Щойно американський постачальник мобільного зв’язку T-Mobile зізнався, що його зламали, у документі, відомому як 8-K, який було подано до Комісії з цінних паперів і бірж (SEC) учора, 2023 січня 01 року.
Команда 8-К форма описується самою SEC як «компанії повинні подати «поточний звіт» […], щоб оголосити про основні події, про які повинні знати акціонери».
Ці основні події включають такі проблеми, як банкрутство або конкурсне управління (пункт 1.03), порушення безпеки шахт (пункт 1.04), зміни в кодексі етики організації (пункт 5.05) і загальну категорію, яка зазвичай використовується для звітування про проблеми, пов’язані з ІТ. , дубльовано просто Інші події (пункт 8.01).
Інша подія T-Mobile описана таким чином:
5 січня 2023 року T-Mobile US […] виявив, що зловмисник отримував дані через єдиний інтерфейс програмування додатків («API») без авторизації. Ми негайно розпочали розслідування за участю зовнішніх експертів із кібербезпеки, і протягом дня після того, як дізналися про зловмисну активність, нам вдалося відстежити джерело зловмисної активності та зупинити її. Наше розслідування все ще триває, але, схоже, наразі зловмисну активність повністю припинено.
Простою англійською мовою: шахраї знайшли вихід ззовні, використовуючи прості веб-з’єднання, що дозволяло їм отримувати особисту інформацію про клієнтів без імені користувача чи пароля.
T-Mobile спочатку заявляє про тип даних, який, на його думку, зловмисники НЕ get, яка містить дані платіжної картки, номери соціального страхування (SSN), податкові номери, інші особисті ідентифікатори, як-от водійські права чи державні ідентифікаційні номери, паролі та PIN-коди, а також фінансову інформацію, наприклад реквізити банківського рахунку.
Це хороша новина.
Погана новина полягає в тому, що шахраї, очевидно, потрапили на шлях ще 2022 листопада 11 року (за іронією долі, як це трапляється, Чорна п'ятниця, наступного дня після Дня подяки США) і не пішов з порожніми руками.
Багато часу для грабунку
Зловмисники, схоже, мали достатньо часу, щоб витягти та позбутися принаймні деяких особистих даних приблизно 37 мільйонів користувачів, включаючи клієнтів, що працюють за передоплатою (оплата по мірі використання) та післяоплату (рахунок із заборгованістю), у тому числі ім’я, платіжну адресу, електронну адресу, номер телефону, дату народження, номер рахунку T-Mobile і таку інформацію, як кількість рядків в обліковому записі та функції плану.
Цікаво, що T-Mobile офіційно описує цей стан речей словами:
[Наразі немає доказів того, що зловмисник зміг зламати або скомпрометувати наші системи або нашу мережу.
Постраждалі клієнти (і, можливо, відповідні регулюючі органи) можуть не погоджуватися з тим, що 37 мільйонів викрадених записів клієнтів, зокрема включно з місцем вашого проживання та вашими даними про народження…
…можна відмахнутися вбік як ні порушення, ні компроміс.
T-Mobile, як ви можете пам'ятати, заплатив величезну суму $ 500 мільйонів у 2022 році, щоб врегулювати порушення, яке сталося у 2021 році, хоча дані, викрадені під час цього інциденту, включали таку інформацію, як номери соціального страхування та відомості про водійські права.
Такий тип особистих даних зазвичай дає кіберзлочинцям більше шансів здійснити серйозну крадіжку особистих даних, наприклад взяти кредити на ваше ім’я або видавати себе за вас для підписання будь-якого іншого виду контракту, ніж якщо вони «лише» мають ваші контактні дані та вашу дата народження.
Що ж робити?
Немає особливого сенсу припускати, що клієнти T-Mobile виявляють ненадійні електронні листи, такі як фішингові шахрайства, які, здається, «знають», що вони користувачі T-Mobile, виявляють більше уваги, ніж зазвичай.
Зрештою, шахраям не обов’язково знати, у якій компанії мобільного зв’язку ви працюєте, щоб здогадатися, що ви, ймовірно, користуєтеся одним із основних провайдерів, і все одно фішингувати вас.
Простіше кажучи, якщо ви вирішите вжити якісь нові заходи проти фішингу саме через це порушення, ми будемо раді це почути…
…але ці запобіжні заходи — це поведінка, яку ви все одно можете прийняти.
Отже, ми повторимо нашу звичайну пораду, якої варто дотримуватися незалежно від того, є ви клієнтом T-Mobile чи ні:
- Не натискайте «корисні» посилання в електронних листах чи інших повідомленнях. Заздалегідь дізнайтеся, як переходити на офіційні сторінки входу в усі онлайн-сервіси, якими ви користуєтеся. (Так, це включає соціальні мережі!) Якщо ви вже знаєте правильну URL-адресу для використання, вам ніколи не доведеться покладатися на посилання, які могли бути надані шахраями в електронних листах, текстових повідомленнях або голосових дзвінках.
- Подумайте, перш ніж клацати. Не завжди легко виявити шахрайські посилання, не в останню чергу тому, що навіть законні служби часто використовують десятки різних імен веб-сайтів. Але принаймні деякі, якщо не багато, шахрайства включають помилки, яких справжня компанія зазвичай не зробила б. Як ми пропонуємо в пункті 1 вище, намагайтеся взагалі уникати клацання, але якщо ви це зробите, не поспішайте. Єдине, що гірше, ніж потрапити на шахрайство, — це згодом усвідомити, що якби ви витратили кілька додаткових секунд, щоб зупинитися й подумати, ви б легко помітили зраду.
- Повідомляйте про підозрілі електронні листи своїй робочій команді ІТ. Навіть якщо ви малий бізнес, переконайтеся, що всі ваші співробітники знають, куди надсилати зразки зрадницьких електронних листів або повідомляти про підозрілі телефонні дзвінки (наприклад, ви можете налаштувати електронну адресу для всієї компанії, як-от
cybersec911@example.com
). Шахраї рідко надсилають лише один фішинговий електронний лист одному співробітнику, і вони рідко здаються, якщо перша спроба була невдалою. Чим швидше хтось підніме тривогу, тим швидше ви зможете попередити всіх інших.
Не вистачає часу чи досвіду для реагування на загрози кібербезпеці? Хвилюєтеся, що кібербезпека зрештою відволікатиме вас від усіх інших справ, які вам потрібно зробити? Не знаєте, як реагувати на повідомлення про безпеку від співробітників, які щиро хочуть допомогти?
Дізнатися більше про Кероване виявлення та реагування Sophos:
Цілодобове полювання на загрози, виявлення та реагування ▶
- Розповсюдження контенту та PR на основі SEO. Отримайте посилення сьогодні.
- Платоблокчейн. Web3 Metaverse Intelligence. Розширені знання. Доступ тут.
- джерело: https://nakedsecurity.sophos.com/2023/01/20/t-mobile-admits-to-37000000-customer-records-stolen-by-bad-actor/
- 000
- 1
- 2021
- 2022
- 2023
- a
- Здатний
- МЕНЮ
- вище
- абсолют
- рахунки
- діяльність
- адреса
- прийняти
- просування
- рада
- після
- тривога
- ВСІ
- вже
- хоча
- завжди
- та
- Оголосити
- додаток
- автор
- авторизації
- автоматичний
- назад
- фонове зображення
- поганий
- Банк
- рахунок у банку
- Банкрутство
- оскільки
- перед тим
- поведінки
- біллінг
- border
- дно
- порушення
- бізнес
- Виклики
- карта
- який
- Категорія
- Центр
- шанс
- Зміни
- код
- color
- комісія
- зазвичай
- Компанії
- компанія
- компроміс
- Зв'язки
- контакт
- контракт
- може
- обкладинка
- В даний час
- клієнт
- Клієнти
- кіберзлочинці
- Кібербезпека
- дані
- Дата
- день
- описаний
- деталі
- Виявлення
- DID
- різний
- дисплей
- Не знаю
- безліч
- водіння
- охрестили
- легко
- повідомлення електронної пошти
- Співробітник
- співробітників
- англійська
- досить
- етика
- Навіть
- Event
- Події
- все
- докази
- приклад
- обмін
- експертиза
- experts
- зовнішній
- додатково
- витяг
- зазнає невдачі
- Падіння
- риси
- кілька
- філе
- Подача
- фінансовий
- Перший
- після
- слідує
- знайдений
- від
- повністю
- в цілому
- отримати
- отримання
- Давати
- дає
- Go
- добре
- великий
- відбувається
- щасливий
- висота
- допомога
- hover
- Як
- How To
- HTTPS
- Полювання
- ідентифікований
- Особистість
- in
- інцидент
- включати
- includes
- У тому числі
- інформація
- інтерфейс
- дослідження
- Як не дивно
- питання
- IT
- сам
- січня
- тільки один
- Кін
- Знати
- відомий
- УЧИТЬСЯ
- вивчення
- Ліцензія
- ліцензування
- ліній
- зв'язку
- жити
- Кредити
- основний
- зробити
- вдалося
- багато
- Маржа
- макс-ширина
- повідомлення
- може бути
- мільйона
- помилки
- Mobile
- мобільний телефон
- більше
- ім'я
- Імена
- Переміщення
- Необхідність
- нужденних
- ні
- мережу
- Нові
- новини
- нормальний
- особливо
- номер
- номера
- отримання
- офіційний
- Офіційно
- ONE
- постійний
- онлайн
- порядок
- Інше
- поза
- оплачувану
- Пароль
- Паролі
- Пол
- оплата
- Платіжна картка
- може бути
- персонал
- особисті дані
- фіш
- phishing
- фішинг Шахрайство
- телефон
- телефонні дзвінки
- сосна
- одноколірний
- план
- plato
- Інформація про дані Платона
- PlatoData
- точка
- положення
- Пости
- Prepaid
- приватний
- ймовірно
- Програмування
- Постачальник
- провайдери
- тягне
- put
- піднімається
- облік
- Регулятори
- доречний
- запам'ятати
- повторювати
- звітом
- Звітність
- Звіти
- Реагувати
- відповідь
- Безпека
- Шахрайство
- Шахраї
- шахрайство
- SEC
- seconds
- Securities
- Комісія з цінних паперів і бірж
- безпеку
- Здається,
- серйозний
- Послуги
- комплект
- Акціонери
- Повинен
- підпис
- простий
- просто
- один
- невеликий
- малий бізнес
- соціальна
- solid
- деякі
- Хтось
- Source
- конкретно
- Spot
- Персонал
- стан
- Штати
- Як і раніше
- вкрали
- Стоп
- представляти
- представлений
- такі
- поставляється
- підозрілі
- SVG
- Systems
- T-Mobile
- Приймати
- взяття
- податок
- команда
- Дяка
- Команда
- Джерело
- крадіжки
- їх
- річ
- речі
- Думає
- загроза
- через
- час
- до
- топ
- Трасування
- перехід
- прозорий
- типово
- URL
- us
- використання
- користувачі
- Порушення
- Голос
- Web-Based
- веб-сайт
- Чи
- який
- ВООЗ
- волі
- в
- без
- слова
- Work
- хвилювалися
- вартість
- Ти
- вашу
- зефірнет