O scurgere de date raportată la Departamentul pentru Securitate Internă (DHS) a adus în circulație numele, numerele de telefon și adresele de e-mail a peste 40.000 de angajați. Scurgerea de date DHS a datelor de contact ale angajaților este, potrivit raportului de la VOZ, a treia scurgere de date guvernamentale care ajunge în titlurile presei în ultima lună. Articolul sursă oferă puține detalii tehnice, așa că acest material se limitează la ceea ce a fost raportat și explică de ce acest tip de date contează, chiar și atunci când par inofensive.

Ce a fost expus în scurgerea de date de la DHS

Conform relatării, informațiile expuse acoperă peste 40.000 de angajați DHS și se limitează la trei tipuri de date: nume, numere de telefon și adrese de e-mail. Raportul nu descrie, în materialul disponibil pentru noi, cum au fost obținute datele, cine se află în spatele incidentului, când s-a întâmplat sau dacă au fost implicate alte categorii, precum numerele de asigurare socială sau evidențele financiare. Nu vom face speculații cu privire la aceste detalii.

Această lacună merită menționată. Raportările timpurii despre scurgerile de date sunt adesea incomplete, iar amploarea poate varia pe măsură ce agențiile investighează. Tratați cifra actuală ca pe o bază raportată, nu ca pe un număr final, și urmăriți declarațiile oficiale din partea DHS.

Un tipar al scurgerilor de date guvernamentale

Incidentul de la DHS nu este singular. Raportul îl încadrează ca fiind a treia scurgere de date guvernamentale care ajunge în titlurile presei într-o singură lună. Alte două cazuri recente prezentate pe vpn.social oferă un context util. Într-unul dintre ele, FBI a declarat că investighează o scurgere care implică datele sensibile ale angajaților săi și a promis că îi va urmări pe cei pe care îi consideră responsabili. Într-un altul, autoritățile franceze au arestat un tânăr de 15 ani suspectat de spargerea sistemelor ANTS, agenția care gestionează documentele de identitate.

Aceste cazuri implică agenții și țări diferite, așa că nu ar trebui să presupunem că sunt conectate. Ceea ce au în comun este ținta: baze de date mari din sectorul public, pline de informații personale despre angajați sau cetățeni. Organismele guvernamentale dețin date valoroase pentru infractori și, în unele cazuri, pentru actori ostili, ceea ce le transformă în ținte persistente.

De ce datele de contact alimentează phishingul și inginería socială

Este tentant să minimizezi o scurgere de nume, numere de telefon și e-mailuri ca fiind minoră. Niciun fel de parole sau date financiare, așa că unde este răul? Răspunsul este că datele de contact reprezintă materia primă pentru atacurile țintite.

Cu un nume verificat, o adresă de e-mail de serviciu și un număr de telefon asociat unui angajator cunoscut, un atacator poate:

  • Să creeze e-mailuri de phishing convingătoare care se adresează unei persoane pe nume și fac referire la agenția acesteia.
  • Să efectueze apeluri de phishing vocal (vishing) dându-se drept suport IT, un coleg sau un furnizor.
  • Să trimită momeli prin SMS care direcționează destinatarii către pagini de autentificare false.
  • Să se dea drept persoane din interior pentru a extrage informații de la colegi care au încredere într-un nume familiar.

Pentru angajații unei agenții axate pe securitate, riscul este că atacatorii știu exact cine lucrează acolo și cum să îi contacteze. Chiar și un număr mic de mesaje reușite poate oferi unui atacator un punct de sprijin. Riscul nu se limitează la acei angajați. Membrii familiei, contractorii și oricine comunică cu personalul DHS ar putea primi mesaje care par a veni dintr-o sursă de încredere.

Scurgerile care conțin doar date de contact tind, de asemenea, să fie reutilizate. Listele de e-mailuri și numere de telefon verificate pot fi combinate cu date din alte incidente. Materialul nostru despre expunerea LimeLeads a 49,4 milioane de contacte de afaceri arată cum bazele de date de contact pot circula și pot fi folosite mult timp după incidentul original.

Ce înseamnă acest lucru pentru dumneavoastră

Poate că nu lucrați pentru DHS, dar lecțiile se aplică tuturor. Cei mai mulți dintre noi avem numele, e-mailurile și numerele de telefon stocate în multe baze de date: angajatori, retaileri, brokeri de date și agenții guvernamentale. Când una dintre acestea este spartă, aceeași schemă de phishing este folosită împotriva oamenilor obișnuiți.

Dacă sunteți angajat al DHS sau lucrați cu unul, așteptați-vă la mai multe mesaje nesolicitate decât de obicei și tratați cu suspiciune cererile neașteptate, chiar dacă folosesc numele dumneavoastră sau menționează locul de muncă. Dacă nu sunteți, folosiți acest lucru ca un impuls pentru a verifica cât de multe dintre informațiile dumneavoastră de contact sunt disponibile public și cine vă poate contacta.

Cum să vă reduceți propria expunere a datelor personale

Nu puteți controla dacă o organizație este spartă, dar puteți limita daunele. Pașii practici includ:

  1. Folosiți aliasuri de e-mail unice pentru diferite servicii, astfel încât o scurgere într-un loc să nu se lege de tot restul.
  2. Păstrați un număr de telefon separat pentru înregistrări și listări publice, în loc de numărul principal de mobil.
  3. Activați autentificarea cu mai mulți factori, de preferință cu o aplicație de autentificare sau o cheie hardware, nu prin SMS.
  4. Verificați înainte de a avea încredere. Dacă un apel, un mesaj text sau un e-mail solicită date de autentificare sau acțiuni urgente, contactați organizația printr-un canal despre care știți deja că este real.
  5. Nu faceți clic pe linkuri din mesaje neașteptate. Navigați direct către site.
  6. Verificați instrumentele de notificare a scurgerilor de date pentru a vedea care dintre adresele dumneavoastră au apărut în scurgeri cunoscute și schimbați parolele în consecință.
  7. Solicitați eliminarea de pe site-urile brokerilor de date unde sunt listate detaliile dumneavoastră.

Ideea nu este să eliminați expunerea, ceea ce este nerealist, ci să faceți fiecare detaliu scurs mai puțin util pentru un atacator.

Concluzia

Scurgerea de date raportată la DHS a datelor de contact ale angajaților poate părea modestă în comparație cu scurgerile care includ parole sau evidențe financiare, dar datele de contact sunt exact ceea ce face ca phishingul și inginería socială să funcționeze. Cu trei scurgeri guvernamentale raportate într-o lună, acum este un moment potrivit pentru a audita unde sunt expuse propriile date de contact și pentru a vă consolida obiceiurile. Pentru un context mai amplu despre acest tipar, citiți materialul nostru despre scurgerea de date a angajaților FBI și spargerea evidențelor de identitate ANTS, apoi acordați câteva minute pentru a vă securiza propriile conturi.