Equifax-datalek bedreigt persoonlijke gegevens van 143 miljoen Amerikanen

Na het enorme datalek dat Equifax begin september aan het publiek bekendmaakte, is er nieuws verschenen over een tweede, eerdere aanval op de kredietinstelling. Hoewel het oorspronkelijk slechts een gerucht uit anonieme bronnen was, bevestigde Equifax op 19 september het bericht secundaire hack, die in maart plaatsvond, hoewel het bedrijf ontkende dat het er iets mee te maken had grotere hack. Wat het nog erger maakt, is dat Equifax nu onbedoeld heeft bijgedragen aan een phishing-campagne door zijn klanten naar een phishing-site te sturen in plaats van naar zijn eigen portaal voor melding van inbreuken.

De keten van gebeurtenissen tot nu toe

Zoals oorspronkelijk gerapporteerd door de New York Times, De eerste cyberaanval waarover we hoorden vond plaats ergens tussen midden mei 2017 en 29 juli, toen de inbraak werd ontdekt. Wat de Equifax-aanval bijzonder lastig maakt, is de status van het bedrijf als centraal verrekenkantoor voor gevoelige kredietgerelateerde zaken informatie, waaronder burgerservicenummers, rijbewijsnummers en andere gegevens die op verschillende manieren kunnen worden gebruikt om deze te schaden aangetast.

Het eerdere datalek bij Equifax zou in maart hebben plaatsgevonden en al beweert Equifax dat dit wel het geval is De eerdere hack had niets te maken met de hack die later in het jaar plaatsvond, zeggen sommige anonieme bronnen anders. In beide gevallen schakelde Equifax echter de hulp in van digitaal beveiligingsbedrijf Mandiant om onderzoek te doen.

Op 2 oktober maakte Equifax bekend dat Mandiant zijn forensisch onderzoek naar deze kwestie had afgerond de inbreuk van 7 september, en dat nog eens 2,5 miljoen Amerikanen mogelijk door de inbreuk zijn getroffen hacken. Dit brengt het totale aantal getroffen mensen op 145,5 miljoen. Mandiant vond echter geen verder bewijs van nieuwe hackactiviteiten. Bovendien lijkt het erop dat de impact van de inbreuk zich niet verder uitstrekte dan Noord-Amerika; mogelijk zijn ook ongeveer 8.000 Canadezen (niet 100.000 zoals eerder werd gedacht) getroffen.

“Zondag kreeg ik te horen dat er een analyse is gemaakt van het aantal consumenten dat mogelijk door het cyberveiligheidsincident wordt getroffen afgerond en ik heb opdracht gegeven dat de resultaten onmiddellijk bekend worden gemaakt”, aldus de nieuw aangestelde interim-CEO, Paulino do Rego Barros, Jr. gezegd. “Onze prioriteiten zijn transparantie en het verbeteren van de steun voor consumenten. Ik zal onze voortgang dagelijks blijven volgen.”

In een schriftelijke getuigenis zei voormalig CEO Richard Smith tegen het Energy and Commerce Committee: “Het lijkt erop dat de inbreuk plaatsvond vanwege zowel menselijke fouten als technologische tekortkomingen.”

Onlangs toegevoegd de zaken erger maken, stuurde het Twitter-account van Equifax onlangs klanten naar de site ‘securityequifax2017.com’, een nepsite die duidelijk het webadres van de echte site uitspeelt: equifaxsecurity2017.com. De tweet is inmiddels uiteraard verwijderd, maar dit is niet de eerste keer dat Equifax mensen naar de phishing-site stuurt. Houd er rekening mee dat Google Chrome de nepsite nu als misleidend markeert.

Mark Coppock/Digitale trends

Welke gegevens zijn gestolen?

Hoewel het op dit moment onwaarschijnlijk lijkt dat er bij de oorspronkelijke hack nog meer persoonlijke informatie van Equifax-klanten is gestolen, roept dit serieuze vragen op over de reactie van het bedrijf. Het is mogelijk dat de wet van Equifax verlangde dat hij er veel eerder informatie over vrijgaf dan het bedrijf deed, en dit De ontwikkeling werpt een nog scherper licht op enkele van de verdachte aandelenverkopen door leidinggevenden van Equifax Augustus.

Het Amerikaanse ministerie van Justitie heeft een strafrechtelijk onderzoek geopend naar de aandelenverkopen Bloomberg-bronnen.

Hoewel de inbreuken op Equifax niet de grootste zijn in termen van het aantal slachtoffers – Bij de aanvallen van Yahoo waren meer mensen betrokken, en de HBO One heeft nog meer spoilers gedumpt – het is zorgwekkend vanwege het soort persoonlijke informatie dat is gestolen. Voorbeelden van gevoelige informatie zijn onder meer 209.000 creditcardnummers, persoonlijke informatie met betrekking tot kredietgeschillen voor 182.000 slachtoffers en gegevens die verder kunnen worden gebruikt om toegang te krijgen medische geschiedenissen, bankrekeningen en meer.

Op 15 septemberEquifax heeft meer informatie vrijgegeven over de hack en merkte ook op dat twee senior managers de Chief Information Officer zijn en Chief Security Officer ‘met pensioen gingen’. Gezien de recente gebeurtenissen is er echter waarschijnlijk meer aan de hand dan alleen pensioen. Equifax onthulde verder dat het interne onderzoek nog steeds aan de gang is en dat het bedrijf “bij zijn onderzoek nauw blijft samenwerken met de FBI.” Tot nu toe is dat zo geweest onthulde dat Equifax voor het eerst verdachte activiteiten opmerkte op 29 juli 2017, maar wachtte tot 2 augustus om contact op te nemen met een cyberbeveiligingsbedrijf en een “uitgebreid forensisch onderzoek” uit te voeren.

Zoals Pamela Dixon, uitvoerend directeur van de non-profit onderzoeksgroep World Privacy Forum, in een verklaring zei: “Dit is ongeveer zo erg als maar kan. Als u een kredietrapport heeft, is de kans groot dat u zich in deze inbreuk bevindt. De kansen zijn veel beter dan 50 procent.”

Wat moet eraan gedaan worden?

Volgens een persbericht uitgegeven door het kantoor van senator Mark Warner (D. Virginia) roept de Equifax-aanval belangrijke vragen op over de rol van de overheid bij het reageren op de voortdurende dreiging van persoonlijke informatie.

“Hoewel velen misschien gewend zijn geraakt aan het horen van een nieuw datalek om de paar weken, is de omvang van dit lek – waarbij de sociale zekerheid betrokken is geboortedata, adressen en creditcardnummers van bijna de helft van de Amerikaanse bevolking – roept serieuze vragen op over de vraag of het Congres niet alleen een uniforme standaard voor het melden van datalekken creëren, maar ook of het Congres het gegevensbeschermingsbeleid moet heroverwegen, zodat bedrijven zoals Equifax hebben minder prikkels om grote, gecentraliseerde sets zeer gevoelige gegevens zoals SSN's en creditcardgegevens te verzamelen over miljoenen Amerikanen.”

Door dergelijke aanvallen “een reële bedreiging voor de economische veiligheid van de Amerikanen” te noemen, is het waarschijnlijk dat Warren en... andere overheidsfunctionarissen zullen aandringen op wetgeving die een sterkere consumentenbescherming tegen gegevens creëert diefstal. Warner heeft gewerkt aan de ontwikkeling van precies dat soort wetgeving, en dat zal waarschijnlijk nog sneller gaan.

Equifax zal ook schriftelijke kennisgevingen sturen naar alle mogelijk getroffen Amerikaanse consumenten, en de online tool die mensen kunnen gebruiken om hun risico te bepalen is ook bijgewerkt.

“Ik wil nogmaals mijn excuses aanbieden aan alle getroffen consumenten. Nu deze belangrijke fase van ons werk is voltooid, blijven we talloze stappen ondernemen om onze cyberbeveiligingspraktijken te herzien en te verbeteren. We blijven ook nauw samenwerken met ons interne team en externe adviseurs om beveiligingsverbeteringen op de lange termijn te implementeren en te versnellen”, voegde Barros begin oktober toe.

Ga naar equifaxsecurity2017.com naar kom meer te weten over de aanval, Ontdek of u getroffen bent, En schrijf u in voor gratis bescherming tegen identiteitsdiefstal en bestandsbewakingsdiensten.

Bijgewerkt: Equifax heeft vernomen dat nog eens 2,5 miljoen Amerikanen mogelijk door de inbreuk zijn getroffen.

Aanbevelingen van de redactie

• Bij Hack waren de gegevens van de gehele bevolking van een land betrokken
• Hackers hebben 1,5 miljoen dollar gestolen met behulp van creditcardgegevens die op het dark web zijn gekocht
• Een datalek kan miljoenen dollars kosten, en mogelijk moet u daarvoor betalen
• Hacker steelt de gegevens van 1 miljard mensen in een ongekend datalek
• Hackers hadden het op AMD gemunt om 450 GB aan uiterst geheime gegevens te stelen