Naruszenie danych Equifax zagraża danym osobowym 143 milionów Amerykanów

Po masowym naruszeniu danych, które Equifax ujawnił opinii publicznej na początku września, pojawiły się wieści o drugim, wcześniejszym ataku na agencję kredytową. Choć pierwotnie była to tylko plotka z anonimowych źródeł, 19 września Equifax potwierdził tę informację wtórne włamanie, które miało miejsce w marcu, choć firma zaprzeczyła, że ​​miało to cokolwiek wspólnego z większy hack. Dodając obrazę do krzywdy, firma Equifax nieumyślnie przyczyniła się do kampanii phishingowej, wysyłając swoich klientów do witryny phishingowej, a nie do własnego portalu powiadamiania o naruszeniach.

Dotychczasowy łańcuch wydarzeń

Jak pierwotnie doniósł „New York Times”, pierwszy cyberatak, o którym się dowiedzieliśmy, miał miejsce pomiędzy połową maja 2017 r. a 29 lipca, kiedy wykryto włamanie. Tym, co sprawia, że ​​atak na Equifax jest szczególnie kłopotliwy, jest status firmy jako centralnej izby rozliczeniowej dla wrażliwych transakcji kredytowych. informacje, w tym numery ubezpieczenia społecznego, numery prawa jazdy i inne dane, które można wykorzystać na różne sposoby, aby wyrządzić im krzywdę dotknięty.

Mówi się, że wcześniejsze naruszenie danych w Equifax miało miejsce w marcu i chociaż Equifax twierdzi, że tak było Niektóre anonimowe źródła podają, że wcześniejszy hack nie miał nic wspólnego z włamaniem, które miało miejsce później w tym roku W przeciwnym razie. Jednak w obu przypadkach firma Equifax w celu zbadania sprawy skorzystała z usług firmy Mandiant zajmującej się bezpieczeństwem cyfrowym.

2 października Equifax ogłosił, że Mandiant zakończył dochodzenie w sprawie naruszenia z 7 września oraz że dodatkowe 2,5 miliona Amerykanów mogło zostać dotkniętych naruszeniem włamać się. Oznacza to, że łączna liczba osób dotkniętych tą chorobą wynosi 145,5 miliona. Mandiant nie znalazł jednak żadnych dalszych dowodów na nową aktywność hakerską. Co więcej, wydaje się, że skutki naruszenia nie wykraczały poza Amerykę Północną — mogło nim zostać dotkniętych również około 8 000 Kanadyjczyków (a nie 100 000, jak wcześniej sądzono).

„W niedzielę powiedziano mi, że przeprowadzono analizę liczby konsumentów potencjalnie dotkniętych incydentem cyberbezpieczeństwa ukończono i poleciłem niezwłoczne opublikowanie wyników” – nowo mianowany tymczasowy dyrektor generalny, Paulino do Rego Barros, Jr. powiedział. „Naszymi priorytetami są przejrzystość i poprawa wsparcia dla konsumentów. Będę nadal codziennie monitorować nasze postępy.”

W pisemnych zeznaniach były dyrektor generalny Richard Smith powiedział Komisji ds. Energii i Handlu: „Wygląda na to, że do naruszenia doszło zarówno na skutek błędu ludzkiego, jak i awarii technologii”.

Ostatnio dodaję obraza urazy, konto Equifax na Twitterze odsyłało ostatnio klientów do witryny „securityequifax2017.com” – fałszywej witryny, która wyraźnie podszywa się pod prawdziwy adres internetowy witryny: Equifaxsecurity2017.com. Tweet został oczywiście usunięty, ale nie jest to pierwszy raz, kiedy Equifax odsyła ludzi na stronę phishingową. Pamiętaj, że przeglądarka Google Chrome oznacza teraz fałszywą witrynę jako zwodniczą.

Mark Coppock/Trendy cyfrowe

Jakie dane zostały skradzione?

Chociaż w tym momencie wydaje się mało prawdopodobne, aby w wyniku pierwotnego włamania skradziono jakiekolwiek dalsze dane osobowe klientów Equifax, rodzi to poważne pytania dotyczące reakcji firmy. Możliwe, że prawo wymagało od Equifax ujawnienia informacji na ten temat znacznie wcześniej niż sama firma rozwój rzuca jeszcze ostrzejsze światło na niektóre podejrzane sprzedaże akcji dokonane przez kadrę kierowniczą Equifax w Sierpień.

Według Departamentu Sprawiedliwości Stanów Zjednoczonych wszczęto śledztwo w sprawie sprzedaży akcji Źródła Bloomberga.

Chociaż naruszenia Equifax nie są największe pod względem liczby ofiar — W atakach Yahoo wzięło udział więcej osób, oraz HBO One rzuciło więcej spoilerów — jest to niepokojące ze względu na rodzaj skradzionych danych osobowych. Przykłady informacji wrażliwych obejmują 209 000 numerów kart kredytowych, dane osobowe dotyczące sporów kredytowych 182 000 ofiar oraz dane, które można następnie wykorzystać w celu uzyskania dostępu historie medyczne, konta bankowe i nie tylko.

NA 15 września, Equifax udostępniło więcej informacji na temat włamania, a także zauważyło, że dwóch członków kadry kierowniczej wyższego szczebla — dyrektor ds. informatyki i dyrektor ds. bezpieczeństwa „przechodzili na emeryturę”. Biorąc jednak pod uwagę ostatnie wydarzenia, prawdopodobnie kryje się za tym coś więcej niż tylko zwykła historia emerytura. Equifax ujawnił ponadto, że wewnętrzne dochodzenie nadal trwa i że firma „nadal blisko współpracuje z FBI w ramach dochodzenia”. Jak dotąd, tak było ujawniło, że Equifax po raz pierwszy zauważył podejrzaną aktywność 29 lipca 2017 r., ale czekał do 2 sierpnia, aby skontaktować się z firmą zajmującą się cyberbezpieczeństwem i przeprowadzić „kompleksową analizę kryminalistyczną”.

Jak Pamela Dixon, dyrektor wykonawcza grupy badawczej non-profit World Privacy Forum, stwierdziła w oświadczeniu: „Sprawa jest tak zła, jak tylko może być. Jeśli masz raport kredytowy, istnieje duże prawdopodobieństwo, że dopuściłeś się tego naruszenia. Szanse są znacznie większe niż 50 procent.

Co z tym zrobić?

Jak wynika z komunikatu prasowego wydanego przez biuro senatora Marka Warnera (D. Virginia), atak na Equifax rodzi ważne pytania dotyczące roli rządu w reagowaniu na ciągłe zagrożenie dla danych osobowych.

„Chociaż wielu być może przyzwyczaiło się do dowiadań o nowym naruszeniu ochrony danych co kilka tygodni, zakres tego naruszenia – obejmujący Zakład Ubezpieczeń Społecznych liczby, daty urodzenia, adresy i numery kart kredytowych prawie połowy populacji USA – rodzi poważne pytania, czy Kongres powinien nie tylko stworzyć jednolity standard powiadamiania o naruszeniu danych, ale także czy Kongres musi ponownie przemyśleć politykę ochrony danych, tak aby przedsiębiorstwa takie jak Equifax mają mniejszą motywację do gromadzenia dużych, scentralizowanych zbiorów bardzo wrażliwych danych, takich jak numery SSN i ​​informacje o kartach kredytowych w milionach Amerykanie.

Nazywając takie ataki „realnym zagrożeniem dla bezpieczeństwa gospodarczego Amerykanów”, jest prawdopodobne, że Warren i inni urzędnicy rządowi będą nalegać na wprowadzenie przepisów zapewniających silniejszą ochronę konsumentów przed danymi kradzież. Warner pracuje nad opracowaniem właśnie tego rodzaju prawodawstwa i proces ten prawdopodobnie ulegnie przyspieszeniu.

Equifax będzie również wysyłać pisemne powiadomienia do wszystkich konsumentów w USA, których potencjalnie dotyczy ta sytuacja. Zaktualizowano także narzędzie internetowe, za pomocą którego ludzie mogą określić swoje ryzyko.

„Chcę jeszcze raz przeprosić wszystkich konsumentów, których to dotknęło. Ponieważ ten ważny etap naszej pracy został już zakończony, nadal podejmujemy liczne kroki w celu przeglądu i udoskonalenia naszych praktyk w zakresie cyberbezpieczeństwa. Kontynuujemy także ścisłą współpracę z naszym wewnętrznym zespołem i doradcami zewnętrznymi, aby wdrożyć i przyspieszyć długoterminowe ulepszenia bezpieczeństwa” – dodał Barros na początku października.

Przejdź do witryny ekwifaxsecurity2017.com i zobacz Ucz się więcej o ataku, dowiedz się, czy jesteś dotknięty tą chorobą, I zarejestruj się w bezpłatnej ochronie przed kradzieżą tożsamości i usługi monitorowania plików.

Aktualizacja: Equifax dowiedział się, że naruszenie mogło dotknąć dodatkowych 2,5 miliona Amerykanów.

Zalecenia redaktorów

• Hack obejmował dane całej populacji kraju
• Hakerzy ukradli 1,5 miliona dolarów, korzystając z danych karty kredytowej zakupionych w ciemnej sieci
• Naruszenie danych może kosztować miliony dolarów — a Ty możesz za to zapłacić
• Haker kradnie dane miliarda ludzi w wyniku bezprecedensowego naruszenia bezpieczeństwa danych
• Hakerzy zaatakowali AMD, aby ukraść ogromne 450 GB ściśle tajnych danych