Nghiên Cứu Phát Hiện Khiếu Nại Vụ Rò Rỉ Dữ Liệu Carhartt Bị Thổi Phồng Bởi Dữ Liệu Giả Tạo

Yêu Cầu 3,3 Triệu USD và Vụ Rò Rỉ 50GB

Vụ rò rỉ dữ liệu Carhartt vừa có diễn biến mới trong tháng này khi các nhà nghiên cứu bảo mật xác định rằng một phần đáng kể dữ liệu bị rò rỉ là dữ liệu giả tạo thay vì thông tin khách hàng thật. Nhóm tống tiền ShinyHunters đã tuyên bố rò rỉ 50GB dữ liệu của Carhartt vào ngày 13 tháng 8, sau một cuộc đàm phán thất bại sau yêu cầu tiền chuộc ban đầu là 3,3 triệu USD. Khi Carhartt được cho là đã từ chối trả tiền, nhóm này đã công khai bộ dữ liệu, trình bày đó như bằng chứng về một vụ xâm nhập lớn.

Thoạt nhìn, vụ rò rỉ có vẻ rất lớn. Nhưng cũng như nhiều khiếu nại vi phạm dữ liệu do tống tiền, kích thước tệp thô và số lượng bản ghi chỉ kể một phần câu chuyện. Khi xem xét kỹ thuật kỹ lưỡng hơn, người ta phát hiện dữ liệu bao gồm các mục giả mạo hoặc trùng lặp, nghĩa là phạm vi thực sự của thông tin cá nhân bị lộ nhỏ hơn đáng kể so với những gì ShinyHunters quảng cáo.

Cách Các Nhà Phân Tích Phát Hiện Các Con Số Bị Thổi Phồng

Mô hình này không mới. Như đã đề cập trong báo cáo trước đây của chúng tôi về khiếu nại vụ rò rỉ Carhartt bị cắt giảm một nửa sau khi Troy Hunt xem xét, việc xác minh độc lập thường là cách duy nhất để tách biệt một vụ vi phạm thực sự khỏi một chiến thuật tống tiền thổi phồng. Các nhà nghiên cứu đã kiểm tra các tệp bị rò rỉ và chạy chúng qua các công cụ loại bỏ trùng lặp và xác thực được thiết kế để gắn cờ các bản ghi giả hoặc tự động tạo, những thứ như tên miền email vô nghĩa, các mẫu địa chỉ lặp lại, hoặc các mục không tương ứng với bất kỳ tài khoản thực nào.

Kết quả là số lượng cá nhân bị ảnh hưởng được xác nhận đã giảm đáng kể sau khi loại bỏ các bản ghi giả tạo và trùng lặp. Điều này không có nghĩa là không có dữ liệu thật nào bị lộ. Nó có nghĩa là số lượng khách hàng thực sự bị ảnh hưởng thấp hơn nhiều so với con số tiêu đề mà ShinyHunters dùng để gây áp lực lên Carhartt và thu hút sự chú ý của truyền thông.

Chiến thuật này phục vụ mục đích kép cho các tác nhân đe dọa. Kích thước tệp lớn hơn, đáng báo động hơn khiến mối đe dọa tống tiền trông có vẻ đáng tin cậy và gây thiệt hại hơn, tăng áp lực lên công ty nạn nhân phải trả tiền. Nó cũng tạo ra sự đưa tin vượt trội từ báo chí, điều mà các nhóm tống tiền thường dùng làm đòn bẩy trong các cuộc đàm phán trong tương lai với các mục tiêu khác. Việc nhồi dữ liệu giả tạo vào vụ rò rỉ khiến kẻ tấn công tốn ít chi phí nhưng có thể thay đổi đáng kể nhận thức của công chúng về mức độ nghiêm trọng của một sự cố.

Tại Sao Điều Này Quan Trọng Đối Với Quyền Riêng Tư, Không Chỉ Vì Các Tiêu Đề

Ý nghĩa về quyền riêng tư ở đây tinh tế hơn một câu chuyện vi phạm điển hình. Khi các khiếu nại vi phạm bị thổi phồng, hai điều xảy ra cùng lúc. Thứ nhất, công chúng và thậm chí cả các chuyên gia bảo mật có thể đánh giá quá cao lượng dữ liệu cá nhân thật đang bị phát tán, dẫn đến hoảng loạn không cần thiết hoặc các nỗ lực ứng phó sai hướng. Thứ hai, và quan trọng hơn, nó có thể khiến các nạn nhân thực sự, những người có dữ liệu thực sự được đưa vào và xác minh, bị lạc lối trong sự ồn ào của một câu chuyện bị chi phối bởi những con số phóng đại.

Đối với một công ty như Carhartt, sự cố này cũng minh họa rủi ro danh tiếng đi kèm với bất kỳ nỗ lực tống tiền nào, bất kể có bao nhiêu dữ liệu được tuyên bố hóa ra là xác thực. Một khi nhóm đe dọa công bố vụ vi phạm và con số tiền chuộc, câu chuyện lan truyền nhanh chóng, và việc đính chính sau đó hiếm khi nhận được sự chú ý tương đương như khiếu nại ban đầu.

Điều Này Có Ý Nghĩa Gì Đối Với Bạn

Nếu bạn là khách hàng hoặc nhân viên của Carhartt và đang tự hỏi liệu thông tin của mình có nằm trong vụ vi phạm này hay không, cách tiếp cận an toàn nhất là coi mọi khả năng lộ dữ liệu là có thể chứ không phải chắc chắn, mà không giả định các con số xấu nhất được báo cáo vào thời điểm đỉnh điểm của vụ tống tiền. Các bản ghi thật được cho là đã nằm trong vụ rò rỉ cùng với các bản ghi giả tạo, vì vậy việc xác minh quan trọng hơn tổng kích thước tệp hoặc số lượng bản ghi mà ShinyHunters công bố.

Rộng hơn, sự cố này là lời nhắc nhở rằng các khiếu nại vi phạm từ các nhóm tống tiền luôn phải được coi là chưa được xác minh cho đến khi các nhà phân tích độc lập hoặc công ty bị ảnh hưởng xác nhận chi tiết cụ thể. Yêu cầu tiền chuộc và công bố rò rỉ gây sốc một phần là chiến thuật gây áp lực, và các con số đi kèm không phải lúc nào cũng đáng tin cậy.

Các Điểm Hành Động Cụ Thể

• Đừng hoảng loạn chỉ dựa trên các con số tiêu đề về vụ vi phạm; hãy chờ phân tích đã được xác minh trước khi giả định dữ liệu của bạn đã bị lộ.
• Nếu bạn có tài khoản Carhartt, hãy cân nhắc đổi mật khẩu và bật xác thực hai yếu tố nếu có.
• Cảnh giác với các nỗ lực lừa đảo đề cập đến vụ vi phạm, vì kẻ tấn công thường lợi dụng tin tức vi phạm công khai để lừa nạn nhân tiết lộ thêm thông tin.
• Sử dụng trình quản lý mật khẩu để tránh tái sử dụng thông tin đăng nhập trên các trang web khác nhau, hạn chế thiệt hại nếu bất kỳ tài khoản nào bị xâm phạm.
• Hãy hoài nghi về các khiếu nại của nhóm tống tiền cho đến khi được các nhà nghiên cứu độc lập xác nhận, vì các con số bị thổi phồng là một chiến thuật đàm phán đã biết.