การละเมิดข้อมูลของ Aura เปิดเผยบันทึกข้อมูลติดต่อกว่า 900,000 รายการ

Aura บริษัทที่นำเสนอตัวเองในฐานะบริการด้านความปลอดภัยออนไลน์และการปกป้องข้อมูลส่วนตัว ได้ยืนยันการละเมิดข้อมูลครั้งสำคัญที่ส่งผลกระทบต่อบันทึกข้อมูลติดต่อประมาณ 900,000 รายการ เหตุการณ์นี้เป็นการเตือนใจที่ชัดเจนว่าไม่มีบริการใดที่จะปลอดภัยจากการโจมตีได้อย่างสมบูรณ์ ไม่ว่าจะสัญญาว่าจะปกป้องคุณจากอะไรก็ตาม โดยเชื่อว่ากลุ่มแฮกเกอร์ ShinyHunters ซึ่งเป็นที่รู้จักจากปฏิบัติการขโมยข้อมูลระดับไฮโปรไฟล์หลายครั้ง เป็นผู้รับผิดชอบต่อเหตุการณ์นี้

สิ่งที่เกิดขึ้นในการละเมิดข้อมูลของ Aura

การละเมิดข้อมูลครั้งนี้ไม่ได้เกิดจากการใช้ช่องโหว่แบบ zero-day ที่ซับซ้อน หรือจากข้อบกพร่องในโครงสร้างพื้นฐานหลักของ Aura แต่เริ่มต้นจากการโจมตีด้วยการหลอกลวงทางโทรศัพท์แบบมุ่งเป้า หรือที่เรียกว่า vishing ซึ่งมุ่งเป้าไปยังพนักงานคนหนึ่งของบริษัท บุคคลที่ไม่ได้รับอนุญาตได้หลอกล่อพนักงานคนดังกล่าวให้เปิดทางเข้าถึงระบบ และจากนั้น บันทึกข้อมูลติดต่อประมาณ 900,000 รายการก็ถูกเปิดเผย

ข้อมูลที่ถูกละเมิดประกอบด้วย:

  • ชื่อ-นามสกุล
  • ที่อยู่อีเมล
  • ที่อยู่ IP
  • หมายเลขโทรศัพท์
  • ที่อยู่บ้าน
  • ความคิดเห็นจากการบริการลูกค้า

หมวดหมู่สุดท้ายนี้ควรได้รับความสนใจเป็นพิเศษ บันทึกการบริการลูกค้ามักมีข้อมูลที่มีความละเอียดอ่อน รวมถึงรายละเอียดเกี่ยวกับปัญหาบัญชี ข้อกังวลด้านตัวตน หรือสถานการณ์ส่วนตัวที่ผู้คนแบ่งปันขณะขอความช่วยเหลือ หากข้อมูลเหล่านี้ตกไปอยู่ในมือของคนไม่หวังดี อาจถูกนำไปใช้สร้างการหลอกลวงติดตามผลที่ดูน่าเชื่อถืออย่างมาก

เหตุใดการละเมิดข้อมูลครั้งนี้จึงเจ็บปวดเป็นพิเศษ

การละเมิดข้อมูลส่วนใหญ่มักเกิดกับบริษัทที่จัดการข้อมูลละเอียดอ่อนในฐานะผลพลอยได้จากการให้บริการ ธนาคารเก็บบันทึกทางการเงิน ร้านค้าเก็บข้อมูลการชำระเงิน แต่ Aura โปรโมตตัวเองว่าเป็นแพลตฟอร์มด้านความเป็นส่วนตัวและความปลอดภัยโดยเฉพาะ ผู้ที่สมัครใช้บริการประเภทนี้มักกังวลเรื่องการโจรกรรมข้อมูลส่วนตัวและการเปิดเผยข้อมูลออนไลน์อยู่แล้ว และพวกเขาจ่ายเงินเพื่อการปกป้อง

การที่ผู้โจมตีสามารถเลี่ยงผ่านการป้องกันของ Aura ด้วยการโทรศัพท์เพียงครั้งเดียวไปยังพนักงาน แสดงให้เห็นสิ่งสำคัญประการหนึ่ง นั่นคือ ปัจจัยมนุษย์ยังคงเป็นจุดเข้าถึงที่ถูกเอารัดเอาเปรียบมากที่สุดในเหตุการณ์ด้านความปลอดภัย แม้จะมีการควบคุมทางเทคนิค ไฟร์วอลล์ และการเข้ารหัสครบถ้วน แต่การโทรศัพท์เพื่อวิศวกรรมสังคมที่มาในเวลาที่เหมาะสมก็ยังเปิดประตูได้อยู่ดี

ShinyHunters เชื่อมโยงกับการละเมิดข้อมูลขนาดใหญ่หลายครั้ง รวมถึงการโจมตี Ticketmaster, Santander Bank และอื่นๆ วิธีการของพวกเขามักมุ่งเป้าไปยังเส้นทางที่มีการต้านทานน้อยที่สุด และในกรณีนี้ เส้นทางนั้นคือบุคคลคนหนึ่ง

สิ่งที่ควรทำสำหรับคุณ

หากคุณเป็นลูกค้าของ Aura คุณควรถือว่าข้อมูลติดต่อของคุณถูกเปิดเผยแล้ว และดำเนินการตามนั้น ซึ่งหมายความว่า:

ระวังการพยายาม phishing เมื่อชื่อ อีเมล หมายเลขโทรศัพท์ และที่อยู่บ้านของคุณอาจหมุนเวียนอยู่ในมือของผู้ไม่หวังดี พวกเขามีทุกสิ่งที่จำเป็นในการสร้างอีเมลหรือสายโทรศัพท์แอบอ้างที่ดูน่าเชื่อถือ จงสงสัยการติดต่อโดยไม่ได้ร้องขอทุกรูปแบบที่อ้างว่ามาจาก Aura หรือบริการที่เกี่ยวข้อง

อย่าใช้รหัสผ่านซ้ำ หากคุณใช้รหัสผ่านเดียวกันสำหรับ Aura และบัญชีอื่นๆ ให้เปลี่ยนรหัสผ่านเหล่านั้นทันที โปรแกรมจัดการรหัสผ่านช่วยให้การจัดการนี้ง่ายขึ้นอย่างมากสำหรับหลายบริการ

เปิดใช้งานการยืนยันตัวตนสองขั้นตอนทุกที่ แม้ว่าผู้โจมตีจะมีที่อยู่อีเมลและรหัสผ่านของคุณ การยืนยันตัวตนสองขั้นตอน (2FA) ก็เพิ่มชั้นการป้องกันที่หยุดยั้งการโจมตีอัตโนมัติส่วนใหญ่ได้

พิจารณาข้อมูลที่คุณแบ่งปันกับบริการใดๆ ยิ่งบริษัทมีข้อมูลเกี่ยวกับคุณน้อยเท่าไหร่ ก็ยิ่งมีข้อมูลน้อยที่จะถูกเปิดเผยหากมีสิ่งผิดพลาด การละเมิดข้อมูลครั้งนี้เป็นข้อโต้แย้งเชิงปฏิบัติสำหรับการลดข้อมูลให้เหลือน้อยที่สุด

เหตุการณ์นี้ยังตอกย้ำประเด็นที่กว้างขึ้นเกี่ยวกับการรักษาความปลอดภัยแบบหลายชั้น ไม่มีบริการหรือเครื่องมือเดียวที่ให้การป้องกันที่สมบูรณ์ บริการติดตามตัวตน VPN โปรแกรมจัดการรหัสผ่าน และ 2FA แต่ละอย่างแก้ไขส่วนต่างๆ ของปัญหา เมื่อชั้นหนึ่งถูกเลี่ยงหรือถูกละเมิด ชั้นอื่นๆ ก็ยังสามารถจำกัดความเสียหายได้

การสร้างกลยุทธ์ความเป็นส่วนตัวที่ไม่พึ่งพาจุดเดียว

การละเมิดข้อมูลของ Aura เป็นแรงกระตุ้นที่มีประโยชน์ให้ทบทวนวิธีที่คุณคิดเกี่ยวกับการตั้งค่าความเป็นส่วนตัวของตัวเอง แทนที่จะพึ่งพาแพลตฟอร์มเดียวในการจัดการทุกอย่าง แนวทางที่ใช้งานได้จริงคือการรวมเครื่องมือที่แต่ละอย่างทำสิ่งหนึ่งได้ดี

VPN อย่าง hide.me ปกป้องการรับส่งข้อมูลเครือข่ายของคุณและปิดบังที่อยู่ IP ของคุณ ซึ่งหมายความว่าแม้ข้อมูลติดต่อของคุณจะรั่วไหลออกไป กิจกรรมการท่องเว็บและตำแหน่งที่ตั้งที่แท้จริงของคุณก็จะไม่ถูกบันทึกและเปิดเผยโดยบริการที่คุณใช้ นี่เป็นส่วนหนึ่งของภาพรวมที่กว้างกว่า ซึ่งรวมถึงแนวปฏิบัติการยืนยันตัวตนที่แข็งแกร่ง และการตัดสินใจอย่างรอบคอบเกี่ยวกับข้อมูลที่คุณมอบให้กับบุคคลที่สามตั้ง