Tölvuþrjótarnir sem bera ábyrgð á apríl 2024 árás á AT&T búið til með gríðarlegu magni af notendagögnum. Samkvæmt skýrslur, brotið leiddi til sex mánaða símtala og textaskilaboða frá nánast öllum viðskiptavinum AT&T farsímakerfisins, sem áætlað er að m.a. 109 milljónir viðskiptavina með 127 milljónir tækja.
Þó að umfang brotsins sé ógnvekjandi, er það ekki eini þátturinn sem þarf að huga vel að. Aðstæðurnar sem auðveldaðu öryggisbilunina, sem og hvernig AT&T og embættismenn brugðust við, veita innsýn fyrir þá sem treysta á netöryggisráðstafanir til að halda gögnum sínum öruggum.
Hlutverk varnarleysis þriðja aðila í AT&T hakkinu
The Misheppnuð mannfjöldi sem leiddi til alþjóðlegrar tölvurofs í júlí 2024 benti á hættuna af því að treysta þriðja aðila til að veita öryggisþjónustu. AT&T bilunin varpar sviðsljósinu á annars konar varnarleysi þriðja aðila.
„Gögnin sem tóku þátt í AT&T hakkinu voru ekki síuð frá AT&T beint, heldur frá þriðja aðila skýjapalli,“ útskýrir Dev Nag, stofnandi og forstjóri QueryPal. „Sá þáttur brotsins undirstrikar mikilvægi öflugra gagnaaferða.
Nag er reyndur tæknifræðingur sem hefur starfað sem yfirverkfræðingur hjá Google og sem framkvæmdastjóri viðskiptarekstrarstefnu hjá PayPal. Hann setti QueryPal á markað til að gjörbylta upplifun viðskiptavina með því að bjóða upp á gervigreindarlausn til að gera sjálfvirkan miðasvör í miklu magni umhverfi.
AT&T hakkið undirstrikar flókið eðli gagnageymslulandslags nútímans. Fyrirtæki sem safna ótrúlegu magni af gögnum leita oft til þriðja aðila til að fá geymslu. Sú nálgun verður flókin þar sem geymsluveitendur flytja vaxandi eftirspurn til annarra fyrirtækja. Þess vegna er oft erfitt að ákvarða nákvæmlega hvaða fyrirtæki ber ábyrgð á öryggismálum.
„Það er ekki lengur nóg að dýralækna strax hjá söluaðilum,“ varar Nag við. „Þú verður að skilja allt gagnavistkerfið, þar með talið undirvinnsluaðila og öryggisráðstafanir þeirra.
AT&T hakkið vekur einnig upp spurningar um hversu mikið er of mikið þegar kemur að eftirsóttum notendagagnafyrirtækja. Sumir Sérfræðingar trúðu því að því meiri gögn sem fyrirtæki geymir, því meira aðlaðandi verður það fyrir tölvuþrjóta.
„Þetta brot neyðir okkur til að endurmeta stefnu um varðveislu gagna,“ segir Nag. „Þurfum við virkilega að geyma svona viðkvæm gögn á kerfum þriðja aðila í langan tíma - næstum ár í þessu tilviki - í raun og veru að búa til hunangspott fyrir árásarmenn?
Hugsanleg gáruáhrif AT&T hakksins
Þegar upplýsingar um hakkið fóru að koma í ljós tilkynnti AT&T í a fréttatilkynningu að gögnin innihaldi ekki „innihald símtala eða textaskilaboða, persónuupplýsingar eins og kennitölur, fæðingardagar eða aðrar persónugreinanlegar upplýsingar. Þó að það séu góðar fréttir, þá þýðir það ekki að gögnin sem fást séu ekki verðmæt fyrir tölvuþrjóta.
„Gögnin gefa tölvuþrjótum miklu betri mynd af skotmörkum sínum, sem gerir þeim kleift að gera árásir af betri gæðum,“ útskýrir Ashley Manraj, tæknistjóri hjá Pvotal tækni. „Þeir geta til dæmis notað gögnin til að vita hvaða lækna fólk hafði samskipti við eða hvaða þjónustu það skráði sig á. Þeir geta kannski ekki skaðað þig beint með gögnunum, en þeir geta notað þau til að læra meira um þig.“
Manraj er vanur öryggisendurskoðandi sem hefur eytt meira en áratug í að meta kerfi til að bera kennsl á veikleika í netöryggi. Lausnirnar Pvotal veitir stuðning fyrirtækjainnviða sem gera vexti og lipurð í hendur við öryggi.
Fréttatilkynning AT&T staðfestir áhyggjur Manraj og segir: „Þó að gögnin innihaldi ekki nöfn viðskiptavina eru oft leiðir, með því að nota opinberlega aðgengileg netverkfæri, til að finna nafnið sem tengist tilteknu símanúmeri.
Afleiðingar seinkaðrar birtingar á AT&T hakkinu
Þegar öryggisbrot á sér stað krefjast bestu starfsvenjur þess að þeir sem verða fyrir áhrifum séu upplýstir eins fljótt og auðið er. Viðskiptavinir gætu þurft að grípa til margvíslegra ráðstafana til að bregðast við broti, svo sem að breyta lykilorðum eða hætta við kreditkort. Að vita um brotið getur einnig hjálpað viðskiptavinum að vera tilbúnir fyrir svindl sem gögnin gætu kynt undir.
Hins vegar tóku fregnir af AT&T árásinni marga mánuði að koma upp á yfirborðið og AT&T rekur seinkunina til US Department of Justice.
"Samþykki DOJ til að fresta birtingu, með vísan til þjóðaröryggis eða almannaöryggisáhyggjuefna, er mjög óvenjulegt," segir Nag. „Almenn aðkoma DOJ og FBI, frekar en stofnana eins og CIA, bendir til þess að þetta gæti tengst yfirstandandi innlendri sakamálarannsókn, frekar en tölvuþrjótum. Þetta gæti bent til virks viðleitni til að rekja árásarmennina á meðan þeir halda áfram aðgerðum sínum, hugsanlega afhjúpa stærra glæpakerfi."
Þó að seinkunin sé óvenjuleg, eins og Nag bendir á, ætti hún að vekja fyrirtæki og neytendur á varðbergi um að það sé alltaf hægt. Tafir sem þjóna meiri tilgangi geta verið nauðsynlegar, jafnvel þegar þær geta valdið meiri skaða fyrir þá sem gögnin urðu fyrir áhrifum.
„Þættirnir sem spila með AT&T hakkinu varpa ljósi á ört vaxandi flókið netöryggi fjarskipta, þar sem gagnastjórnun og löggæslusjónarmið eru að verða jafn mikilvæg og hefðbundnar netöryggisráðstafanir,“ segir Nag.
AT&T hakkið minnir okkur á að netógnir eru í stöðugri þróun. Sérhvert nýtt brot hefur afleiðingar sem fyrirtæki og neytendur verða að íhuga ef þeir ætla að halda gögnum sínum öruggum.
