La violazione dei dati di Equifax minaccia i dati personali di 143 milioni di americani

In seguito alla massiccia violazione dei dati che Equifax ha reso pubblica all'inizio di settembre, è emersa la notizia di un secondo e precedente attacco all'agenzia di credito. Sebbene in origine si trattasse solo di una voce proveniente da fonti anonime, il 19 settembre Equifax ha confermato la notizia hack secondario, avvenuto a marzo, anche se l'azienda ha negato di avere qualcosa a che fare con il hack più grande. Aggiungendo la beffa al danno, Equifax ha ora inavvertitamente contribuito a una campagna di phishing indirizzando i propri clienti a un sito di phishing anziché al proprio portale di notifica delle violazioni.

La catena degli eventi finora

Come originariamente riportato dal New York Times, il primo attacco informatico di cui siamo venuti a conoscenza è avvenuto tra la metà di maggio 2017 e il 29 luglio, quando è stata scoperta l'intrusione. Ciò che rende l’attacco Equifax particolarmente problematico è lo status della società come centro di compensazione centrale per i dati sensibili legati al credito informazioni tra cui numeri di previdenza sociale, numeri di patente di guida e altri dati che possono essere utilizzati in vari modi per danneggiarli ricercato.

Si dice che la precedente violazione dei dati presso Equifax sia avvenuta a marzo e sebbene Equifax affermi che ciò sia avvenuto l'hack precedente non aveva nulla a che fare con quello avvenuto più tardi nel corso dell'anno, hanno detto alcune fonti anonime Altrimenti. In entrambi i casi, tuttavia, Equifax si è avvalsa dei servizi della società di sicurezza digitale Mandiant per indagare.

Il 2 ottobre, Equifax ha annunciato che Mandiant aveva completato le sue indagini forensi in merito la violazione del 7 settembre, e che altri 2,5 milioni di americani potrebbero essere stati colpiti dalla violazione hackerare. Ciò porta il numero totale di persone colpite a 145,5 milioni. Tuttavia, Mandiant non ha trovato ulteriori prove di nuove attività di hacking. Inoltre, sembrerebbe che l’impatto della violazione non si sia esteso oltre il Nord America: potrebbero essere stati colpiti anche circa 8.000 canadesi (non 100.000 come si pensava in precedenza).

“Domenica mi è stato comunicato che è stata effettuata l'analisi del numero di consumatori potenzialmente colpiti dall'incidente di sicurezza informatica completato e ho ordinato che i risultati fossero pubblicati tempestivamente", ha dichiarato il nuovo CEO ad interim, Paulino do Rego Barros, Jr. disse. “Le nostre priorità sono la trasparenza e il miglioramento del sostegno ai consumatori. Continuerò a monitorare quotidianamente i nostri progressi”.

In una testimonianza scritta, l’ex amministratore delegato Richard Smith ha dichiarato al Comitato per l’energia e il commercio: “Sembra che la violazione sia avvenuta a causa sia di errori umani che di fallimenti tecnologici”.

Recentemente, aggiungendo la beffa oltre al danno, l'account Twitter di Equifax ha recentemente indirizzato i clienti al sito "securityequifax2017.com", un sito fasullo che riproduce chiaramente l'indirizzo web del sito reale: equifaxsecurity2017.com. Il tweet, ovviamente, è stato rimosso da allora, ma questa non è la prima volta che Equifax invia persone al sito di phishing. Tieni presente che Google Chrome ora contrassegna il sito falso come ingannevole.

Mark Coppock/Tendenze digitali

Quali dati sono stati rubati?

Anche se a questo punto sembra improbabile che siano state rubate ulteriori informazioni personali dei clienti Equifax nell’hacking originale, ciò solleva seri interrogativi sulla risposta dell’azienda. È possibile che la legge richieda a Equifax di rivelare informazioni al riguardo molto prima di quanto abbia fatto l'azienda e questo Lo sviluppo getta una luce ancora più dura su alcune delle sospette vendite di azioni effettuate dai dirigenti di Equifax nel Agosto.

Il Dipartimento di Giustizia degli Stati Uniti ha aperto un'indagine penale sulla vendita di azioni Fonti Bloomberg.

Sebbene le violazioni di Equifax non siano le più grandi in termini di numero di vittime, Gli attacchi di Yahoo hanno coinvolto più persone, e il HBO ha diffuso altri spoiler – è preoccupante a causa del tipo di informazioni personali che sono state rubate. Esempi di informazioni sensibili includono 209.000 numeri di carte di credito, informazioni personali relative a controversie creditizie per 182.000 vittime e dati che potrebbero essere ulteriormente utilizzati per accedere storie mediche, conti bancari e altro ancora.

SU 15 settembre, Equifax ha rilasciato ulteriori informazioni sull'hacking e ha anche notato che due dirigenti senior, il Chief Information Officer, hanno effettuato l'operazione e il Direttore della Sicurezza stavano “andando in pensione”. Considerati gli eventi recenti, tuttavia, è probabile che nella storia ci sia qualcosa di più del semplice la pensione. Equifax ha inoltre rivelato che la sua indagine interna è ancora in corso e che la società “continua a lavorare a stretto contatto con l’FBI nelle sue indagini”. Finora lo è stato ha rivelato che Equifax ha notato per la prima volta attività sospette il 29 luglio 2017, ma ha aspettato fino al 2 agosto per contattare una società di sicurezza informatica e condurre una “revisione forense completa”.

Come ha affermato in una dichiarazione Pamela Dixon, direttrice esecutiva del gruppo di ricerca senza scopo di lucro World Privacy Forum, “La situazione è quanto di più grave si possa immaginare. Se hai un rapporto di credito, è probabile che potresti essere in questa violazione. Le probabilità sono molto migliori del 50%”.

Cosa bisogna fare a riguardo?

Secondo un comunicato stampa diffuso dall'ufficio del senatore Mark Warner (D. Virginia), l’attacco Equifax solleva importanti interrogativi sul ruolo del governo nel rispondere alla continua minaccia alle informazioni personali.

“Mentre molti forse si sono abituati a sentire parlare di una nuova violazione dei dati ogni poche settimane, la portata di questa violazione – che coinvolge la previdenza sociale numeri, date di nascita, indirizzi e numeri di carte di credito di quasi la metà della popolazione degli Stati Uniti – solleva seri interrogativi sull’opportunità o meno del Congresso non solo creare uno standard uniforme di notifica della violazione dei dati, ma anche se il Congresso debba ripensare le politiche di protezione dei dati, in modo che le imprese come Equifax hanno meno incentivi a raccogliere grandi insiemi centralizzati di dati altamente sensibili come SSN e informazioni sulle carte di credito su milioni di americani”.

Nel definire tali attacchi “una vera minaccia alla sicurezza economica degli americani”, è probabile che Warren e altri funzionari governativi spingeranno per una legislazione che crei una maggiore protezione dei consumatori dai dati furto. La Warner ha lavorato allo sviluppo proprio di questo tipo di legislazione, ed è probabile che ciò subisca un’accelerazione.

Equifax invierà inoltre avvisi scritti a tutti i consumatori statunitensi potenzialmente interessati e anche lo strumento online che le persone possono utilizzare per determinare il proprio rischio è stato aggiornato.

“Voglio scusarmi nuovamente con tutti i consumatori colpiti. Poiché questa importante fase del nostro lavoro è ormai completata, continuiamo a intraprendere numerose azioni per rivedere e migliorare le nostre pratiche di sicurezza informatica. Continuiamo inoltre a lavorare a stretto contatto con il nostro team interno e con consulenti esterni per implementare e accelerare i miglioramenti della sicurezza a lungo termine”, ha aggiunto Barros all’inizio di ottobre.

Vai su equifaxsecurity2017.com a saperne di più sull'attacco, scopri se sei affetto, E iscriviti alla protezione gratuita dal furto di identità e servizi di monitoraggio dei file.

Aggiornamento: Equifax ha appreso che altri 2,5 milioni di americani potrebbero essere stati colpiti dalla violazione.

Raccomandazioni degli editori

• L’hacking ha coinvolto i dati dell’intera popolazione di una nazione
• Gli hacker hanno rubato 1,5 milioni di dollari utilizzando i dati delle carte di credito acquistati sul dark web
• Una violazione dei dati può costare milioni di dollari e potresti pagarne le conseguenze
• Un hacker ruba i dati di 1 miliardo di persone in una violazione dei dati senza precedenti
• Gli hacker hanno preso di mira AMD per rubare enormi 450 GB di dati top-secret