Согласно сообщениям, утечка в Министерстве внутренней безопасности (DHS) привела к распространению имён, номеров телефонов и адресов электронной почты более 40 000 сотрудников. Утечка контактных данных сотрудников DHS, согласно отчёту VOZ, стала третьей утечкой правительственных данных, попавшей в заголовки за последний месяц. В исходной статье мало технических подробностей, поэтому этот материал ограничивается тем, что было сообщено, и объясняет, почему такие данные важны, даже если они кажутся безобидными.

Что было раскрыто в утечке DHS

Согласно сообщениям, раскрытая информация охватывает более 40 000 сотрудников DHS и ограничивается тремя типами данных: именами, номерами телефонов и адресами электронной почты. В доступных нам материалах отчёт не описывает, как были получены данные, кто за этим стоял, когда это произошло и были ли затронуты другие категории, такие как номера социального страхования или финансовые записи. Мы не будем строить догадки об этих деталях.

Этот пробел стоит отметить. Ранние сообщения об утечках часто неполны, и масштаб может меняться по мере расследования агентствами. Считайте текущую цифру заявленной базовой оценкой, а не окончательным подсчётом, и следите за официальными заявлениями DHS.

Паттерн утечек правительственных данных

Инцидент с DHS не единичен. Отчёт представляет его как третью утечку правительственных данных, попавшую в заголовки за один месяц. Два других недавних случая, освещённых на vpn.social, дают полезный контекст. В одном из них ФБР заявило, что устраняет утечку, связанную с конфиденциальными данными своих сотрудников, и пообещало преследовать тех, кого считает ответственными. В другом французские власти арестовали 15-летнего подростка, подозреваемого во взломе ANTS — агентства, которое управляет документами, удостоверяющими личность.

Эти случаи касаются разных агентств и стран, поэтому не стоит предполагать, что они связаны. Общее у них — цель: крупные базы данных государственного сектора, полные личной информации о сотрудниках или гражданах. Государственные органы хранят данные, ценные для преступников, а в некоторых случаях и для враждебных субъектов, что делает их постоянными мишенями.

Почему контактные данные питают фишинг и социальную инженерию

Так и тянет отмахнуться от утечки имён, номеров телефонов и адресов электронной почты как от чего-то незначительного. Ни паролей, ни финансовых данных — так в чём вред? Ответ в том, что контактные данные — это сырьё для целевых атак.

Имея подтверждённое имя, рабочий адрес электронной почты и номер телефона, привязанный к известному работодателю, злоумышленник может:

  • Создавать убедительные фишинговые письма, обращаясь к человеку по имени и упоминая его ведомство.
  • Проводить голосовой фишинг (вишинг), выдавая себя за ИТ-поддержку, коллегу или поставщика.
  • Рассылaть SMS-приманки, направляющие получателей на поддельные страницы входа.
  • Выдавать себя за инсайдеров, чтобы выманивать информацию у коллег, доверяющих знакомо звучащему имени.

Для сотрудников ведомства, ориентированного на безопасность, риск заключается в том, что злоумышленники точно знают, кто там работает и как с ними связаться. Даже небольшое число успешных сообщений может дать атакующему точку опоры. Риск не ограничивается этими сотрудниками. Члены семей, подрядчики и все, кто общается с персоналом DHS, могут получать сообщения, которые выглядят как исходящие из доверенного источника.

Утечки только контактных данных также имеют свойство использоваться повторно. Списки подтверждённых адресов электронной почты и номеров телефонов можно комбинировать с данными из других инцидентов. Наш материал об утечке LimeLeads, затронувшей 49,4 млн деловых контактов, показывает, как контактные базы могут циркулировать и использоваться спустя долгое время после первоначального инцидента.

Что это значит для вас

Возможно, вы не работаете в DHS, но уроки применимы ко всем. У большинства из нас имена, адреса электронной почты и номера телефонов хранятся во множестве баз данных: у работодателей, ритейлеров, брокеров данных и государственных органов. Когда одна из них подвергается утечке, против обычных людей используется тот же фишинговый сценарий.

Если вы сотрудник DHS или работаете с кем-то из них, ожидайте больше нежелательных сообщений, чем обычно, и относитесь к неожиданным запросам с подозрением, даже если в них используется ваше имя или упоминается ваше место работы. Если нет, используйте это как повод пересмотреть, сколько вашей собственной контактной информации находится в открытом доступе и кто может с вами связаться.

Как снизить собственную экспозицию персональных данных

Вы не можете контролировать, подвергнется ли организация утечке, но можете ограничить ущерб. Практические шаги включают:

  1. Используйте уникальные псевдонимы электронной почты для разных сервисов, чтобы утечка в одном месте не связывала всё остальное.
  2. Держите отдельный номер телефона для регистраций и публичных объявлений, а не свой основной мобильный номер.
  3. Включите многофакторную аутентификацию, желательно с помощью приложения-аутентификатора или аппаратного ключа, а не SMS.
  4. Проверяйте, прежде чем доверять. Если звонок, сообщение или письмо требует учётных данных или срочных действий, свяжитесь с организацией по каналу, который вы уже знаете как настоящий.
  5. Не переходите по ссылкам в неожиданных сообщениях. Вместо этого зайдите на сайт напрямую.
  6. Проверяйте инструменты уведомлений об утечках, чтобы узнать, какие из ваших адресов фигурировали в известных утечках, и меняйте пароли соответствующим образом.
  7. Запрашивайте удаление с сайтов брокеров данных, где указаны ваши данные.

Смысл не в том, чтобы исключить экспозицию, что нереалистично, а в том, чтобы каждая утёкшая деталь стала менее полезной для злоумышленника.

Главное

Сообщаемая утечка контактных данных сотрудников DHS может показаться скромной на фоне утечек, включающих пароли или финансовые записи, но именно контактные данные обеспечивают работу фишинга и социальной инженерии. С учётом трёх утечек правительственных данных, о которых сообщалось за месяц, сейчас разумное время проверить, где раскрыты ваши собственные контактные данные, и укрепить свои привычки. Для более широкого контекста о паттерне прочитайте наши материалы об утечке данных сотрудников ФБР и взломе записей удостоверений личности ANTS, а затем уделите несколько минут защите собственных аккаунтов.