La hackers respondecaj pri la April 2024 atako sur AT&T forigita kun amasa kvanto da uzantdatenoj. Laŭ raportoj, la rompo enretigis ses monatojn da voko kaj tekstmesaĝoj de preskaŭ ĉiu AT&T ĉela retokliento, kiu estas taksita inkluzivi 109 milionoj da klientoj uzante 127 milionoj da aparatoj.
Kvankam la skalo de la rompo estas alarma, ĝi ne estas la sola faktoro, kiu meritas proksiman konsideron. La cirkonstancoj kiuj faciligis la sekurecan fiaskon, same kiel la maniero kiel AT&T kaj registaroficistoj respondis, provizas informojn por tiuj, kiuj fidas je cibersekurecaj mezuroj por konservi siajn datumojn sekuraj.
La rolo de triaparta vundebleco en la AT&T-hako
la Crowdstrike fiasko tio kaŭzis tutmondajn komputilajn malfunkciojn en julio 2024 elstarigis la danĝerojn de fidi al triapartaj provizantoj provizi sekurecajn servojn. La fiasko de AT&T atentigas malsaman tipon de triaparta vundebleco.
"La datumoj implikitaj en la hako de AT&T ne estis elfiltritaj rekte de AT&T, sed de triaparta nuba platformo," klarigas Dev Nag, Fondinto kaj Ĉefoficisto de QueryPal. "Tiu elemento de la rompo substrekas la kritikan gravecon de fortikaj datenliniaj praktikoj."
Nag estas sperta teknologia profesiulo, kiu laboris kiel Ĉefa Inĝeniero ĉe Google kaj kiel Manaĝero de Komerca Operacia Strategio ĉe PayPal. Li lanĉis QueryPal por revolucii klientan sperton provizante AI-funkciigitan solvon por aŭtomatigi biletajn respondojn en altvolumaj medioj.
La hako de AT&T reliefigas la kompleksan naturon de la hodiaŭa datum-stoka pejzaĝo. Firmaoj, kiuj amasigas mirindajn kvantojn da datumoj, ofte turnas sin al triaj provizantoj por stokado. Tiu aliro iĝas komplika ĉar stokadprovizantoj malŝarĝas kreskantajn postulojn al aliaj kompanioj. Kiel rezulto, estas ofte malfacile determini precize kiu kompanio respondecas pri sekureco.
"Ne plu sufiĉas kontroli viajn tujajn vendistojn," avertas Nag. "Vi devas kompreni la tutan datumekosistemon, inkluzive de subprocesoroj kaj iliaj sekurecaj mezuroj."
La AT&T-hako ankaŭ levas demandojn pri kiom estas tro multe kiam temas pri la restaro de uzant-datumaj kompanioj vendejo. Iuj spertuloj kredu, ju pli da datumoj stokas kompanio, des pli alloga ĝi fariĝas por piratoj.
"Ĉi tiu rompo devigas nin retaksi politikojn pri konservado de datumoj," diras Nag. "Ĉu ni vere bezonas konservi tiajn sentemajn datumojn sur triaj platformoj dum plilongigitaj periodoj - preskaŭ unu jaron en ĉi tiu kazo - esence kreante mielpoton por atakantoj?"
La ebla onda efiko de la AT&T-hako
Kiam la detaloj de la hako komencis aperi, AT&T anoncis en a gazetaro ke la datumoj ne enhavis "la enhavon de vokoj aŭ tekstoj, personajn informojn kiel numerojn de Socialasekuro, datojn de naskiĝo aŭ aliajn persone identigeblajn informojn." Kvankam tio estas bona novaĵo, ĝi ne signifas, ke la datumoj akiritaj ne estas valoraj por piratoj.
"La datumoj donas al piratoj multe pli bonan bildon de siaj celoj, permesante al ili fari pli bonkvalitajn atakojn," klarigas Ashley Manraj, Ĉefteknologia Oficiro ĉe Pvotal Technologies. "Ekzemple, ili povas uzi la datumojn por scii kun kiuj kuracistoj homoj interagis aŭ por kiuj servoj ili registris. Ili eble ne povos damaĝi vin rekte per la datumoj, sed ili povas uzi ĝin por lerni pli pri vi."
Manraj estas sperta sekureca revizoro, kiu pasigis pli ol jardekon taksante sistemojn por identigi vundeblecojn pri cibersekureco. La solvoj Pvotal provizas subtenajn entreprenajn infrastrukturojn, kiuj permesas kreskon kaj facilmovecon iri man-en-mane kun sekureco.
La gazetara komuniko de AT&T validas la zorgojn de Manraj, deklarante: "Kvankam la datumoj ne inkluzivas klientajn nomojn, ofte ekzistas manieroj, uzante publike disponeblajn retajn ilojn, por trovi la nomon asociitan kun specifa telefonnumero."
La implicoj de la malfrua malkaŝo de la AT&T-hako
Kiam sekureca rompo okazas, plej bonaj praktikoj postulas, ke tiuj tuŝitaj estu informitaj kiel eble plej baldaŭ. Klientoj eble bezonos fari diversajn paŝojn por respondi al rompo, kiel ŝanĝi pasvortojn aŭ nuligi kreditkartojn. Scii pri la rompo ankaŭ povas helpi klientojn esti pretaj por fraŭdoj, kiujn la datumoj povus nutri.
Tamen, raportoj pri la AT&T-atako daŭris monatojn por ekaperi, kaj AT&T atribuis la prokraston al la Usona Fako de Justeco.
"La aprobo de la DOJ prokrasti malkaŝon, citante zorgojn pri nacia sekureco aŭ publika sekureco, estas tre nekutima," diras Nag. "La publika partopreno de la DOJ kaj FBI, prefere ol agentejoj kiel la CIA, sugestas, ke tio povus esti ligita al daŭra enlanda krima enketo, prefere ol naciŝtataj piratoj. Ĉi tio povus indiki aktivan klopodon spuri la atakantojn dum ili daŭrigas siajn operaciojn, eble malkovrante pli grandan kriman reton."
Kvankam la prokrasto estas nekutima, kiel Nag atentigas, ĝi devus atentigi kompaniojn kaj konsumantojn, ke ĝi ĉiam eblas. Prokrastoj kiuj servas pli altan celon povas esti postulataj, eĉ kiam ili havas la eblecon kaŭzi pli da damaĝo al tiuj, kies datumoj estis tuŝitaj.
"La faktoroj en ludo kun la AT&T-hako reliefigas la rapide evoluantan kompleksecon de telekomunika cibersekureco, kie datumadministrado kaj leĝdevigaj konsideroj fariĝas tiel decidaj kiel tradiciaj retaj sekurecaj mezuroj," Nag diras.
La hako de AT&T memorigas nin, ke ciberminacoj konstante evoluas. Ĉiu nova rompo havas implicojn, kiujn kompanioj kaj konsumantoj devas konsideri, ĉu ili volas konservi siajn datumojn sekuraj.
