Ameriški ponudnik mobilne telefonije T-Mobile je pravkar priznal, da so ga vdrli, v vlogi, znani kot 8-K, ki je bila včeraj, 2023. januarja 01, predložena Komisiji za vrednostne papirje in borzo (SEC).
O 8-K obrazec sama SEC opisuje kot »»trenutna poročila« morajo podjetja vložiti […] za objavo večjih dogodkov, o katerih bi morali vedeti delničarji.«
Ti veliki dogodki vključujejo vprašanja, kot so stečaj ali prisilna uprava (točka 1.03), kršitve varnosti v rudnikih (točka 1.04), spremembe etičnega kodeksa organizacije (točka 5.05) in kategorijo, ki zajema vse, ki se običajno uporablja za poročanje o težavah, povezanih z IT. , sinhronizirano preprosto Drugi dogodki (točka 8.01).
Drugi dogodek T-Mobile je opisan takole:
5. januarja 2023 je T-Mobile US […] ugotovil, da je zlobni akter nepooblaščeno pridobival podatke prek enega samega aplikacijskega programskega vmesnika (»API«). Takoj smo začeli preiskavo z zunanjimi strokovnjaki za kibernetsko varnost in v enem dnevu po tem, ko smo izvedeli za zlonamerno dejavnost, nam je uspelo izslediti vir zlonamerne dejavnosti in jo ustaviti. Naša preiskava še poteka, vendar se zdi, da je zlonamerna dejavnost trenutno v celoti zajeta.
Preprosto povedano: prevaranti so našli pot od zunaj z uporabo preprostih spletnih povezav, ki so jim omogočile pridobitev zasebnih podatkov o strankah, ne da bi potrebovali uporabniško ime ali geslo.
T-Mobile najprej navede vrsto podatkov, za katere meni, da so napadalci ni get, ki vključuje podatke o plačilnih karticah, številke socialnega zavarovanja (SSN), davčne številke, druge osebne identifikatorje, kot so vozniška dovoljenja ali osebne izkaznice, ki jih je izdal državni organ, gesla in kode PIN ter finančne podatke, kot so podatki o bančnem računu.
To je dobra novica.
Slaba novica je, da so se prevaranti očitno lotili že 2022 (ironično, kot se zgodi, črni petek, dan po ameriškem zahvalnem dnevu) in ni odšel praznih rok.
Dovolj časa za plenjenje
Zdi se, da so imeli napadalci dovolj časa, da so izvlekli in pobegnili z vsaj nekaterimi osebnimi podatki za približno 37 milijonov uporabnikov, vključno s predplačniškimi (pay-as-you-go) in postpaid (zaračunanimi v zamudo) uporabniki, vključno z ime, naslov za izstavitev računa, e-pošta, telefonska številka, datum rojstva, številka računa T-Mobile in informacije, kot so število vrstic na računu in funkcije načrta.
Zanimivo je, da T-Mobile uradno opisuje to stanje z besedami:
[T]trenutno ni dokazov, da je slabemu akterju uspelo vdreti ali ogroziti naše sisteme ali naše omrežje.
Prizadete stranke (in morda ustrezni regulatorji) se morda ne bodo strinjale, da je 37 milijonov ukradenih evidenc strank, vključno z vašim prebivališčem in vašimi rojstnimi podatki ...
… ni mogoče zavrniti niti kot kršitev niti kot kompromis.
T-Mobile je, kot se morda spomnite, plačal ogromno $ 500 milijonov leta 2022 za rešitev kršitve, do katere je prišlo leta 2021, čeprav so podatki, ukradeni v tem incidentu, vključevali informacije, kot so številke socialne varnosti in podrobnosti o vozniškem dovoljenju.
Takšni osebni podatki kibernetskim kriminalcem na splošno dajejo večjo možnost, da izvedejo resne kraje identitete, kot je najemanje posojil v vašem imenu ali pretvarjanje v vas, da bi podpisali kakšno drugo pogodbo, kot če imajo »samo« vaše kontaktne podatke in datum rojstva.
Kaj storiti?
Nima smisla predlagati, da bodo stranke T-Mobile bolj previdne kot običajno, ko poskušajo odkriti nezanesljiva e-poštna sporočila, kot so prevare z lažnim predstavljanjem, za katere se zdi, da »vedo«, da so uporabniki T-Mobile.
Navsezadnje prevarantom ni treba vedeti, pri katerem mobilnem operaterju ste, da bi uganili, da verjetno uporabljate enega od večjih ponudnikov, in bi vas kljub temu lažno predstavljali.
Preprosto povedano, če se boste zaradi te kršitve odločili sprejeti kakršne koli nove varnostne ukrepe proti lažnemu predstavljanju, smo veseli, da jih slišimo ...
… vendar so ti previdnostni ukrepi vedenja, ki bi jih vseeno lahko sprejeli.
Zato bomo ponovili naš običajni nasvet, ki ga je vredno upoštevati ne glede na to, ali ste stranka T-Mobilea ali ne:
- Ne klikajte »koristnih« povezav v e-poštnih ali drugih sporočilih. Vnaprej se naučite, kako odpreti uradne strani za prijavo vseh spletnih storitev, ki jih uporabljate. (Da, to vključuje socialna omrežja!) Če že poznate pravi URL za uporabo, se vam nikoli ne bo treba zanašati na povezave, ki so jih morda posredovali prevaranti, bodisi v e-pošti, besedilnih sporočilih ali glasovnih klicih.
- Razmislite, preden kliknete. Prevarantskih povezav ni vedno lahko odkriti, nenazadnje tudi zato, ker celo zakonite storitve pogosto uporabljajo na desetine različnih imen spletnih mest. Toda vsaj nekatere, če ne številne, prevare vključujejo napake, ki jih pravo podjetje običajno ne bi naredilo. Kot predlagamo v 1. točki zgoraj, se poskusite sploh izogniti klikanju, če pa že, naj se vam ne mudi. Edina stvar, ki je hujša od tega, da ste nasedli prevari, je, da se pozneje zavedate, da bi izdajo zlahka opazili, če bi si vzeli le nekaj dodatnih sekund, da bi se ustavili in razmislili.
- Prijavite sumljiva e-poštna sporočila svoji IT ekipi. Tudi če ste majhno podjetje, poskrbite, da bo vse vaše osebje vedelo, kam lahko oddajo zahrbtne vzorce e-pošte ali prijavijo sumljive telefonske klice (lahko na primer nastavite e-poštni naslov za celotno podjetje, npr.
cybersec911@example.com
). Prevaranti redko pošljejo le eno lažno e-poštno sporočilo enemu zaposlenemu in redko odnehajo, če njihov prvi poskus ne uspe. Prej ko nekdo sproži alarm, prej lahko opozoriš vse ostale.
Vam primanjkuje časa ali strokovnega znanja za odgovor na kibernetsko varnost? Vas skrbi, da vas bo kibernetska varnost na koncu odvrnila od vseh drugih stvari, ki jih morate početi? Niste prepričani, kako se odzvati na varnostna poročila zaposlenih, ki resnično želijo pomagati?
Več o tem Upravljano odkrivanje in odziv Sophos:
24/7 lov na grožnje, odkrivanje in odziv ▶
- Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
- Platoblockchain. Web3 Metaverse Intelligence. Razširjeno znanje. Dostopite tukaj.
- vir: https://nakedsecurity.sophos.com/2023/01/20/t-mobile-admits-to-37000000-customer-records-stolen-by-bad-actor/
- 000
- 1
- 2021
- 2022
- 2023
- a
- Sposobna
- O meni
- nad
- absolutna
- Račun
- dejavnost
- Naslov
- sprejme
- napredovanje
- nasveti
- po
- Alarm
- vsi
- že
- Čeprav
- vedno
- in
- Objavi
- uporaba
- Avtor
- pooblastilo
- avto
- nazaj
- ozadja, slike
- Slab
- Banka
- Bančni račun
- Stečaj
- ker
- pred
- vedenja
- zaračunavanje
- meja
- Bottom
- kršitev
- poslovni
- poziva
- kartice
- ki
- Kategorija
- center
- priložnost
- Spremembe
- Koda
- barva
- Komisija
- pogosto
- Podjetja
- podjetje
- Kompromis
- povezave
- kontakt
- Naročilo
- bi
- pokrov
- Trenutno
- stranka
- Stranke, ki so
- cybercriminals
- Cybersecurity
- datum
- Datum
- dan
- opisano
- Podrobnosti
- Odkrivanje
- DID
- drugačen
- zaslon
- dont
- desetine
- vožnjo
- poimenovan
- enostavno
- E-naslov
- e-pošta
- Zaposlen
- Zaposleni
- Angleščina
- dovolj
- etika
- Tudi
- Event
- dogodki
- vsi
- dokazi
- Primer
- Izmenjava
- strokovno znanje
- Strokovnjaki
- zunanja
- dodatna
- ekstrakt
- ne uspe
- Falling
- Lastnosti
- Nekaj
- file
- Vložitev
- finančna
- prva
- po
- sledi
- je pokazala,
- iz
- v celoti
- splošno
- dobili
- pridobivanje
- Daj
- daje
- Go
- dobro
- več
- se zgodi
- srečna
- višina
- pomoč
- hover
- Kako
- Kako
- HTTPS
- Lov
- identificirati
- identiteta
- in
- nesreča
- vključujejo
- vključuje
- Vključno
- Podatki
- vmesnik
- preiskava
- Ironično
- Vprašanja
- IT
- sam
- januar
- samo en
- Keen
- Vedite
- znano
- UČITE
- učenje
- licence
- licenciranje
- linije
- Povezave
- v živo
- Posojila
- velika
- Znamka
- upravlja
- več
- Marža
- max širine
- sporočil
- morda
- milijonov
- napake
- Mobilni
- mobilni telefon
- več
- Ime
- Imena
- Krmarjenje
- Nimate
- potrebujejo
- Niti
- mreža
- Novo
- novice
- normalno
- predvsem
- Številka
- številke
- pridobitev
- Uradni
- Uradno
- ONE
- v teku
- na spletu
- Da
- Ostalo
- zunaj
- plačana
- Geslo
- gesla
- paul
- Plačilo
- Plačilna kartica
- mogoče
- Osebni
- osebni podatki
- lažno predstavljanje
- Ribarjenje
- phishing prevare
- telefon
- telefonski klici
- zatiči
- Plain
- Načrt
- platon
- Platonova podatkovna inteligenca
- PlatoData
- Točka
- Stališče
- Prispevkov
- Predplačniški
- zasebna
- verjetno
- Programiranje
- Ponudnik
- ponudniki
- vlečenje
- dal
- povečuje
- evidence
- Regulatorji
- pomembno
- ne pozabite
- ponovite
- poročilo
- Poročanje
- Poročila
- Odzove
- Odgovor
- Varnost
- Prevara
- Scammers
- prevare
- SEC
- sekund
- Vrednostni papirji
- Securities and Exchange Commission
- varnost
- Zdi se,
- resno
- Storitve
- nastavite
- Delničarji
- shouldnt
- podpisati
- Enostavno
- preprosto
- sam
- majhna
- mala podjetja
- socialna
- trdna
- nekaj
- nekdo
- vir
- posebej
- Komercialni
- Osebje
- Država
- Države
- Še vedno
- ukradeno
- stop
- predloži
- predložen
- taka
- dobavljeno
- sumljiv
- SVG
- sistemi
- T-Mobile
- Bodite
- ob
- davek
- skupina
- Thanksgiving
- O
- Vir
- kraje
- njihove
- stvar
- stvari
- Misli
- Grožnja
- skozi
- čas
- do
- vrh
- Trace
- Prehod
- pregleden
- tipično
- URL
- us
- uporaba
- Uporabniki
- Kršitve
- Voice
- Web-Based
- Spletna stran
- ali
- ki
- WHO
- bo
- v
- brez
- besede
- delo
- Skrbi
- vredno
- Vi
- Vaša rutina za
- zefirnet