За повідомленнями, витік у Міністерстві внутрішньої безпеки США (DHS) призвів до потрапляння у відкритий обіг імен, номерів телефонів та електронних адрес понад 40 000 співробітників. Витік даних DHS з контактними даними співробітників, згідно з повідомленням VOZ, є третім витоком державних даних, який потрапив у заголовки за останній місяць. У вихідній статті бракує технічних деталей, тому цей матеріал обмежується тим, що було повідомлено, і пояснює, чому такі дані мають значення, навіть якщо вони виглядають нешкідливими.

Що було розкрито під час витоку в DHS

Згідно з повідомленням, розкрита інформація охоплює понад 40 000 співробітників DHS і обмежується трьома типами даних: іменами, номерами телефонів та електронними адресами. У матеріалах, доступних нам, звіт не описує, як були отримані дані, хто за цим стояв, коли це сталося або чи були задіяні інші категорії, як-от номери соціального страхування чи фінансові записи. Ми не будемо робити здогадів щодо цих деталей.

Цю прогалину варто відзначити. Ранні повідомлення про витоки часто є неповними, і масштаб може змінюватися в міру розслідування агенціями. Сприймайте поточну цифру як заявлену базову оцінку, а не остаточний підрахунок, і слідкуйте за офіційними заявами DHS.

Патерн витоків державних даних

Інцидент у DHS не є поодиноким. У звіті його подано як третій витік державних даних, що потрапив у заголовки за один місяць. Два інші нещодавні випадки, висвітлені на vpn.social, дають корисний контекст. В одному з них ФБР заявило, що вживає заходів щодо витоку, який стосується чутливих даних його співробітників, і пообіцяло переслідувати тих, кого вважає відповідальними. В іншому французька влада заарештувала 15-річного підлітка, підозрюваного у зламі ANTS — агенції, що керує документами, які посвідчують особу.

Ці випадки стосуються різних агенцій і країн, тому не слід припускати, що вони пов'язані. Спільним для них є ціль: великі бази даних державного сектора, наповнені персональною інформацією про співробітників або громадян. Державні органи зберігають дані, цінні для злочинців, а в деяких випадках — і для ворожих суб'єктів, що робить їх постійними цілями.

Чому контактні дані живлять фішинг і соціальну інженерію

Спокусливо знехтувати витоком імен, номерів телефонів та електронних адрес як чимось незначним. Жодних паролів чи фінансових даних — тож яка шкода? Відповідь полягає в тому, що контактні дані є сировиною для цільових атак.

Маючи підтверджене ім'я, робочу електронну адресу та номер телефону, прив'язаний до відомого роботодавця, зловмисник може:

  • Створювати переконливі фішингові листи, які звертаються до людини на ім'я та згадують її агенцію.
  • Здійснювати голосовий фішинг (вішинг), видаючи себе за IT-підтримку, колегу або постачальника.
  • Надсилати SMS-приманки, які скеровують одержувачів на підроблені сторінки входу.
  • Видавати себе за інсайдерів, щоб виманювати інформацію в колег, які довіряють знайомому імені.

Для співробітників агенції, що опікується безпекою, ризик полягає в тому, що зловмисники точно знають, хто там працює і як до них дістатися. Навіть невелика кількість успішних повідомлень може дати зловмиснику опору. Ризик не обмежується цими співробітниками. Члени родин, підрядники та всі, хто спілкується з персоналом DHS, можуть отримувати повідомлення, які виглядатимуть так, ніби надійшли з надійного джерела.

Витоки лише контактних даних також зазвичай використовуються повторно. Переліки підтверджених електронних адрес і номерів телефонів можна поєднувати з даними з інших інцидентів. Наш матеріал про витік LimeLeads, що розкрив 49,4 млн бізнес-контактів, показує, як контактні бази даних можуть циркулювати та використовуватися задовго після початкового інциденту.

Що це означає для вас

Можливо, ви не працюєте в DHS, але ці уроки стосуються кожного. У більшості з нас імена, електронні адреси та номери телефонів зберігаються в багатьох базах даних: роботодавців, рітейлерів, брокерів даних і державних установ. Коли одну з них зламують, той самий сценарій фішингу застосовують і проти звичайних людей.

Якщо ви співробітник DHS або працюєте з кимось із DHS, очікуйте більше небажаних повідомлень, ніж зазвичай, і ставтеся до неочікуваних запитів із підозрою, навіть якщо в них використовують ваше ім'я або згадують ваше місце роботи. Якщо ні, скористайтеся цим як приводом переглянути, скільки вашої власної контактної інформації є загальнодоступною і хто може з вами зв'язатися.

Як зменшити власну експозицію персональних даних

Ви не можете контролювати, чи буде зламано ту чи іншу організацію, але можете обмежити шкоду. Практичні кроки включають:

  1. Використовуйте унікальні псевдоніми електронної пошти для різних сервісів, щоб витік в одному місці не пов'язувався з усім іншим.
  2. Тримайте окремий номер телефону для реєстрацій і публічних оголошень, а не свій основний мобільний номер.
  3. Увімкніть багатофакторну автентифікацію, бажано за допомогою застосунку-автентифікатора або апаратного ключа, а не SMS.
  4. Перевіряйте, перш ніж довіряти. Якщо дзвінок, текстове повідомлення чи електронний лист вимагає облікових даних або термінових дій, зв'яжіться з організацією через канал, який ви вже знаєте як справжній.
  5. Не переходьте за посиланнями в неочікуваних повідомленнях. Натомість перейдіть на сайт безпосередньо.
  6. Перевіряйте інструменти сповіщень про витоки, щоб побачити, які з ваших адрес з'явилися у відомих витоках, і відповідно змінюйте паролі.
  7. Запитуйте видалення з сайтів брокерів даних, де вказані ваші дані.

Сенс не в тому, щоб усунути експозицію, що нереалістично, а в тому, щоб зробити кожну розкриту деталь менш корисною для зловмисника.

Головне

Заявлений витік даних DHS з контактними даними співробітників може виглядати скромно порівняно з витоками, що містять паролі чи фінансові записи, але саме контактні дані роблять фішинг і соціальну інженерію дієвими. З огляду на три витоки державних даних, про які повідомлялося за місяць, зараз слушний час перевірити, де розкриті ваші власні контактні дані, і вдосконалити свої звички. Для ширшого контексту щодо цього патерну прочитайте наші матеріали про витік даних співробітників ФБР та злам записів, що посвідчують особу, в ANTS, а потім приділіть кілька хвилин захисту власних акаунтів.