Утечка данных London Hydro раскрывает данные клиентов
Канадская электроэнергетическая компания признала утечку данных, которая могла затронуть имена, адреса и информацию об аккаунтах клиентов, однако компания предоставила мало ясности о том, как произошло вторжение, сколько людей пострадало и как долго злоумышленники могли иметь доступ. London Hydro, обслуживающая город Лондон (провинция Онтарио), подтвердила инцидент, но оставила без ответа ряд важных вопросов, что вызывает обеспокоенность по поводу стандартов прозрачности, когда поставщики основных услуг обрабатывают конфиденциальные персональные данные.
Почему коммунальные предприятия — лёгкая мишень для киберпреступников
Коммунальные предприятия занимают неудобное положение в мире кибербезопасности. Они хранят большие объёмы личных и финансовых данных клиентов, у которых практически нет выбора, кроме как пользоваться их услугами. В отличие от розничного приложения или стримингового сервиса, клиенты не могут просто удалить аккаунт и уйти от местного поставщика электроэнергии.
Такая зависимость создаёт среду, богатую данными, что привлекает злоумышленников. Коммунальные службы собирают домашние адреса, истории выставленных счетов, платёжные реквизиты, а в некоторых случаях и данные о потреблении, которые могут показать, когда помещение занято. Такое сочетание персонально идентифицируемой информации и поведенческих данных ценно для мошенничества, социальной инженерии и кражи личных данных.
Операционные требования также противоречат надёжной защите. Многие сети коммунальных служб используют устаревшую инфраструктуру, которая изначально не проектировалась с учётом современных требований кибербезопасности. Установка исправлений или отключение инфраструктуры для обновлений безопасности может напрямую конфликтовать с обязательством поддерживать подачу электроэнергии. В результате отрасль несёт ценную информационную нагрузку, но порой отстаёт по средствам защиты, которые в других секторах уже стали нормой.
Эта проблема не уникальна для London Hydro. Вот один яркий канадский пример: Nova Scotia Power пострадала от взлома, который раскрыл персональные данные примерно 915 000 текущих и бывших клиентов после того, как один сотрудник взаимодействовал с вредоносным всплывающим окном. Этот инцидент показывает, как единая точка отказа в крупной коммунальной организации может перерасти в серьёзное нарушение конфиденциальности, затрагивающее почти миллион человек.
Что London Hydro сообщила и не сообщила об утечке
В публичном заявлении London Hydro подтвердила, что в ходе вторжения могли быть раскрыты имена, домашние адреса и данные об аккаунтах. Дальнейшие разъяснения скудны. Компания не подтвердила вектор атаки, то есть не сообщила, была ли утечка вызвана фишингом, уязвимостью во внешних системах, программой-вымогателем или иным методом.
Временные рамки вторжения также остаются неясными. Клиентам не сообщили, когда началась утечка, когда её обнаружили и какова продолжительность промежутка между этими событиями. Этот промежуток важен, так как определяет, сколько времени у злоумышленников было на сбор, копирование или использование в злонамеренных целях тех данных, к которым они получили доступ.
Отсутствие этих деталей вызывает разочарование у клиентов, пытающихся оценить свой личный риск, и отражает более широкую тенденцию раскрытия информации об утечках в коммунальном секторе. Канадские регуляторы требуют уведомлять об утечках, создающих реальный риск серьёзного ущерба, в соответствии с Законом о защите персональной информации и электронных документов (PIPEDA), но закон устанавливает минимальный, а не максимальный уровень раскрытия. Компании могут формально соблюдать требования, но при этом не раскрывать детали, которые помогли бы пострадавшим принимать осознанные решения.
Кто пострадал и какие данные могут быть под угрозой
London Hydro обслуживает бытовых и коммерческих клиентов по всему Лондону (Онтарио). Хотя компания не сообщила конкретное количество затронутых аккаунтов, любая утечка, затрагивающая имена, адреса и данные об аккаунтах, создаёт значительный риск для людей из этой базы данных.
Сочетание домашнего адреса и номера аккаунта опаснее, чем каждый из этих элементов по отдельности. Мошенники могут использовать данные аккаунта, чтобы выдавать себя за клиентов при обращении в коммунальную службу, что может привести к перенаправлению платёжных уведомлений или оформлению мошеннических заявок на обслуживание. Домашние адреса в паре с именами можно сопоставлять с другими утекшими наборами данных, чтобы создавать более полные профили, пригодные для целевого фишинга или физического мошенничества.
Если в раскрытых данных содержалась платёжная информация, риск возрастает ещё больше. На момент написания статьи London Hydro не подтвердила, были ли раскрыты финансовые реквизиты, такие как банковская информация или номера кредитных карт, что само по себе является существенным пробелом в раскрытии информации.
Как защититься, если ваша коммунальная служба пострадала от утечки
Когда происходит утечка данных в коммунальной компании, у клиентов ограничены рычаги влияния, но есть несколько практических способов снизить последующий ущерб.
Проверьте свои аккаунты на подозрительную активность. Войдите в аккаунт London Hydro и просмотрите последние счета и контактные данные. Если ваш адрес или контактная информация были изменены без вашего ведома, немедленно сообщите об этом в коммунальную службу.
Установите предупреждение о мошенничестве или заморозку кредита. В Канаде можно обратиться в Equifax Canada или TransUnion Canada, чтобы установить предупреждение о мошенничестве в кредитной истории. Заморозка кредита идёт дальше и ограничивает новые кредитные запросы до её снятия. Обе услуги бесплатны и могут помешать ворам личных данных открывать новые счета на ваше имя.
Остерегайтесь последующего фишинга. Украденные данные часто попадают в руки фишинговых операторов, которые создают убедительные сообщения, якобы от самой коммунальной службы. Относитесь скептически к любым электронным письмам, сообщениям или звонкам, в которых утверждается, что они от London Hydro, и просят подтвердить данные аккаунта или перейти по ссылке.
Используйте уникальный адрес электронной почты для аккаунтов коммунальных служб. Если вы используете один и тот же адрес для нескольких сервисов, утечка у одного поставщика может сделать вас более уязвимым в других местах. По возможности используйте отдельный адрес электронной почты для коммунальных аккаунтов, чтобы уменьшить площадь атаки для атак с подстановкой учётных данных.
Регулярно проверяйте кредитный отчёт. Оба крупных канадских кредитных бюро предоставляют бесплатный доступ к вашему кредитному отчёту. Периодическая проверка помогает выявить признаки мошенничества с использованием личных данных на ранней стадии, когда его легче устранить.
Утечка в London Hydro служит напоминанием, что организации, хранящие наши самые важные персональные данные, не всегда откровенны, когда что-то идёт не так. Клиенты заслуживают более чёткого раскрытия информации, более коротких сроков и более полезных рекомендаций, когда их данные под угрозой. Пока нормативные стандарты не догонят эти ожидания, бремя защиты несоразмерно ложится на пострадавших. Применение даже нескольких шагов из перечисленных выше может значительно сократить окно возможностей для тех, кто мог получить доступ к вашей информации.
