4 Naruszenia danych biur kredytowych poprzedzające hackowanie Equifax w 2017 roku

17 lutego 2021

ZAKTUALIZOWANO 19/9/17, aby poprawić fakt, że US Info Search nigdy nie sprzedawało żadnych danych firmie Ngo

Firma Equifax trafiła na pierwsze strony gazet 7 września 2017 r., Kiedy ogłosiła wykrycie naruszenia danych na początku roku. Podczas incydentu związanego z bezpieczeństwem przestępcy komputerowi wykorzystali „lukę w zabezpieczeniach aplikacji internetowych w Stanach Zjednoczonych, aby przejrzeć niektóre pliki agencji raportującej kredyty konsumenckie, dzięki czemu uzyskali dostęp, który pomógł im złamać numer ubezpieczenia społecznego 143 milionów konsumentów w USA, daty urodzenia i inne poufne dane osobowe.

Uważa się, że napastnicy ujawnili również 209 000 numerów kart kredytowych Amerykanów, a także dane osobowe aż 44 milionów obywateli Wielkiej Brytanii i nieujawnionej liczby Kanadyjczyków.

Podczas gdy konsumenci poświęcają czas na zbadanie, czy naruszenie dotknęło ich i zabezpieczenie się przed kradzieżą tożsamości, ważne jest, aby zbadać historyczne znaczenie incydentu. Spojrzenie wstecz na ostatnie lata pokazuje, że to naruszenie nie jest pierwszym, kiedy hakerzy zaatakowali biuro informacji kredytowej w Stanach Zjednoczonych. Oto cztery inne zdarzenia związane z bezpieczeństwem, które w jakiś sposób wpłynęły na amerykańskie biura kredytowe lub w nie uczestniczyły.

1. Experian / Court Ventures (przed marcem 2012)W marcu 2012 r. Globalna grupa usług informacyjnych i biuro informacji kredytowej Experian zakupiły firmę zajmującą się odzyskiwaniem danych prawnych o nazwie Court Ventures. Jakiś czas po tym zakupie tajna służba USA powiadomiła Experian, że Court Ventures sprzedaje informacje z US Info Search, platformy wyszukiwania wstecznego danych, obywatelowi Wietnamu o imieniu Hieu Minh Ngo. Osoba ta udawała właściciela firmy, aby uzyskać dostęp do danych za pośrednictwem Court Ventures, której umowa z US Info Search poprzedzała zakup przez Experian firmy zajmującej się odzyskiwaniem danych.

Niektóre doniesienia prasowe w tamtym czasie mówiły, że incydent naraził łącznie 200 milionów rekordów klientów Experian, zawierających dane osobowe. W oświadczeniu opublikowanym na swojej stronie internetowej Experian wyjaśnia, że ​​Ngo nie uzyskało dostępu do żadnej ze swoich baz danych i zamiast tego ujawniło „znacznie niższą liczbę rekordów przechowywanych przez US Info Search. Mimo to biuro informacji kredytowej złożyło pozew przeciwko byłym właścicielom Court Ventures „za zezwolenie na sprzedaż danych US Info Search firmie Ngo.

2. Equifax, Experian i TransUnion (marzec 2013)Equifax, Experian i TransUnion potwierdziły włamania do swoich systemów po tym, jak informacje dotyczące celebrytów i znanych osobistości znalazły się na stronie internetowej o nazwie Exposed . Według Computer Reseller News poufne dane byłej pierwszej damy Michelle Obamy, Paris Hilton, byłej sekretarz stanu Hillary Clinton i byłego dyrektora FBI Roberta Muellera znalazły się na stronie po tym, jak osoby atakujące uzyskały „oszukańczy i nieautoryzowany dostęp do kredytów tych osób raporty.

Zrobili to bez użycia złośliwego oprogramowania lub luk w oprogramowaniu. Zamiast tego wykorzystali publicznie dostępne informacje, aby ominąć środki uwierzytelniania stosowane przez trzy biura kredytowe, odpowiadając na wszystkie niezbędne pytania bezpieczeństwa.

3. Experian / T-Mobile (grudzień 2013 i październik 2015)W dniu 30 grudnia 2013 r. T-Mobile skierował pismo do Biura Prokuratora Generalnego o naruszeniu danych, które dotknęło „stosunkowo niewielką liczbę klientów. Incydent bezpieczeństwa miał miejsce po uzyskaniu przez nieupoważnioną osobę dostępu do pliku przechowywanego na serwerze obsługiwanym przez jednego z dostawców operatora komórkowego. T-Mobile później zidentyfikował tego dostawcę jako Decisioning Solutions, firmę uwierzytelniającą, którą Experian nabył w kwietniu 2013 r. Ostatecznie Experian wprowadził Decisioning Solutions do swojej platformy Decision Analytics.

T-Mobile ujawnił kolejne naruszenie niecałe dwa lata później. Tym razem incydent hakerski dotyczący systemów Experian doprowadził do kradzieży 15 milionów numerów ubezpieczenia społecznego klientów T-Mobile i innych danych osobowych.

4. Equifax (maj 2016)W maju 2016 roku gigant spożywczy Kroger wysłał list do obecnych i kilku byłych pracowników w sprawie incydentu związanego z bezpieczeństwem. Do włamania doszło, gdy napastnicy uzyskali dostęp do witryny Equifax W2Express, zasobu oferującego firmom formularze W-2 do pobrania. Atakujący najwyraźniej uzyskali dostęp do formularzy W-2 pracowników Krogera, wprowadzając ich numery ubezpieczenia społecznego i lata urodzenia po kradzieży informacji z innych źródeł. Następnie ujawnili dane podatkowe wszystkich pracowników, których to dotyczy, i szczegóły dotyczące wynagrodzeń.

Wezwanie do działania dla organizacji na całym świecieTim Erlin, wiceprezes ds. Zarządzania produktami i strategii, uważa, że ​​powyższe wydarzenia dotyczące bezpieczeństwa oraz ostatnie naruszenie przepisów Equifax podkreślają potrzebę opracowania przez biura kredytowe i organizacje na całym świecie planu, który pomoże im bronić się przed intruzami. Jak powiedział eSecurity Planet :

„Zespoły ds. Bezpieczeństwa informacji w innych organizacjach powinny wykorzystać ten incydent jako okazję do oceny własnych planów. Wszystkie organizacje, które zbierają i przechowują dane wrażliwe, są celami. Właściwe wykonanie podstawowych czynności, takich jak zapewnienie bezpiecznych konfiguracji, zarządzanie lukami w zabezpieczeniach i przechwytywanie danych dziennika, jest najskuteczniejszym sposobem zapobiegania naruszeniom .

Firmy muszą priorytetowo traktować swoje ryzyko. Pierwszym krokiem jest uzyskanie wglądu w to, co jest w Twojej sieci – nie możesz chronić tego, czego nie widzisz. Po wdrożeniu procesu wykrywania i inwentaryzacji systemy powinny być wzmocnione i zabezpieczone. Ponadto ważne jest, aby organizacje stale oceniały i korygowały luki w swoich środowiskach IT za pomocą rozwiązania do zarządzania podatnościami.

Aby dowiedzieć się, jak rozwiązania Tripwire mogą pomóc w zabezpieczeniu Twojej firmy, kliknij tutaj.

Alternatywnie możesz zobaczyć, jak zrujnowaliśmy dzień klienta (ale uratowaliśmy ich rok) tutaj:

We use cookies to provide you with the best possible experience. By continuing, we will assume that you agree to our cookie policy