En säkerhetssårbarhet har åtgärdats i en databas som innehöll mer än 125 miljoner textmeddelanden som skickats av lettiska och litauiska banker, försäkringsbolag, butiker och tjänsteleverantörer till sina kunder. Tjänsteleverantören bakom systemet säger att problemet har åtgärdats. Episoden är ett tydligt exempel på riskerna med dataläckage hos SMS-leverantörer: känsliga meddelanden ligger ofta hos en leverantör som kunderna aldrig har valt och kanske inte ens vet finns.

Rapporteringen som hittills finns är kortfattad, så det här inlägget håller sig till det som har sagts och förklarar varför det spelar roll.

Vad som exponerades i den baltiska SMS-databasen

Enligt rapporten innehöll den drabbade databasen mer än 125 miljoner textmeddelanden. Det rörde sig om företag-till-kund-meddelanden som skickats av lettiska och litauiska banker, försäkringsbolag, butiker och tjänsteleverantörer. Källan beskriver problemet som en sårbarhet som nu har åtgärdats, och rubriken ramar in det som ett möjligt dataläckage.

Det ordvalet spelar roll. En sårbarhet innebär att en svaghet fanns. Det bekräftar inte i sig att någon har kommit åt eller kopierat uppgifterna. Källmaterialet vi har säger inte hur länge svagheten fanns, vem som kan ha hittat den eller om några meddelanden faktiskt har setts av obehöriga.

Ändå är den typ av innehåll som en sådan databas vanligtvis innehåller värd att tänka på. Företag använder ofta SMS för engångskoder, bankaviseringar, leveransuppdateringar och kontomeddelanden. Meddelanden som dessa kan avslöja vem en person bankar hos, vad personen har köpt, vart ett paket är på väg och vilka tjänster personen använder. Även utan ett enda lösenord är den kontexten värdefull för någon som planerar en övertygande bluff.

Varför tredjepartsleverantörer av meddelanden är en dold risk

De flesta antar att en bank eller butik skickar sina egna texter. I praktiken lägger många organisationer det jobbet hos en meddelandeleverantör som sitter mellan företaget och mobilnätet. Kunden har att göra med varumärket, men meddelandeinnehållet passerar genom, och kan lagras av, ett separat företag.

Det skapar några problem:

  • Osynliga relationer. Kunder ser sällan vilka leverantörer som behandlar deras uppgifter, så de kan inte bedöma leverantörens säkerhet.
  • Koncentrerade data. En leverantör kan betjäna många kunder i flera länder. En enda brist kan beröra meddelanden från banker, försäkringsbolag och butiker på en gång, vilket är det som gör en siffra som 125 miljoner meddelanden möjlig.
  • Frågor om lagring. Meddelandeloggar kan sparas för felsökning eller rapportering. Ju längre de lagras, desto mer finns det att exponera.

Samma mönster återkommer i andra incidenter vi har bevakat. Vår genomgång av tredjepartsrisk i Trump Mobile-läckan visar hur data som finns utanför ett varumärkes egna väggar ändå kan bli varumärkets problem. Dataläckan hos Fakturownia gör en liknande poäng om en plattform som håller långt mer än namnet antyder.

Vad leverantörens åtgärd bekräftar och inte bekräftar

Leverantörens uttalande om att problemet är åtgärdat är goda nyheter, men det besvarar bara en del av frågan.

Vad det antyder: den specifika svagheten är inte längre öppen, så samma väg bör inte vara tillgänglig framöver.

Vad det inte bekräftar, utifrån källan:

  • Om någon tredje part kom åt meddelandena före åtgärden.
  • Om de exponerade meddelandena innehöll koder eller personuppgifter som fortfarande är användbara.
  • Om en oberoende granskning har verifierat åtgärden.
  • Om drabbade företag kommer att meddela sina kunder.

Tills dessa punkter har behandlats offentligt är den kloka hållningen varken panik eller likgiltighet. Se åtgärden som ett nödvändigt steg, inte som ett fullständigt klartecken. Organisationer som använde leverantören är bäst lämpade att förklara vad kunderna, om något, bör göra.

Vad detta innebär för dig

Om du bankar, försäkrar dig eller handlar hos lettiska eller litauiska företag kan dina meddelanden ha passerat genom ett system som detta. Även om du befinner dig någon annanstans gäller lärdomen: varje tjänst som skickar sms till dig är beroende av en kedja av leverantörer som du inte kan granska.

Den realistiska risken är vanligtvis inte ett dramatiskt kontokapande från en gammal text. Det är riktad nätfiske. En bedragare som vet att du nyligen har fått en leveransavisering eller en bankavisering kan skriva ett falskt meddelande som ser äkta ut och använda riktiga detaljer för att vinna ditt förtroende. Äldre engångskoder bör ha gått ut, men SMS-baserad inloggning i sig är fortfarande den svaga länken, eftersom texter kan avlyssnas, vidarebefordras eller exponeras på platser du inte kontrollerar. Vår veckovisa säkerhetssammanfattning noterar också hur nätfisketrick fortsätter att utvecklas, vilket är en påminnelse om att förhålla sig skeptisk till oväntade meddelanden.

Hur du skyddar dig mot SMS-baserat nätfiske och 2FA-risker

Du kan inte välja din banks meddelandeleverantör, men du kan minska hur mycket en exponerad text kan skada dig.

  1. Gå bort från SMS-koder där det är möjligt. Använd en autentiseringsapp eller en fysisk säkerhetsnyckel för tvåfaktorsautentisering. Dessa går inte via textmeddelandesystem.
  2. Behåll SMS endast som reserv. Om en tjänst tvingar fram textverifiering, aktivera den, men lägg till starkare alternativ där tjänsten tillåter det.
  3. Misstro meddelanden som hänvisar till verklig aktivitet. Ett sms som nämner en verklig order eller bank bevisar inte att det är äkta. Tryck inte på länkar; öppna den officiella appen eller skriv adressen själv.
  4. Dela aldrig koder. Ingen legitim bank eller butik kommer att be dig läsa upp en engångskod.
  5. Håll koll på dina konton. Kontrollera kontoutdrag och inloggningsaviseringar för något obekant och rapportera misstänkt aktivitet till din bank snabbt.
  6. Fråga dina leverantörer. Om du vill veta hur ett företag hanterar meddelandedata, fråga vem som behandlar dem och hur länge de sparas.

Det viktigaste att ta med sig

Åtgärden av denna baltiska databas är välkommen, men den lämnar öppna frågor om huruvida uppgifterna någonsin har nåtts. Den bredare lärdomen om riskerna med dataläckage hos SMS-leverantörer gäller oavsett: känsliga aviseringar passerar genom leverantörer du aldrig har valt, och du kan bara kontrollera din egen sida. Byt till appbaserad eller hårdvarubaserad 2FA, var vaksam mot alla meddelanden som nämner verklig aktivitet och läs mer om hur externa leverantörer skapar exponering i våra artiklar om Trump Mobile-läckan och incidenten hos Fakturownia.