Nhà cung cấp điện thoại di động Hoa Kỳ T-Mobile vừa thừa nhận bị hack, trong một hồ sơ được gọi là 8-K đã được đệ trình lên Ủy ban Chứng khoán và Giao dịch (SEC) vào ngày hôm qua, 2023-01-19.
Sản phẩm 8-K hình thức được chính SEC mô tả là “các công ty 'báo cáo hiện tại' phải nộp […] để thông báo các sự kiện lớn mà các cổ đông nên biết.”
Những sự kiện lớn này bao gồm các vấn đề như phá sản hoặc tiếp nhận (mục 1.03), vi phạm an toàn mỏ (mục 1.04), thay đổi quy tắc đạo đức của tổ chức (mục 5.05) và danh mục chung, thường được sử dụng để báo cáo các vấn đề liên quan đến CNTT , mệnh danh đơn giản Các sự kiện khác (mục 8.01).
Sự kiện khác của T-Mobile được mô tả như sau:
Vào ngày 5 tháng 2023 năm XNUMX, T-Mobile US […] đã xác định rằng một kẻ xấu đang lấy dữ liệu thông qua một Giao diện lập trình ứng dụng (“API”) mà không được phép. Chúng tôi đã nhanh chóng bắt đầu điều tra với các chuyên gia an ninh mạng bên ngoài và trong vòng một ngày sau khi biết được hoạt động độc hại, chúng tôi đã có thể truy tìm nguồn gốc của hoạt động độc hại và ngăn chặn nó. Cuộc điều tra của chúng tôi vẫn đang tiếp diễn nhưng hoạt động độc hại dường như đã được ngăn chặn hoàn toàn vào thời điểm này.
Nói một cách dễ hiểu: kẻ lừa đảo đã tìm được cách xâm nhập từ bên ngoài, sử dụng các kết nối dựa trên web đơn giản, cho phép chúng lấy thông tin cá nhân của khách hàng mà không cần tên người dùng hoặc mật khẩu.
T-Mobile lần đầu tiên nêu loại dữ liệu mà họ nghĩ là kẻ tấn công không get, bao gồm chi tiết thẻ thanh toán, số an sinh xã hội (SSN), số thuế, số nhận dạng cá nhân khác như giấy phép lái xe hoặc ID do chính phủ cấp, mật khẩu và mã PIN cũng như thông tin tài chính như chi tiết tài khoản ngân hàng.
Đó là tin tốt.
Tin xấu là những kẻ lừa đảo rõ ràng đã quay trở lại vào ngày 2022-11-25 (trớ trêu thay, khi nó xảy ra, Black Friday, một ngày sau Lễ tạ ơn của Hoa Kỳ) và không ra về tay trắng.
Nhiều thời gian để cướp bóc
Có vẻ như những kẻ tấn công đã có đủ thời gian để trích xuất và đánh cắp ít nhất một số dữ liệu cá nhân của khoảng 37 triệu người dùng, bao gồm cả khách hàng trả trước (pay-as-you-go) và trả sau (bill-in-arrears), bao gồm tên, địa chỉ thanh toán, email, số điện thoại, ngày sinh, số tài khoản T-Mobile và thông tin như số dòng trên tài khoản và các tính năng của gói.
Thật kỳ lạ, T-Mobile chính thức mô tả tình trạng này bằng các từ:
[T]hiện tại không có bằng chứng nào cho thấy kẻ xấu có thể vi phạm hoặc xâm phạm hệ thống hoặc mạng của chúng tôi.
Những khách hàng bị ảnh hưởng (và có lẽ cả các cơ quan quản lý có liên quan) có thể không đồng ý rằng 37 triệu hồ sơ khách hàng bị đánh cắp, đáng chú ý là bao gồm nơi bạn sinh sống và dữ liệu ngày sinh của bạn…
…có thể bị gạt sang một bên vì không phải là vi phạm cũng không phải là thỏa hiệp.
T-Mobile, như bạn có thể nhớ, đã trả một khoản tiền khổng lồ $ 500 triệu vào năm 2022 để giải quyết một vi phạm mà nó phải chịu vào năm 2021, mặc dù dữ liệu bị đánh cắp trong sự cố đó bao gồm các thông tin như SSN và chi tiết giấy phép lái xe.
Loại dữ liệu cá nhân đó thường mang lại cho tội phạm mạng nhiều cơ hội hơn để thực hiện các hành vi trộm cắp danh tính nghiêm trọng, chẳng hạn như vay tiền dưới tên của bạn hoặc giả mạo bạn để ký một số loại hợp đồng khác, hơn là nếu chúng “chỉ” có thông tin liên hệ và thông tin cá nhân của bạn. ngày sinh.
Phải làm gì?
Không có ích gì khi gợi ý rằng khách hàng của T-Mobile nên cẩn thận hơn bình thường khi cố gắng phát hiện các email không đáng tin cậy, chẳng hạn như lừa đảo lừa đảo dường như “biết” họ là người dùng T-Mobile.
Rốt cuộc, những kẻ lừa đảo không cần biết bạn đang sử dụng công ty điện thoại di động nào để đoán rằng bạn có thể sử dụng một trong những nhà cung cấp chính và vẫn lừa đảo bạn.
Nói một cách đơn giản, nếu có bất kỳ biện pháp phòng ngừa chống lừa đảo mới nào mà bạn quyết định thực hiện cụ thể vì vi phạm này, thì chúng tôi rất vui khi biết điều đó…
…nhưng những biện pháp phòng ngừa đó là những hành vi mà bạn cũng có thể áp dụng.
Vì vậy, chúng tôi sẽ lặp lại lời khuyên thông thường của chúng tôi, điều đáng làm theo cho dù bạn có phải là khách hàng của T-Mobile hay không:
- Đừng nhấp vào các liên kết “hữu ích” trong email hoặc các tin nhắn khác. Tìm hiểu trước cách điều hướng đến các trang đăng nhập chính thức của tất cả các dịch vụ trực tuyến mà bạn sử dụng. (Có, bao gồm cả các mạng xã hội!) Nếu bạn đã biết đúng URL để sử dụng, bạn không bao giờ cần phải dựa vào các liên kết có thể do những kẻ lừa đảo cung cấp, cho dù trong email, tin nhắn văn bản hay cuộc gọi thoại.
- Hãy suy nghĩ trước khi bạn nhấp vào. Không phải lúc nào cũng dễ dàng phát hiện ra các liên kết lừa đảo, đặc biệt là vì ngay cả các dịch vụ hợp pháp cũng thường sử dụng hàng chục tên trang web khác nhau. Nhưng ít nhất một số, nếu không muốn nói là nhiều, lừa đảo bao gồm những sai lầm mà một công ty chân chính thường không mắc phải. Như chúng tôi đề xuất ở Điểm 1 ở trên, hãy cố gắng tránh hoàn toàn việc nhấp qua, nhưng nếu bạn làm vậy, đừng vội vàng. Điều duy nhất tồi tệ hơn khi rơi vào một vụ lừa đảo là sau đó bạn nhận ra rằng, giá như bạn dành thêm vài giây để dừng lại và suy nghĩ, bạn sẽ dễ dàng phát hiện ra hành vi lừa đảo.
- Báo cáo các email đáng ngờ cho nhóm CNTT công việc của bạn. Ngay cả khi bạn là một doanh nghiệp nhỏ, hãy đảm bảo rằng tất cả nhân viên của bạn biết nơi gửi các mẫu email phản bội hoặc báo cáo các cuộc điện thoại đáng ngờ (ví dụ: bạn có thể thiết lập một địa chỉ email cho toàn công ty, chẳng hạn như
cybersec911@example.com
). Kẻ gian hiếm khi chỉ gửi một email lừa đảo cho một nhân viên và chúng hiếm khi bỏ cuộc nếu lần đầu tiên không thành công. Ai đó tăng báo động càng sớm, bạn càng có thể cảnh báo sớm cho những người khác.
Thiếu thời gian hoặc kiến thức chuyên môn để xử lý các mối đe dọa an ninh mạng? Bạn lo lắng rằng an ninh mạng sẽ khiến bạn mất tập trung vào tất cả những việc khác mà bạn cần làm? Bạn không chắc chắn về cách phản hồi các báo cáo bảo mật từ những nhân viên thực sự muốn giúp đỡ?
Tìm hiểu thêm về Phản hồi và phát hiện được quản lý của Sophos:
Tìm kiếm, phát hiện và phản ứng mối đe dọa 24/7 ▶
- Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
- Platoblockchain. Web3 Metaverse Intelligence. Khuếch đại kiến thức. Truy cập Tại đây.
- nguồn: https://nakedsecurity.sophos.com/2023/01/20/t-mobile-admits-to-37000000-customer-records-stolen-by-bad-actor/
- 000
- 1
- 2021
- 2022
- 2023
- a
- Có khả năng
- Giới thiệu
- ở trên
- Tuyệt đối
- Tài khoản
- hoạt động
- địa chỉ
- nhận nuôi
- tiến
- tư vấn
- Sau
- báo động
- Tất cả
- Đã
- Mặc dù
- luôn luôn
- và
- Thông báo
- Các Ứng Dụng
- tác giả
- ủy quyền
- tự động
- trở lại
- background-image
- Bad
- Ngân hàng
- tài khoản ngân hàng
- Phá sản
- bởi vì
- trước
- hành vi
- thanh toán
- biên giới
- đáy
- vi phạm
- kinh doanh
- Cuộc gọi
- thẻ
- mà
- Phân loại
- Trung tâm
- cơ hội
- Những thay đổi
- mã
- màu sắc
- hoa hồng
- thông thường
- Các công ty
- công ty
- thỏa hiệp
- Kết nối
- liên lạc
- hợp đồng
- có thể
- che
- Hiện nay
- khách hàng
- khách hàng
- tội phạm mạng
- An ninh mạng
- dữ liệu
- Ngày
- ngày
- mô tả
- chi tiết
- Phát hiện
- ĐÃ LÀM
- khác nhau
- Giao diện
- dont
- hàng chục
- lái xe
- được mệnh danh là
- dễ dàng
- Công nhân
- nhân viên
- Tiếng Anh
- đủ
- đạo đức
- Ngay cả
- Sự kiện
- sự kiện
- mọi người
- bằng chứng
- ví dụ
- Sàn giao dịch
- chuyên môn
- các chuyên gia
- ngoài
- thêm
- trích xuất
- không
- rơi xuống
- Tính năng
- vài
- Tập tin
- Nộp hồ sơ
- tài chính
- Tên
- tiếp theo
- sau
- tìm thấy
- từ
- đầy đủ
- nói chung
- được
- nhận được
- Cho
- cho
- Go
- tốt
- lớn hơn
- xảy ra
- vui mừng
- cao
- giúp đỡ
- di chuột
- Độ đáng tin của
- Hướng dẫn
- HTTPS
- Săn bắn
- xác định
- Bản sắc
- in
- sự cố
- bao gồm
- bao gồm
- Bao gồm
- thông tin
- Giao thức
- điều tra
- Trớ trêu thay
- các vấn đề
- IT
- chính nó
- Tháng một
- chỉ một
- Keen
- Biết
- nổi tiếng
- LEARN
- học tập
- giấy phép
- cấp giấy phép
- dòng
- liên kết
- sống
- Các khoản cho vay
- chính
- làm cho
- quản lý
- nhiều
- Lợi nhuận
- max-width
- tin nhắn
- Might
- triệu
- sai lầm
- di động
- điện thoại di động
- chi tiết
- tên
- tên
- Điều hướng
- Cần
- cần
- Cũng không
- mạng
- Mới
- tin tức
- bình thường
- đáng chú ý
- con số
- số
- có được
- chính thức
- Chính thức
- ONE
- đang diễn ra
- Trực tuyến
- gọi món
- Nền tảng khác
- bên ngoài
- thanh toán
- Mật khẩu
- Mật khẩu
- paul
- thanh toán
- Thẻ thanh toán
- có lẽ
- riêng
- dữ liệu cá nhân
- giả mạo
- Lừa đảo
- Scams lừa đảo
- điện thoại
- gọi điện thoại
- chân
- Trơn
- kế hoạch
- plato
- Thông tin dữ liệu Plato
- PlatoDữ liệu
- Điểm
- vị trí
- bài viết
- Trả trước
- riêng
- có lẽ
- Lập trình
- nhà cung cấp dịch vụ
- nhà cung cấp
- kéo
- đặt
- tăng giá
- hồ sơ
- Điều phối
- có liên quan
- nhớ
- lặp lại
- báo cáo
- Báo cáo
- Báo cáo
- Trả lời
- phản ứng
- Sự An Toàn
- Lừa đảo
- Lừa đảo
- lừa đảo
- SEC
- giây
- Chứng khoán
- Ủy ban chứng khoán
- an ninh
- dường như
- nghiêm trọng
- DỊCH VỤ
- định
- cổ đông
- nên
- đăng ký
- Đơn giản
- đơn giản
- duy nhất
- nhỏ
- doanh nghiệp nhỏ
- Mạng xã hội
- rắn
- một số
- Một người nào đó
- nguồn
- đặc biệt
- Spot
- Nhân sự
- Tiểu bang
- Bang
- Vẫn còn
- ăn cắp
- Dừng
- trình
- trình
- như vậy
- cung cấp
- đáng ngờ
- SVG
- hệ thống
- T-Mobile
- Hãy
- dùng
- thuế
- nhóm
- sự tạ ơn
- Sản phẩm
- Nguồn
- trộm cắp
- cung cấp their dịch
- điều
- điều
- nghĩ
- mối đe dọa
- Thông qua
- thời gian
- đến
- hàng đầu
- Dấu vết
- quá trình chuyển đổi
- minh bạch
- thường
- URL
- us
- sử dụng
- Người sử dụng
- Vi phạm
- Giọng nói
- Dựa trên web
- Website
- liệu
- cái nào
- CHÚNG TÔI LÀ
- sẽ
- ở trong
- không có
- từ
- Công việc
- lo lắng
- giá trị
- Bạn
- trên màn hình
- zephyrnet