Một vụ rò rỉ được báo cáo tại Bộ An ninh Nội địa Hoa Kỳ (DHS) đã đưa tên, số điện thoại và địa chỉ email của hơn 40.000 nhân viên vào vòng lưu hành. Vụ vi phạm dữ liệu DHS liên quan đến thông tin liên hệ của nhân viên này, theo báo cáo từ VOZ, là vụ rò rỉ dữ liệu chính phủ thứ ba gây chú ý trên các tiêu đề trong tháng qua. Bài báo nguồn còn thiếu chi tiết kỹ thuật, vì vậy bài viết này bám sát những gì đã được đưa tin và giải thích lý do tại sao loại dữ liệu này lại quan trọng, ngay cả khi nó trông có vẻ vô hại.
Những gì đã bị phơi bày trong vụ rò rỉ DHS
Dựa trên các báo cáo, thông tin bị phơi bày bao gồm hơn 40.000 nhân viên DHS và chỉ giới hạn ở ba loại dữ liệu: tên, số điện thoại và địa chỉ email. Báo cáo, trong tài liệu mà chúng tôi có được, không mô tả dữ liệu được thu thập như thế nào, ai đứng sau vụ việc, thời điểm xảy ra, hoặc liệu có liên quan đến các loại dữ liệu khác như số An sinh Xã hội hay hồ sơ tài chính hay không. Chúng tôi sẽ không suy đoán về những chi tiết đó.
Khoảng trống đó đáng để lưu ý. Các báo cáo ban đầu về vi phạm dữ liệu thường không đầy đủ, và phạm vi có thể thay đổi khi các cơ quan tiến hành điều tra. Hãy coi con số hiện tại là mức cơ sở được báo cáo chứ không phải con số cuối cùng, và theo dõi các tuyên bố chính thức từ DHS.
Một xu hướng rò rỉ dữ liệu chính phủ
Sự cố DHS không đứng riêng lẻ. Báo cáo mô tả đây là vụ rò rỉ dữ liệu chính phủ thứ ba gây chú ý trên các tiêu đề trong một tháng. Hai trường hợp gần đây khác được đưa tin trên vpn.social cung cấp bối cảnh hữu ích. Trong một vụ, FBI cho biết họ đang xử lý một vụ vi phạm liên quan đến dữ liệu nhạy cảm của nhân viên và cam kết truy đuổi những kẻ mà họ cho là có trách nhiệm. Trong vụ khác, chính quyền Pháp đã bắt giữ một thiếu niên 15 tuổi bị tình nghi tấn công ANTS, cơ quan quản lý giấy tờ tùy thân.
Những trường hợp này liên quan đến các cơ quan và quốc gia khác nhau, vì vậy chúng ta không nên cho rằng chúng có liên quan với nhau. Điểm chung của chúng là mục tiêu: các cơ sở dữ liệu lớn của khu vực công chứa đầy thông tin cá nhân về nhân viên hoặc công dân. Các cơ quan chính phủ nắm giữ dữ liệu có giá trị đối với tội phạm và, trong một số trường hợp, đối với các tác nhân thù địch, khiến họ trở thành mục tiêu dai dẳng.
Tại sao thông tin liên hệ lại tiếp tay cho lừa đảo phishing và kỹ thuật xã hội
Thật dễ có xu hướng xem nhẹ một vụ rò rỉ tên, số điện thoại và email. Không có mật khẩu hay dữ liệu tài chính, vậy thì có hại gì? Câu trả lời là dữ liệu liên hệ chính là nguyên liệu thô cho các cuộc tấn công có chủ đích.
Với một cái tên đã được xác minh, một địa chỉ email công việc và một số điện thoại gắn với một nhà tuyển dụng đã biết, kẻ tấn công có thể:
- Tạo ra các email lừa đảo phishing thuyết phục gọi tên người nhận và đề cập đến cơ quan của họ.
- Thực hiện các cuộc gọi lừa đảo qua thoại (vishing) giả danh bộ phận IT, đồng nghiệp hoặc nhà cung cấp.
- Gửi tin nhắn SMS mồi dẫn người nhận đến các trang đăng nhập giả.
- Mạo danh người trong nội bộ để khai thác thông tin từ đồng nghiệp, những người tin tưởng vào một cái tên nghe quen thuộc.
Đối với nhân viên của một cơ quan chuyên về an ninh, rủi ro là kẻ tấn công biết chính xác ai làm việc ở đó và cách liên lạc với họ. Ngay cả một số lượng nhỏ tin nhắn thành công cũng có thể giúp kẻ tấn công có được chỗ đứng. Rủi ro không chỉ giới hạn ở những nhân viên đó. Các thành viên gia đình, nhà thầu và bất kỳ ai liên lạc với nhân viên DHS đều có thể nhận được những tin nhắn trông như đến từ một nguồn đáng tin cậy.
Các vụ rò rỉ chỉ chứa thông tin liên hệ cũng có xu hướng bị tái sử dụng. Danh sách email và số điện thoại đã được xác minh có thể được kết hợp với dữ liệu từ các sự cố khác. Bài viết của chúng tôi về vụ phơi bày 49,4 triệu liên hệ doanh nghiệp của LimeLeads cho thấy cách các cơ sở dữ liệu liên hệ có thể lưu hành và được sử dụng rất lâu sau sự cố ban đầu.
Điều này có ý nghĩa gì đối với bạn
Bạn có thể không làm việc cho DHS, nhưng những bài học này áp dụng cho tất cả mọi người. Hầu hết chúng ta đều có tên, email và số điện thoại nằm trong nhiều cơ sở dữ liệu: nhà tuyển dụng, nhà bán lẻ, nhà môi giới dữ liệu và các cơ quan chính phủ. Khi một trong số đó bị vi phạm, cùng một kịch bản lừa đảo phishing sẽ được sử dụng chống lại những người bình thường.
Nếu bạn là nhân viên DHS hoặc làm việc với một nhân viên DHS, hãy dự kiến nhận được nhiều tin nhắn không mong muốn hơn bình thường và đối xử với các yêu cầu bất ngờ bằng sự nghi ngờ, ngay cả khi chúng sử dụng tên của bạn hoặc đề cập đến nơi làm việc của bạn. Nếu bạn không phải, hãy dùng điều này như một lời nhắc để xem xét lượng thông tin liên hệ của chính bạn đang được công khai và ai có thể liên lạc với bạn.
Cách giảm thiểu phơi bày dữ liệu cá nhân của chính bạn
Bạn không thể kiểm soát liệu một tổ chức có bị vi phạm hay không, nhưng bạn có thể hạn chế thiệt hại. Các bước thực tế bao gồm:
- Sử dụng bí danh email riêng biệt cho các dịch vụ khác nhau để một vụ rò rỉ ở một nơi không liên kết đến mọi thứ khác.
- Duy trì một số điện thoại riêng cho việc đăng ký và niêm yết công khai, thay vì số di động chính của bạn.
- Bật xác thực đa yếu tố, lý tưởng nhất là với ứng dụng xác thực hoặc khóa phần cứng thay vì SMS.
- Xác minh trước khi tin tưởng. Nếu một cuộc gọi, tin nhắn hay email yêu cầu thông tin đăng nhập hoặc hành động khẩn cấp, hãy liên hệ với tổ chức thông qua một kênh mà bạn đã biết là thật.
- Không nhấp vào liên kết trong những tin nhắn bất ngờ. Thay vào đó, hãy truy cập trực tiếp vào trang web.
- Kiểm tra các công cụ thông báo vi phạm dữ liệu để xem địa chỉ nào của bạn đã xuất hiện trong các vụ rò rỉ đã biết, và thay đổi mật khẩu tương ứng.
- Yêu cầu xóa khỏi các trang của nhà môi giới dữ liệu nơi thông tin của bạn được liệt kê.
Mục đích không phải là loại bỏ hoàn toàn việc phơi bày, điều đó không thực tế, mà là làm cho mỗi chi tiết bị rò rỉ trở nên ít hữu ích hơn đối với kẻ tấn công.
Kết luận
Vụ vi phạm dữ liệu DHS được báo cáo liên quan đến thông tin liên hệ của nhân viên có thể trông khiêm tốn so với các vụ rò rỉ bao gồm mật khẩu hoặc hồ sơ tài chính, nhưng dữ liệu liên hệ chính xác là thứ khiến phishing và kỹ thuật xã hội hoạt động hiệu quả. Với ba vụ rò rỉ chính phủ được báo cáo trong một tháng, đây là thời điểm hợp lý để kiểm tra xem thông tin liên hệ của chính bạn đang bị phơi bày ở đâu và siết chặt thói quen của bạn. Để có bối cảnh rộng hơn về xu hướng này, hãy đọc bài viết của chúng tôi về vụ vi phạm dữ liệu nhân viên FBI và vụ tấn công hồ sơ danh tính ANTS, sau đó dành vài phút để bảo vệ tài khoản của chính bạn.
