การละเมิดข้อมูลของ Aura เปิดเผยบันทึกข้อมูลติดต่อกว่า 900,000 รายการ
Aura บริษัทที่นำเสนอตัวเองในฐานะบริการด้านความปลอดภัยออนไลน์และการปกป้องข้อมูลส่วนตัว ได้ยืนยันการละเมิดข้อมูลครั้งสำคัญที่ส่งผลกระทบต่อบันทึกข้อมูลติดต่อประมาณ 900,000 รายการ เหตุการณ์นี้เป็นการเตือนใจที่ชัดเจนว่าไม่มีบริการใดที่จะปลอดภัยจากการโจมตีได้อย่างสมบูรณ์ ไม่ว่าจะสัญญาว่าจะปกป้องคุณจากอะไรก็ตาม โดยเชื่อว่ากลุ่มแฮกเกอร์ ShinyHunters ซึ่งเป็นที่รู้จักจากปฏิบัติการขโมยข้อมูลระดับไฮโปรไฟล์หลายครั้ง เป็นผู้รับผิดชอบต่อเหตุการณ์นี้
สิ่งที่เกิดขึ้นในการละเมิดข้อมูลของ Aura
การละเมิดข้อมูลครั้งนี้ไม่ได้เกิดจากการใช้ช่องโหว่แบบ zero-day ที่ซับซ้อน หรือจากข้อบกพร่องในโครงสร้างพื้นฐานหลักของ Aura แต่เริ่มต้นจากการโจมตีด้วยการหลอกลวงทางโทรศัพท์แบบมุ่งเป้า หรือที่เรียกว่า vishing ซึ่งมุ่งเป้าไปยังพนักงานคนหนึ่งของบริษัท บุคคลที่ไม่ได้รับอนุญาตได้หลอกล่อพนักงานคนดังกล่าวให้เปิดทางเข้าถึงระบบ และจากนั้น บันทึกข้อมูลติดต่อประมาณ 900,000 รายการก็ถูกเปิดเผย
ข้อมูลที่ถูกละเมิดประกอบด้วย:
- ชื่อ-นามสกุล
- ที่อยู่อีเมล
- ที่อยู่ IP
- หมายเลขโทรศัพท์
- ที่อยู่บ้าน
- ความคิดเห็นจากการบริการลูกค้า
หมวดหมู่สุดท้ายนี้ควรได้รับความสนใจเป็นพิเศษ บันทึกการบริการลูกค้ามักมีข้อมูลที่มีความละเอียดอ่อน รวมถึงรายละเอียดเกี่ยวกับปัญหาบัญชี ข้อกังวลด้านตัวตน หรือสถานการณ์ส่วนตัวที่ผู้คนแบ่งปันขณะขอความช่วยเหลือ หากข้อมูลเหล่านี้ตกไปอยู่ในมือของคนไม่หวังดี อาจถูกนำไปใช้สร้างการหลอกลวงติดตามผลที่ดูน่าเชื่อถืออย่างมาก
เหตุใดการละเมิดข้อมูลครั้งนี้จึงเจ็บปวดเป็นพิเศษ
การละเมิดข้อมูลส่วนใหญ่มักเกิดกับบริษัทที่จัดการข้อมูลละเอียดอ่อนในฐานะผลพลอยได้จากการให้บริการ ธนาคารเก็บบันทึกทางการเงิน ร้านค้าเก็บข้อมูลการชำระเงิน แต่ Aura โปรโมตตัวเองว่าเป็นแพลตฟอร์มด้านความเป็นส่วนตัวและความปลอดภัยโดยเฉพาะ ผู้ที่สมัครใช้บริการประเภทนี้มักกังวลเรื่องการโจรกรรมข้อมูลส่วนตัวและการเปิดเผยข้อมูลออนไลน์อยู่แล้ว และพวกเขาจ่ายเงินเพื่อการปกป้อง
การที่ผู้โจมตีสามารถเลี่ยงผ่านการป้องกันของ Aura ด้วยการโทรศัพท์เพียงครั้งเดียวไปยังพนักงาน แสดงให้เห็นสิ่งสำคัญประการหนึ่ง นั่นคือ ปัจจัยมนุษย์ยังคงเป็นจุดเข้าถึงที่ถูกเอารัดเอาเปรียบมากที่สุดในเหตุการณ์ด้านความปลอดภัย แม้จะมีการควบคุมทางเทคนิค ไฟร์วอลล์ และการเข้ารหัสครบถ้วน แต่การโทรศัพท์เพื่อวิศวกรรมสังคมที่มาในเวลาที่เหมาะสมก็ยังเปิดประตูได้อยู่ดี
ShinyHunters เชื่อมโยงกับการละเมิดข้อมูลขนาดใหญ่หลายครั้ง รวมถึงการโจมตี Ticketmaster, Santander Bank และอื่นๆ วิธีการของพวกเขามักมุ่งเป้าไปยังเส้นทางที่มีการต้านทานน้อยที่สุด และในกรณีนี้ เส้นทางนั้นคือบุคคลคนหนึ่ง
สิ่งที่ควรทำสำหรับคุณ
หากคุณเป็นลูกค้าของ Aura คุณควรถือว่าข้อมูลติดต่อของคุณถูกเปิดเผยแล้ว และดำเนินการตามนั้น ซึ่งหมายความว่า:
ระวังการพยายาม phishing เมื่อชื่อ อีเมล หมายเลขโทรศัพท์ และที่อยู่บ้านของคุณอาจหมุนเวียนอยู่ในมือของผู้ไม่หวังดี พวกเขามีทุกสิ่งที่จำเป็นในการสร้างอีเมลหรือสายโทรศัพท์แอบอ้างที่ดูน่าเชื่อถือ จงสงสัยการติดต่อโดยไม่ได้ร้องขอทุกรูปแบบที่อ้างว่ามาจาก Aura หรือบริการที่เกี่ยวข้อง
อย่าใช้รหัสผ่านซ้ำ หากคุณใช้รหัสผ่านเดียวกันสำหรับ Aura และบัญชีอื่นๆ ให้เปลี่ยนรหัสผ่านเหล่านั้นทันที โปรแกรมจัดการรหัสผ่านช่วยให้การจัดการนี้ง่ายขึ้นอย่างมากสำหรับหลายบริการ
เปิดใช้งานการยืนยันตัวตนสองขั้นตอนทุกที่ แม้ว่าผู้โจมตีจะมีที่อยู่อีเมลและรหัสผ่านของคุณ การยืนยันตัวตนสองขั้นตอน (2FA) ก็เพิ่มชั้นการป้องกันที่หยุดยั้งการโจมตีอัตโนมัติส่วนใหญ่ได้
พิจารณาข้อมูลที่คุณแบ่งปันกับบริการใดๆ ยิ่งบริษัทมีข้อมูลเกี่ยวกับคุณน้อยเท่าไหร่ ก็ยิ่งมีข้อมูลน้อยที่จะถูกเปิดเผยหากมีสิ่งผิดพลาด การละเมิดข้อมูลครั้งนี้เป็นข้อโต้แย้งเชิงปฏิบัติสำหรับการลดข้อมูลให้เหลือน้อยที่สุด
เหตุการณ์นี้ยังตอกย้ำประเด็นที่กว้างขึ้นเกี่ยวกับการรักษาความปลอดภัยแบบหลายชั้น ไม่มีบริการหรือเครื่องมือเดียวที่ให้การป้องกันที่สมบูรณ์ บริการติดตามตัวตน VPN โปรแกรมจัดการรหัสผ่าน และ 2FA แต่ละอย่างแก้ไขส่วนต่างๆ ของปัญหา เมื่อชั้นหนึ่งถูกเลี่ยงหรือถูกละเมิด ชั้นอื่นๆ ก็ยังสามารถจำกัดความเสียหายได้
การสร้างกลยุทธ์ความเป็นส่วนตัวที่ไม่พึ่งพาจุดเดียว
การละเมิดข้อมูลของ Aura เป็นแรงกระตุ้นที่มีประโยชน์ให้ทบทวนวิธีที่คุณคิดเกี่ยวกับการตั้งค่าความเป็นส่วนตัวของตัวเอง แทนที่จะพึ่งพาแพลตฟอร์มเดียวในการจัดการทุกอย่าง แนวทางที่ใช้งานได้จริงคือการรวมเครื่องมือที่แต่ละอย่างทำสิ่งหนึ่งได้ดี
VPN อย่าง hide.me ปกป้องการรับส่งข้อมูลเครือข่ายของคุณและปิดบังที่อยู่ IP ของคุณ ซึ่งหมายความว่าแม้ข้อมูลติดต่อของคุณจะรั่วไหลออกไป กิจกรรมการท่องเว็บและตำแหน่งที่ตั้งที่แท้จริงของคุณก็จะไม่ถูกบันทึกและเปิดเผยโดยบริการที่คุณใช้ นี่เป็นส่วนหนึ่งของภาพรวมที่กว้างกว่า ซึ่งรวมถึงแนวปฏิบัติการยืนยันตัวตนที่แข็งแกร่ง และการตัดสินใจอย่างรอบคอบเกี่ยวกับข้อมูลที่คุณมอบให้กับบุคคลที่สามตั้ง




