwiska, numery telefonów oraz adresy e-mail ponad 40 000 pracowników. Wyciek danych kontaktowych pracowników DHS jest, według raportu VOZ, trzecim wyciekiem danych rządowych, który w ciągu ostatniego miesiąca trafił na pierwsze strony gazet. Artykuł źródłowy zawiera niewiele szczegółów technicznych, dlatego ten tekst ogranicza się do tego, co zostało zgłoszone, i wyjaśnia, dlaczego tego rodzaju dane mają znaczenie, nawet gdy wydają się nieszkodliwe.

Co ujawniono w wycieku DHS

Zgodnie z doniesieniami ujawnione informacje obejmują ponad 40 000 pracowników DHS i ograniczają się do trzech typów danych: imion i nazwisk, numerów telefonów oraz adresów e-mail. Raport nie opisuje — w materiale, do którego mamy dostęp — w jaki sposób pozyskano dane, kto za tym stoi, kiedy do tego doszło ani czy uwzględniono inne kategorie, takie jak numery ubezpieczenia społecznego czy dane finansowe. Nie będziemy zgadywać tych szczegółów.

Ta luka jest warta odnotowania. Wczesne doniesienia o wyciekach często są niekompletne, a zakres może się zmieniać w miarę prowadzenia dochodzenia przez agencje. Aktualną liczbę należy traktować jako zgłoszony punkt wyjścia, a nie ostateczny wynik, i śledzić oficjalne komunikaty DHS.

Wzorzec wycieków danych rządowych

Incydent w DHS nie jest odosobniony. Raport przedstawia go jako trzeci wyciek danych rządowych, który w ciągu jednego miesiąca trafił na pierwsze strony gazet. Dwie inne niedawne sprawy omówione na vpn.social dają użyteczny kontekst. W jednej z nich FBI poinformowało, że zajmuje się wyciekiem obejmującym wrażliwe dane jego pracowników i zapowiedziało pociągnięcie do odpowiedzialności tych, których uważa za winnych. W innej francuskie władze aresztowały 15-latka podejrzanego o zhakowanie ANTS, agencji zarządzającej dokumentami tożsamości.

Te sprawy dotyczą różnych agencji i krajów, więc nie należy zakładać, że są ze sobą powiązane. Łączy je cel: duże bazy danych sektora publicznego pełne danych osobowych pracowników lub obywateli. Organy rządowe przechowują dane, które są cenne dla przestępców, a w niektórych przypadkach także dla wrogich podmiotów, co czyni je stałymi celami ataków.

Dlaczego dane kontaktowe napędzają phishing i inżynierię społeczną

Kuszące jest zlekceważenie wycieku imion i nazwisk, numerów telefonów i adresów e-mail jako drobiazgu. Żadnych haseł ani danych finansowych — więc gdzie tkwi szkoda? Odpowiedź brzmi: dane kontaktowe to surowiec do ataków ukierunkowanych.

Dysponując zweryfikowanym imieniem i nazwiskiem, służbowym adresem e-mail i numerem telefonu powiązanym ze znanym pracodawcą, atakujący może:

  • Tworzyć przekonujące e-maile phishingowe, które zwracają się do osoby po imieniu i odwołują się do jej agencji.
  • Prowadzić telefoniczny phishing (vishing) podszywając się pod wsparcie IT, współpracownika lub dostawcę.
  • Wysyłać SMS-y-wabiki, które kierują odbiorców na fałszywe strony logowania.
  • Podszywać się pod osoby z wewnątrz organizacji, aby wydobyć informacje od współpracowników ufających znajomo brzmiącemu nazwisku.

W przypadku pracowników agencji zajmującej się bezpieczeństwem ryzyko polega na tym, że atakujący dokładnie wiedzą, kto tam pracuje i jak do niego dotrzeć. Nawet niewielka liczba udanych wiadomości może dać atakującemu punkt zaczepienia. Ryzyko nie ogranicza się zresztą do tych pracowników. Członkowie rodzin, wykonawcy i wszyscy, którzy komunikują się z personelem DHS, mogą otrzymywać wiadomości wyglądające na pochodzące z zaufanego źródła.

Wycieki samych danych kontaktowych mają też skłonność do ponownego wykorzystania. Listy zweryfikowanych adresów e-mail i numerów telefonów można łączyć z danymi z innych incydentów. Nasze omówienie wycieku LimeLeads obejmującego 49,4 mln kontaktów biznesowych pokazuje, jak bazy danych kontaktowych mogą krążyć i być wykorzystywane długo po pierwotnym incydencie.

Co to oznacza dla Ciebie

Możesz nie pracować w DHS, ale lekcje dotyczą wszystkich. Większość z nas ma swoje imiona i nazwiska, adresy e-mail i numery telefonów w wielu bazach danych: u pracodawców, sprzedawców, brokerów danych i agencji rządowych. Gdy jedna z nich zostaje zhakowana, ten sam scenariusz phishingu jest wykorzystywany przeciwko zwykłym ludziom.

Jeśli jesteś pracownikiem DHS lub współpracujesz z jednym, spodziewaj się większej niż zwykle liczby niechcianych wiadomości i podchodź podejrzliwie do niespodziewanych próśb, nawet jeśli używają twojego imienia lub wspominają twoje miejsce pracy. Jeśli nim nie jesteś, potraktuj to jako impuls do sprawdzenia, ile twoich własnych danych kontaktowych jest publicznie dostępnych i kto może się z tobą skontaktować.

Jak ograniczyć własną ekspozycję danych osobowych

Nie możesz kontrolować, czy organizacja zostanie zhakowana, ale możesz ograniczyć szkody. Praktyczne kroki obejmują:

  1. Używaj unikalnych aliasów e-mail dla różnych usług, aby wyciek w jednym miejscu nie łączył się z całą resztą.
  2. Trzymaj osobny numer telefonu do rejestracji i publicznych ogłoszeń, zamiast swojego głównego numeru komórkowego.
  3. Włącz uwierzytelnianie wieloskładnikowe, najlepiej za pomocą aplikacji uwierzytelniającej lub klucza sprzętowego, a nie SMS-a.
  4. Weryfikuj, zanim zaufasz. Jeśli połączenie, SMS lub e-mail prosi o dane logowania lub pilne działanie, skontaktuj się z organizacją kanałem, o którym już wiesz, że jest prawdziwy.
  5. Nie klikaj linków w niespodziewanych wiadomościach. Zamiast tego przejdź bezpośrednio na stronę.
  6. Sprawdzaj narzędzia powiadomień o wyciekach, aby zobaczyć, które z twoich adresów pojawiły się w znanych wyciekach, i odpowiednio zmień hasła.
  7. Poproś o usunięcie ze stron brokerów danych, na których widnieją twoje dane.

Rzecz nie w tym, aby wyeliminować ekspozycję, co jest nierealistyczne, lecz w tym, aby każdy ujawniony szczegół był mniej użyteczny dla atakującego.

Wnioski

Zgłoszony wyciek danych kontaktowych pracowników DHS może wyglądać skromnie na tle wycieków obejmujących hasła czy dane finansowe, ale dane kontaktowe są dokładnie tym, co sprawia, że phishing i inżynieria społeczna działają. Wobec trzech wycieków rządowych zgłoszonych w ciągu miesiąca to dobry moment, aby sprawdzić, gdzie twoje własne dane kontaktowe są ujawnione, i poprawić swoje nawyki. Aby uzyskać szerszy kontekst tego wzorca, przeczytaj nasze omówienie wycieku danych pracowników FBI oraz zhakowania rekordów tożsamości ANTS, a następnie poświęć kilka minut na zabezpieczenie własnych kont.