Naruszenie danych w London Hydro ujawnia dane klientów
Kanadyjski zakład energetyczny przyznał się do naruszenia danych w firmie użyteczności publicznej, które mogło narazić nazwiska, adresy i informacje kontowe klientów, jednak firma dostarczyła niewiele jasności co do tego, jak doszło do włamania, ile osób zostało dotkniętych ani jak długo napastnicy mogli mieć dostęp. London Hydro, które obsługuje miasto London w prowincji Ontario, potwierdziło incydent, ale pozostawiło kilka kluczowych pytań bez odpowiedzi, budząc obawy o standardy przejrzystości, gdy dostawcy podstawowych usług przetwarzają wrażliwe dane osobowe.
Dlaczego firmy użyteczności publicznej są łatwym celem dla cyberprzestępców
Firmy użyteczności publicznej zajmują niewygodną pozycję w świecie cyberbezpieczeństwa. Przechowują duże ilości danych osobowych i finansowych klientów, którzy w praktyce nie mają innego wyboru, jak tylko z nich korzystać. W przeciwieństwie do aplikacji sklepu detalicznego czy serwisu streamingowego, klienci nie mogą po prostu usunąć konta i odejść od lokalnego dostawcy energii elektrycznej.
Ta wymuszona relacja tworzy środowisko bogate w dane, które jest atrakcyjne dla atakujących. Firmy użyteczności publicznej gromadzą adresy domowe, historię rozliczeń, dane dotyczące płatności, a w niektórych przypadkach wzorce zużycia, które mogą ujawnić, kiedy nieruchomość jest zajęta. To połączenie danych osobowych i behawioralnych jest cenne przy oszustwach, socjotechnice i kradzieży tożsamości.
Wymogi operacyjne również nie sprzyjają silnym zabezpieczeniom. Wiele sieci użyteczności publicznej opiera się na przestarzałej infrastrukturze, która nigdy nie była projektowana z myślą o nowoczesnym cyberbezpieczeństwie. Łatanie systemów lub wyłączanie infrastruktury w celu aktualizacji zabezpieczeń może bezpośrednio kolidować z obowiązkiem zapewnienia ciągłości dostaw energii. Rezultatem jest branża, która przenosi ładunek cennych danych, jednocześnie czasami odstając w kwestii kontroli bezpieczeństwa, które w innych sektorach stały się normą.
Problem nie dotyczy wyłącznie London Hydro. W jednym z głośnych kanadyjskich przykładów, Nova Scotia Power doznała naruszenia, które ujawniło dane osobowe około 915 000 obecnych i byłych klientów po tym, jak pojedynczy pracownik wszedł w interakcję ze złośliwym wyskakującym okienkiem. Ten incydent ilustruje, jak pojedynczy punkt awarii w dużej organizacji użyteczności publicznej może przerodzić się w poważne zdarzenie dotyczące prywatności, dotykające prawie miliona osób.
Co London Hydro ujawniło, a czego nie na temat naruszenia
W publicznym oświadczeniu London Hydro potwierdziło, że nazwiska, adresy domowe i szczegóły konta mogły zostać ujawnione podczas włamania. Poza tym ujawnienie informacji jest skąpe. Firma nie potwierdziła wektora ataku, co oznacza, że nie powiedziała, czy naruszenie wiązało się z phishingiem, luką w systemach dostępnych z zewnątrz, oprogramowaniem ransomware czy zupełnie inną metodą.
Nieznany pozostaje również czas trwania włamania. Klienci nie zostali poinformowani, kiedy naruszenie się rozpoczęło, kiedy zostało wykryte ani jak długa była przerwa między tymi dwoma zdarzeniami. To okno czasowe ma znaczenie, ponieważ określa, jak długo napastnicy mieli możliwość gromadzenia, kopiowania lub wykorzystywania danych, do których uzyskali dostęp.
Brak tych szczegółów jest frustrujący dla klientów próbujących ocenić swoje osobiste ryzyko i odzwierciedla szerszy schemat ujawniania naruszeń w branży użyteczności publicznej. Kanadyjskie organy regulacyjne wymagają zgłaszania naruszeń, które stwarzają realne ryzyko poważnej szkody, zgodnie z ustawą o ochronie danych osobowych i dokumentów elektronicznych (PIPEDA), ale prawo to ustala minimalny poziom ujawnienia, a nie maksymalny. Firmy mogą technicznie spełnić wymogi, jednocześnie wstrzymując szczegóły, które pomogłyby osobom dotkniętym problemem w podjęciu świadomych decyzji.
Kogo dotyczy problem i jakie dane mogą być zagrożone
London Hydro obsługuje klientów indywidualnych i komercyjnych na terenie London w Ontario. Chociaż firma nie podała konkretnej liczby dotkniętych kont, każde naruszenie obejmujące nazwiska, adresy i dane konta stwarza znaczące narażenie dla osób znajdujących się w tej bazie danych.
Połączenie adresu domowego i numeru konta jest bardziej niebezpieczne niż każde z tych danych z osobna. Oszuści mogą wykorzystać dane konta, aby podszywać się pod klientów podczas kontaktu z zakładem energetycznym, potencjalnie przekierowując korespondencję rozliczeniową lub składając fałszywe zlecenia serwisowe. Adresy domowe w połączeniu z nazwiskami można zestawiać z innymi wyciekającymi zestawami danych, tworząc pełniejsze profile nadające się do ukierunkowanego phishingu lub oszustw fizycznych.
Jeśli dane dotyczące płatności znalazły się w ujawnionych informacjach, ryzyko dodatkowo wzrasta. W momencie pisania tego tekstu London Hydro nie potwierdziło, czy szczegóły finansowe, takie jak informacje bankowe lub numery kart kredytowych, były częścią ujawnionych danych, co samo w sobie stanowi znaczącą lukę w przekazanych informacjach.
Jak się chronić, gdy doszło do naruszenia w Twoim zakładzie energetycznym
Gdy dochodzi do naruszenia danych w firmie użyteczności publicznej, klienci mają ograniczone możliwości, ale kilka praktycznych opcji, aby ograniczyć dalsze szkody.
Sprawdź swoje konta pod kątem nietypowej aktywności. Zaloguj się na swoje konto w London Hydro i przejrzyj ostatnie rachunki oraz dane kontaktowe. Jeśli Twój adres lub dane kontaktowe zostały zmienione bez Twojej wiedzy, natychmiast zgłoś to do zakładu energetycznego.
Zastosuj alert o oszustwie lub zamrożenie kredytu. W Kanadzie możesz skontaktować się z Equifax Canada lub TransUnion Canada, aby umieścić alert o oszustwie na swoim raporcie kredytowym. Zamrożenie kredytu idzie o krok dalej, ograniczając możliwość składania nowych wniosków kredytowych do czasu, aż je zniesiesz. Obie usługi są bezpłatne i mogą powstrzymać złodziei tożsamości przed otwieraniem nowych kont na Twoje nazwisko.
Uważaj na próby phishingu uzupełniającego. Dane pochodzące z naruszeń często trafiają w ręce operatorów phishingu, którzy tworzą przekonujące wiadomości, udając zakład energetyczny. Bądź sceptyczny wobec każdego e-maila, SMS-a lub telefonu, który rzekomo pochodzi z London Hydro i prosi o potwierdzenie danych konta lub kliknięcie łącza.
Używaj unikalnego adresu e-mail do kont w zakładzie energetycznym. Jeśli używasz tego samego adresu e-mail w wielu serwisach, naruszenie u jednego dostawcy może zwiększyć Twoją podatność gdzie indziej. Jeśli to możliwe, używaj dedykowanego adresu e-mail do kont w zakładach użyteczności publicznej, aby ataki polegające na upychaniu danych logowania miały mniejszą powierzchnię do działania.
Regularnie monitoruj swój raport kredytowy. Obie główne kanadyjskie biura informacji kredytowej umożliwiają bezpłatny dostęp do raportu kredytowego. Okresowe przeglądanie go pomaga wcześnie wychwycić oznaki kradzieży tożsamości, gdy łatwiej jest je rozwiązać.
Naruszenie w London Hydro przypomina, że organizacje przechowujące nasze najważniejsze dane osobowe nie zawsze są najbardziej otwarte, gdy coś pójdzie nie tak. Klientom należą się jaśniejsze ujawnienia, szybszy harmonogram informowania i więcej praktycznych wskazówek, gdy ich dane są zagrożone. Dopóki standardy regulacyjne nie nadążą za tymi oczekiwaniami, ciężar ochrony spoczywa nieproporcjonalnie na osobach dotkniętych problemem. Podjęcie nawet kilku z powyższych kroków może znacząco zmniejszyć okno możliwości dla każdego, kto mógł uzyskać dostęp do Twoich informacji.
