У новому звіті CyberStation повідомляється, що в даркнеті циркулюють 1,8 млн записів громадян Бангладеш. Це нагадування про те, що витік даних у даркнеті Бангладеш рідко є результатом одного драматичного інциденту. Найчастіше це повільне накопичення багатьох дрібніших витоків, які ніколи не зникають.

Стаття-джерело коротка, тому цей пост обмежується тим, що було повідомлено, і пояснює, що це означає для звичайних людей.

Що CyberStation виявила в даркнеті

Згідно зі звітом, державні послуги становили найбільшу частку викритих записів громадян. Технології та телекомунікації мали найвищі показники викриття, тобто ці сектори найчастіше з’являлися в даних, які переглянула CyberStation.

Головна цифра — 1,8 млн записів. Це велика кількість, але важливіша деталь — те, як вона була сформована. CyberStation не досліджувала одну витіклу базу даних. Вона переглянула дані, що циркулюють у даркнеті, і віднесла їх до низки джерел.

Звіт не підтвердив конкретного джерела витоку. Жодна компанія, установа чи інцидент не були названі як походження цих записів.

Чому дані походять з багатьох витоків, а не з одного

Імовірне пояснення, згідно зі звітом, полягає в тому, що записи походять з численних сторонніх витоків з часом. Іншими словами, це не свіжий витік, на який можна вказати й відреагувати. Це сукупність даних, що накопичилася з попередніх інцидентів.

Це важливо, тому що викрадені персональні дані не втрачають чинності, коли історія про витік зникає. Після копіювання записи можуть бути перепродані, об’єднані з іншими наборами даних і використовуватися роками. Ім’я та номер телефону з одного інциденту можна поєднати з адресою електронної пошти з іншого, створивши повніший профіль, ніж міг би дати будь-який окремий витік.

Це також пояснює, чому люди не можуть покладатися на одне повідомлення про витік, щоб дізнатися, чи їх це стосується. Якщо викриття походить від кількох не пов’язаних між собою третіх сторін, може не бути жодної організації, відповідальної за те, щоб вас повідомити. Ви можете взагалі ніколи не отримати повідомлення, навіть якщо ваші дані циркулюють.

Ця закономірність знайома й в інших місцях. Дані телекомунікаційних компаній та ідентифікаційні дані, що зберігаються державою, були ціллю в інших нещодавніх випадках, як-от витік в Odido, що торкнувся 6,5 млн клієнтів у Нідерландах і витік 18 млн записів ANTS ID у Франції. Це окремі події, і ніщо у звіті CyberStation не пов’язує їх із Бангладеш. Вони просто показують, як ті самі типи організацій зберігають дані, які атакуючі вважають цінними.

Чому цифра 1,8 млн може бути заниженою

CyberStation описує свої цифри як консервативні й зазначає, що фактичне викриття може бути більшим. Є кілька причин, чому це правдоподібно, хоча сам звіт слід вважати авторитетом щодо його власної методології.

Будь-який підрахунок даних у даркнеті залежить від того, що дослідники можуть знайти й до чого отримати доступ. Приватні форуми, закриті продажі та набори даних, що обмінюються безпосередньо між покупцями, виміряти важче. Записи, які перетинаються в кількох витоках, також ускладнюють підрахунок, оскільки одна й та сама особа може з’являтися більше ніж в одному джерелі.

Практичний висновок полягає в тому, що 1,8 млн слід читати як нижню межу, а не як верхню. Це знімок того, що було видимим, а не повний облік усього, що було викрито.

Що це означає для вас

Якщо ви живете в Бангладеш або користувалися бангладеськими державними, телекомунікаційними чи технологічними послугами, припускайте, що частина вашої інформації вже може бути в обігу. Це не привід для паніки, але це має змінити те, як ви захищаєте себе.

Основні ризики від такого виду викриття — це фішинг, SMS-шахрайство та спроби захоплення акаунтів. Атакуючі, які знають ваше ім’я, номер телефону чи електронну пошту, можуть створювати переконливі повідомлення, особливо якщо вони нібито надходять від телекомунікаційного провайдера чи державної установи.

Оскільки дані старі й розпорошені, найефективніші засоби захисту — ті, що працюють незалежно від того, з якого витоку походять ваші дані.

Як перевірити своє викриття та зменшити ризик

Почніть із перевірки, чи ваша адреса електронної пошти та номер телефону з’являються у відомих витоках. Надійні інструменти повідомлення про витоки дозволяють шукати за електронною поштою, а деякі охоплюють і номери телефонів. Збіг не означає, що вас зламали сьогодні, але він підказує, яким акаунтам варто приділити увагу.

Далі зміцніть свої акаунти:

  • Використовуйте унікальні паролі для кожного акаунта, ідеально — зберігаючи їх у менеджері паролів, щоб один старий витік не міг відкрити інші.
  • Увімкніть багатофакторну автентифікацію (MFA), бажано через застосунок-автентифікатор, а не SMS, де це можливо.
  • Ставтеся скептично до неочікуваних повідомлень, які згадують ваше ім’я, номер або дані акаунта. Звертайтеся до організації через офіційний канал, а не відповідайте.
  • Діліться меншою кількістю персональних даних з державними та телекомунікаційними службами. Надавайте лише те, що вимагається, і уникайте необов’язкових полів, які додають дані до того, що організація зберігає про вас.

Також варто пам’ятати, що викриття не обмежується одним сектором. Навіть кадрові агенції та комунальні компанії зазнавали атак, як видно з заявленого витоку в United Personnel, тому звичка обмежувати те, що ви передаєте, застосовується широко.

Ключові висновки

Звіт CyberStation показує, що витік даних у даркнеті Бангладеш — це постійний стан, а не окрема подія з чітким початком і кінцем. З 1,8 млн записів, пов’язаних із численними минулими сторонніми витоками, і цифрами, які можуть применшувати реальну кількість, очікування повідомлення не є надійною стратегією.

Перевірте, чи ваша електронна пошта та номер телефону з’являються у відомих витоках, перейдіть на унікальні паролі з MFA і діліться меншою кількістю персональних даних з державними та телекомунікаційними службами. Випадки Odido та ANTS показують, як ідентифікаційні дані, що зберігаються телекомунікаційними компаніями та державними установами, можуть бути викриті, тому зменшення того, що ви передаєте, — один із небагатьох кроків, повністю під вашим контролем.