Il provider di telefonia mobile statunitense T-Mobile ha appena ammesso di essere stato hackerato, in un deposito noto come 8-K che è stato presentato alla Securities and Exchange Commission (SEC) ieri, 2023-01-19.
Il Modulo 8-K è descritto dalla stessa SEC come "la 'relazione corrente' le società devono presentare […] per annunciare eventi importanti di cui gli azionisti dovrebbero essere a conoscenza."
Questi eventi importanti includono problemi come bancarotta o amministrazione controllata (punto 1.03), violazioni della sicurezza nelle miniere (punto 1.04), modifiche al codice etico di un'organizzazione (punto 5.05) e una categoria onnicomprensiva, comunemente utilizzata per segnalare problemi legati all'IT , soprannominato semplicemente altri eventi (elemento 8.01).
L'altro evento di T-Mobile è descritto come segue:
Il 5 gennaio 2023, T-Mobile US […] ha identificato che un malintenzionato stava ottenendo dati tramite un'unica interfaccia di programmazione dell'applicazione ("API") senza autorizzazione. Abbiamo prontamente avviato un'indagine con esperti di sicurezza informatica esterni ed entro un giorno dall'apprendimento dell'attività dannosa, siamo stati in grado di rintracciare la fonte dell'attività dannosa e fermarla. La nostra indagine è ancora in corso, ma al momento l'attività dannosa sembra essere completamente contenuta.
In parole povere: i truffatori hanno trovato un modo per entrare dall'esterno, utilizzando semplici connessioni basate sul Web, che hanno permesso loro di recuperare informazioni private sui clienti senza bisogno di un nome utente o una password.
T-Mobile indica innanzitutto il tipo di dati che ritiene gli aggressori non ha get, che include i dettagli della carta di pagamento, i numeri di previdenza sociale (SSN), i codici fiscali, altri identificatori personali come patenti di guida o documenti d'identità rilasciati dal governo, password e PIN e informazioni finanziarie come i dettagli del conto bancario.
Questa è la buona notizia.
La cattiva notizia è che apparentemente i truffatori sono entrati nel lontano 2022-11-25 (ironicamente, come accade, Black Friday, il giorno dopo il Ringraziamento negli Stati Uniti) e non se ne andò a mani vuote.
Un sacco di tempo per il saccheggio
Gli aggressori, a quanto pare, hanno avuto abbastanza tempo per estrarre e rubare almeno alcuni dati personali per circa 37 milioni di utenti, inclusi i clienti prepagati (pay-as-you-go) e postpagati (fatturati in arretrato), tra cui nome, indirizzo di fatturazione, e-mail, numero di telefono, data di nascita, numero di account T-Mobile e informazioni come il numero di linee sull'account e le caratteristiche del piano.
Curiosamente, T-Mobile descrive ufficialmente questo stato di cose con le parole:
[T] al momento non ci sono prove che il malintenzionato sia stato in grado di violare o compromettere i nostri sistemi o la nostra rete.
I clienti interessati (e forse le autorità di regolamentazione competenti) potrebbero non essere d'accordo sul fatto che 37 milioni di record di clienti rubati, in particolare tra cui dove vivi e i tuoi dati di nascita...
… può essere accantonato come né una violazione né un compromesso.
T-Mobile, come forse ricorderai, ha pagato un enorme $500 milioni nel 2022 per risolvere una violazione subita nel 2021, sebbene i dati rubati in quell'incidente includessero informazioni come SSN e dettagli della patente di guida.
Questo tipo di dati personali in genere offre ai criminali informatici una maggiore possibilità di portare a termine gravi furti di identità, come contrarre prestiti a tuo nome o mascherarsi da te per firmare qualche altro tipo di contratto, piuttosto che se avessero "solo" i tuoi dati di contatto e il tuo data di nascita.
Cosa fare?
Non ha molto senso suggerire che i clienti di T-Mobile prestino maggiore attenzione del solito quando cercano di individuare e-mail non affidabili come truffe di phishing che sembrano "sapere" di essere utenti di T-Mobile.
Dopotutto, i truffatori non hanno bisogno di sapere con quale compagnia di telefonia mobile sei per indovinare che probabilmente utilizzi uno dei principali fornitori e per phishing comunque.
In poche parole, se ci sono nuove precauzioni anti-phishing che decidi di prendere in particolare a causa di questa violazione, siamo felici di saperlo...
… ma quelle precauzioni sono comportamenti che potresti adottare comunque.
Quindi, ripeteremo il nostro solito consiglio, che vale la pena seguire se sei un cliente T-Mobile o meno:
- Non fare clic sui collegamenti "utili" nelle e-mail o in altri messaggi. Scopri in anticipo come navigare verso le pagine di accesso ufficiali di tutti i servizi online che utilizzi. (Sì, questo include i social network!) Se conosci già l'URL corretto da utilizzare, non devi mai fare affidamento su collegamenti che potrebbero essere stati forniti da un truffatore, sia in e-mail, messaggi di testo o chiamate vocali.
- Pensa prima di fare clic. Non è sempre facile individuare i link truffa, anche perché anche i servizi legittimi utilizzano spesso dozzine di nomi di siti web diversi. Ma almeno alcune, se non molte, truffe includono il tipo di errori che una vera azienda in genere non commetterebbe. Come suggerito al punto 1 sopra, cerca di evitare del tutto di fare clic, ma se lo fai, non avere fretta. L'unica cosa peggiore di cadere in una truffa è rendersi conto in seguito che, se solo ti fossi preso qualche secondo in più per fermarti a pensare, avresti individuato facilmente il tradimento.
- Segnala le email sospette al tuo team IT di lavoro. Anche se sei una piccola impresa, assicurati che tutto il tuo staff sappia dove inviare campioni di e-mail insidiose o segnalare telefonate sospette (ad esempio, potresti impostare un indirizzo e-mail aziendale come
cybersec911@example.com
). Raramente i truffatori inviano una sola e-mail di phishing a un dipendente e raramente si arrendono se il loro primo tentativo fallisce. Prima qualcuno lancia l'allarme, prima puoi avvisare tutti gli altri.
Hai poco tempo o esperienza per occuparti della risposta alle minacce alla sicurezza informatica? Preoccupato che la sicurezza informatica finisca per distrarti da tutte le altre cose che devi fare? Non sei sicuro di come rispondere ai rapporti sulla sicurezza dei dipendenti che sono sinceramente desiderosi di aiutare?
Scopri Rilevamento e risposta gestiti da Sophos:
Ricerca, rilevamento e risposta alle minacce 24 ore su 7, XNUMX giorni su XNUMX ▶
- Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
- Platoblockchain. Web3 Metaverse Intelligence. Conoscenza amplificata. Accedi qui.
- Fonte: https://nakedsecurity.sophos.com/2023/01/20/t-mobile-admits-to-37000000-customer-records-stolen-by-bad-actor/
- 000
- 1
- 2021
- 2022
- 2023
- a
- capace
- WRI
- sopra
- Assoluta
- Il mio account
- attività
- indirizzo
- adottare
- avanzare
- consigli
- Dopo shavasana, sedersi in silenzio; saluti;
- allarme
- Tutti
- già
- Sebbene il
- sempre
- ed
- Annunciare
- Applicazioni
- autore
- autorizzazione
- auto
- precedente
- background-image
- Vasca
- Banca
- conto bancario
- Fallimento
- perché
- prima
- comportamenti
- fatturazione
- sistema
- Parte inferiore
- violazione
- affari
- Bandi
- carta
- che
- Categoria
- centro
- possibilità
- Modifiche
- codice
- colore
- commissione
- comunemente
- Aziende
- azienda
- compromesso
- Connessioni
- contatti
- contratto
- potuto
- coprire
- Attualmente
- cliente
- Clienti
- i criminali informatici
- Cybersecurity
- dati
- Data
- giorno
- descritta
- dettagli
- rivelazione
- DID
- diverso
- Dsiplay
- Dont
- decine
- guida
- soprannominato
- facilmente
- Dipendente
- dipendenti
- Inglese
- abbastanza
- etica
- Anche
- Evento
- eventi
- tutti
- prova
- esempio
- exchange
- competenza
- esperti
- esterno
- extra
- estratto
- fallisce
- Caduta
- Caratteristiche
- pochi
- Compila il
- Limatura
- finanziario
- Nome
- i seguenti
- segue
- essere trovato
- da
- completamente
- generalmente
- ottenere
- ottenere
- Dare
- dà
- Go
- buono
- maggiore
- accade
- contento
- altezza
- Aiuto
- librarsi
- Come
- Tutorial
- HTTPS
- Caccia
- identificato
- Identità
- in
- incidente
- includere
- inclusi
- Compreso
- informazioni
- Interfaccia
- indagine
- ironicamente
- sicurezza
- IT
- stessa
- Gennaio
- solo uno
- Acuto
- Sapere
- conosciuto
- IMPARARE
- apprendimento
- licenza
- licenze
- Linee
- Collegamento
- vivere
- Prestiti e finanziamenti
- maggiore
- make
- gestito
- molti
- Margine
- max-width
- messaggi
- forza
- milione
- errori
- Mobile
- cellulare
- Scopri di più
- Nome
- nomi
- Navigare
- Bisogno
- che necessitano di
- Nessuno dei due
- Rete
- New
- notizie
- normale
- segnatamente
- numero
- numeri
- ottenendo
- ufficiale
- Ufficialmente
- ONE
- in corso
- online
- minimo
- Altro
- al di fuori
- pagato
- Password
- Le password
- Paul
- Pagamento
- Carta di pagamento
- Forse
- cronologia
- dati personali
- phishing
- phishing
- phishing
- telefono
- telefonate
- pino
- pianura
- piano
- Platone
- Platone Data Intelligence
- PlatoneDati
- punto
- posizione
- Post
- Prepagato
- un bagno
- probabilmente
- Programmazione
- fornitore
- fornitori
- traino
- metti
- solleva
- record
- Regolatori
- pertinente
- ricorda
- ripetere
- rapporto
- Reportistica
- Report
- Rispondere
- risposta
- Sicurezza
- Truffa
- Truffatori
- truffe
- SEC
- secondo
- Valori
- Securities and Exchange Commission
- problemi di
- sembra
- grave
- Servizi
- set
- Azionisti
- dovrebbero
- segno
- Un'espansione
- semplicemente
- singolo
- piccole
- piccola impresa
- Social
- solido
- alcuni
- Qualcuno
- Fonte
- in particolare
- Spot
- STAFF
- Regione / Stato
- stati
- Ancora
- rubare
- Fermare
- inviare
- presentata
- tale
- in dotazione
- sospettoso
- SVG
- SISTEMI DI TRATTAMENTO
- T-Mobile
- Fai
- presa
- imposta
- team
- Ringraziamento
- Il
- L’ORIGINE
- furti
- loro
- cosa
- cose
- pensa
- minaccia
- Attraverso
- tempo
- a
- top
- Traccia
- transizione
- trasparente
- tipicamente
- URL
- us
- uso
- utenti
- Violazioni
- Voce
- Web-basata
- Sito web
- se
- quale
- OMS
- volere
- entro
- senza
- parole
- Lavora
- preoccupato
- valore
- Tu
- Trasferimento da aeroporto a Sharm
- zefiro