O vulnerabilitate de securitate a fost remediată într-o bază de date care conținea peste 125 de milioane de mesaje text trimise de băncile, asigurătorii, retailerii și furnizorii de servicii din Letonia și Lituania către clienții lor. Furnizorul de servicii din spatele sistemului spune că problema a fost rezolvată. Episodul este un exemplu clar al riscurilor de scurgere de date ale furnizorilor de SMS: mesajele sensibile se află adesea la un furnizor pe care clienții nu l-au ales și despre care s-ar putea să nu știe că există.

Informațiile disponibile până acum sunt succinte, așa că această postare se limitează la ceea ce a fost declarat și explică de ce contează.

Ce a fost expus în baza de date SMS din Baltica

Conform raportului, baza de date afectată conținea peste 125 de milioane de mesaje text. Acestea erau mesaje business-to-customer trimise de băncile, asigurătorii, retailerii și furnizorii de servicii din Letonia și Lituania. Sursa descrie problema ca o vulnerabilitate care a fost acum remediată, iar titlul o prezintă ca o posibilă scurgere de date.

Formularea contează. O vulnerabilitate înseamnă că a existat o slăbiciune. Nu confirmă, prin ea însăși, că cineva a accesat sau a copiat datele. Materialul sursă pe care îl avem nu spune cât timp a existat slăbiciunea, cine ar fi putut-o descoperi sau dacă vreun mesaj a fost efectiv vizualizat de persoane neautorizate.

Totuși, tipul de conținut pe care îl găzduiește de obicei o astfel de bază de date merită luat în considerare. Companiile folosesc frecvent SMS-uri pentru coduri de unică folosință, alerte bancare, actualizări privind livrările și notificări despre cont. Astfel de mesaje pot dezvălui la ce bancă are cont o persoană, ce a cumpărat, unde ajunge un colet și ce servicii folosește. Chiar și fără o singură parolă, acest context este valoros pentru cineva care plănuiește o înșelăciune convingătoare.

De ce furnizorii terți de mesagerie reprezintă un risc ascuns

Majoritatea oamenilor presupun că o bancă sau un retailer își trimite propriile mesaje text. În practică, multe organizații încredințează această sarcină unui furnizor de mesagerie care se află între companie și rețeaua mobilă. Clientul interacționează cu marca, dar conținutul mesajului trece prin — și poate fi stocat de — o companie separată.

Acest lucru creează câteva probleme:

  • Relații invizibile. Clienții rareori văd ce furnizori le procesează datele, așa că nu pot evalua securitatea furnizorului.
  • Date concentrate. Un singur furnizor poate servi mulți clienți din mai multe țări. O singură deficiență poate afecta simultan mesaje de la bănci, asigurători și magazine, ceea ce face posibilă o cifră precum 125 de milioane de mesaje.
  • Întrebări privind păstrarea datelor. Jurnalele de mesaje pot fi păstrate pentru depanare sau raportare. Cu cât sunt stocate mai mult timp, cu atât este mai mult de expus.

Același tipar apare în alte incidente pe care le-am acoperit. Analiza noastră despre riscul terților în breșa Trump Mobile arată cum datele deținute în afara pereților proprii ai unei mărci pot deveni totuși problema acelei mărci. Breșa de date Fakturownia susține un punct similar despre o platformă care deține mult mai mult decât sugerează numele ei.

Ce confirmă și ce nu confirmă remedierea furnizorului

Declarația furnizorului că problema este remediată este o veste bună, dar răspunde doar la o parte a întrebării.

Ce sugerează: slăbiciunea specifică nu mai este deschisă, așa că aceeași rută nu ar trebui să fie disponibilă de acum înainte.

Ce nu confirmă, pe baza sursei:

  • Dacă vreun terț a accesat mesajele înainte de remediere.
  • Dacă mesajele expuse includeau coduri sau date personale încă utilizabile.
  • Dacă o revizuire independentă a verificat repararea.
  • Dacă companiile afectate își vor notifica clienții.

Până când aceste puncte sunt abordate public, poziția rezonabilă nu este nici panică, nici complacență. Tratați remedierea ca pe un pas necesar, nu ca pe un semnal complet de siguranță. Organizațiile care au folosit furnizorul sunt cel mai bine plasate să explice ce, dacă este cazul, ar trebui să facă clienții.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă aveți cont bancar, asigurări sau faceți cumpărături la companii din Letonia sau Lituania, mesajele dumneavoastră pot fi trecut printr-un sistem ca acesta. Chiar dacă sunteți în altă parte, lecția se aplică: orice serviciu care vă trimite mesaje text se bazează pe un lanț de furnizori pe care nu îl puteți audita.

Riscul realist nu este de obicei o preluare dramatică a contului pornind de la un singur mesaj vechi. Este phishingul țintit. Un escroc care știe că ați primit recent o notificare de livrare sau o alertă bancară poate scrie un mesaj fals care pare autentic, folosind detalii reale pentru a vă câștiga încrederea. Codurile de unică folosință mai vechi ar trebui să fie expirate, dar autentificarea prin SMS rămâne ea însăși veriga slabă, deoarece mesajele text pot fi interceptate, redirecționate sau expuse în locuri pe care nu le controlați. Recapitularea noastră săptămânală de securitate notează, de asemenea, cum trucurile de phishing continuă să evolueze, ceea ce este un memento să rămâneți sceptici față de mesajele neașteptate.

Cum să vă protejați de phishingul prin SMS și riscurile 2FA

Nu puteți alege furnizorul de mesagerie al băncii dumneavoastră, dar puteți reduce cât de mult vă poate afecta un mesaj expus.

  1. Renunțați la codurile prin SMS acolo unde este posibil. Folosiți o aplicație de autentificare sau o cheie de securitate hardware pentru autentificarea cu doi factori. Acestea nu circulă prin sistemele de mesagerie text.
  2. Păstrați SMS-ul doar ca soluție de rezervă. Dacă un serviciu impune verificarea prin mesaj text, activați-o, dar adăugați opțiuni mai puternice oriunde serviciul permite.
  3. Nu aveți încredere în mesajele care fac referire la activități reale. Un mesaj care menționează o comandă sau o bancă reală nu dovedește că este autentic. Nu apăsați pe linkuri; deschideți aplicația oficială sau tastați adresa dumneavoastră.
  4. Nu partajați niciodată coduri. Nicio bancă sau retailer legitim nu vă va cere să citiți un cod de unică folosință.
  5. Urmăriți-vă conturile. Verificați extrasele și alertele de conectare pentru orice element neobișnuit și raportați rapid activitatea suspectă băncii dumneavoastră.
  6. Întrebați-vă furnizorii. Dacă doriți să aflați cum gestionează o companie datele mesajelor, întrebați cine le procesează și cât timp sunt păstrate.

Concluzia

Remedierea acestei baze de date din Baltica este binevenită, dar lasă deschise întrebări despre dacă datele au fost vreodată accesate. Lecția mai amplă despre riscurile de scurgere de date ale furnizorilor de SMS rămâne valabilă indiferent de situație: notificările sensibile trec prin furnizori pe care nu i-ați ales niciodată, iar dumneavoastră puteți controla doar propria parte. Treceți la 2FA bazat pe aplicație sau hardware, rămâneți precauți față de orice mesaj care menționează activități reale și citiți mai multe despre modul în care furnizorii externi creează expunere în articolele noastre despre breșa Trump Mobile și incidentul Fakturownia.