З'являється нове попередження моніторингу витоків
Публікація, оприлюднена HackNotice, сервісом, який відстежує розмови про витоки даних на сайтах витоків, форумах та інших публічних потоках даних, позначила твердження під назвою "[DATABASE DUMP] abank.com Full Core Database Leaked Online." Як це зазвичай буває з такими автоматизованими попередженнями моніторингу, сам допис містить дуже мало підтверджених деталей: жодної кількості записів, жодної підтвердженої дати ймовірного витоку та жодного незалежного підтвердження від самої abank.com чи від стороннього дослідника з кібербезпеки.
Цей розрив між "твердження було позначене" та "витік було підтверджено" варто на мить осмислити, оскільки він визначає, як читачам слід реагувати. Заявлена мета HackNotice — моніторинг exposure, які можуть знизити безпеку клієнтів і розкрити цифрові ідентичності, що є цінною функцією раннього попередження. Але попередження — це не те саме, що підтверджений звіт про інцидент, і фінансові установи зокрема є частими цілями як справжніх витоків, так і сфабрикованих або перебільшених тверджень, покликаних привернути увагу на форумах кіберзлочинців.
Чому твердження про "основну базу даних" важливі для клієнтів банків
Коли твердження посилається на "повну основну базу даних", це зазвичай означає тип даних, на які банк покладається для щоденної діяльності: записи про особу клієнтів, номери рахунків, баланси, історії транзакцій та потенційно дані автентифікації. Якби таке твердження було підтверджено, exposure знаходився б на серйознішому кінці спектру витоків, оскільки банківські дані поєднують потенціал фінансової шкоди з ризиком крадіжки особи в одному пакеті.
Це не перший випадок, коли заявлений дамп бази даних, пов'язаний з фінансовою чи корпоративною структурою, з'явився на форумах, які відвідують загрозливі актори, перш ніж факти були встановлені. Схожа ситуація розгорталася з витоком SplitVPN, коли велика база даних почала циркулювати на форумі кіберзлочинців і змусила сторонніх спостерігачів ретельно вивчати заяви провайдера, а не сприймати витік за чисту монету. Урок із того випадку застосовний і тут: твердження про витік "основної бази даних" заслуговують на ретельну перевірку, перш ніж хтось припустить найгірше, але їх також не слід відкидати відразу лише тому, що підтвердження ще очікується.
Також корисно розуміти масштаб середовища, з якого виникають ці твердження. Інструменти відстеження витоків продемонстрували величезні обсяги скомпрометованих акаунтів, що накопичуються за короткі проміжки часу. Нещодавні дані, наприклад, показали, що Франція досягла 43,4 мільйона викрадених акаунтів лише за шість місяців, нагадуючи, що будь-яке окреме неперевірене твердження є частиною набагато більшого, постійного потоку розмов про витоки, справжніх і не дуже, крізь який дослідники з безпеки мають просіювати щодня.
Проблема верифікації витоків із форумних джерел
Багато тверджень про дампи баз даних походять з підпільних форумів, де загрозливі актори публікують зразки, повні дампи або просто сфабриковані оголошення, щоб побудувати репутацію чи отримати оплату від покупців. Схожа динаміка проявилася в окремому інциденті за участю загрозливого актора, відомого як Frouzenx, який злив дані співробітників Syscorp із розкритими RUT ID на форумах, популярних серед кіберзлочинців. У таких випадках дослідники могли вказати на конкретні поля даних і названу компанію-джерело, надаючи твердженню більшої ваги, ніж голий заголовок попередження.
Щодо твердження про abank.com, загальнодоступне резюме не містить такого рівня конкретики. Немає підтвердження того, які поля були розкриті, скільки клієнтів може бути порушено, або чи визнала компанія, що працює під цим доменом, будь-який інцидент. Доки не з'явиться один із цих доказів, відповідальним формулюванням є те, що це неперевірене твердження під моніторингом, а не підтверджений витік.
Що це означає для вас
Якщо ви обслуговуєтеся в установі, яка могла б правдоподібно бути пов'язана з таким твердженням, сама невизначеність є причиною зробити кілька запобіжних кроків, а не чекати повного підтвердження. Уважно стежте за виписками по рахунках і сповіщеннями про транзакції протягом наступних тижнів. Ставтеся скептично до неочікуваних електронних листів, текстових повідомлень або дзвінків, які стверджують, що вони від вашого банку, оскільки загрозливі актори часто використовують розмови про витоки, підтверджені чи ні, як приманку для фішингових кампаній. Якщо ви повторно використовуєте паролі для фінансових і нефінансових акаунтів, це гарний момент, щоб змінити їх і увімкнути багатофакторну автентифікацію всюди, де вона пропонується.
Також варто пам'ятати, що exposure конфіденційних даних не обмежуються банківською сферою. Витоки, пов'язані з медичними записами, як-от витік у бразильській лікарні Di Camp, що розкрив ЕКГ та дані пацієнтів, показують, наскільки різноманітними можуть бути цілі таких дампів і наскільки важливо застосовувати однакові обережні звички верифікації незалежно від галузі.
Випереджаючи неперевірені твердження про витоки
Твердження про дамп бази даних abank.com наразі є саме цим: твердженням. Моніторинг HackNotice виявив його як частину ширшого відстеження потоків даних, пов'язаних з витоками та зливами, але жодної незалежної верифікації, офіційної заяви чи детального зразка даних не було оприлюднено на момент написання. Читачам слід ставитися до цього так, як фахівці з безпеки ставляться до більшості ранніх розмов про витоки: варте спостереження, не варте паніки.
Тим часом найкорисніше, що може зробити будь-який клієнт банку, — це контролювати те, що в межах досяжності. Стежте за своїми рахунками, посилюйте налаштування автентифікації та будьте пильними до фішингових спроб, які можуть намагатися скористатися заголовками про витоки. Якщо з'являться підтверджені деталі щодо цього конкретного твердження, чи від відповідного банку, дослідника з безпеки або надійного сервісу повідомлень про витоки, це буде моментом, коли слід переоцінити exposure і вжити більш цілеспрямованих заходів.
