Securitywatch: aby společnosti, ne zákazníci, utrpěly kvůli narušení dat max eddy

29. března Earl Enterprises oznámil, že návštěvníci jeho řetězových restaurací mohli mít ukradené informace o své kreditní kartě. Jako obvykle, když k tomu dojde, byl jsem požádán, abych dal spotřebitelům několik rad ohledně toho, co by mohli udělat, aby se chránili. Je to dobře opotřebované téma z let podobných příběhů, ale tentokrát to bylo jiné. Je to částečně kvůli jedinečné povaze útoku, ale také proto, že naše praxe spočívající v ukládání odpovědnosti za čištění zpráv na spotřebitele nefunguje. Je na čase dát břemeno tam, kam patří, na korporace, které v první řadě povolily kompromitaci dat.

K porušení

Pokud jste jedli v konkrétních Buca di Beppo, Chicken Guy !, hraběte ze sendviče, Mixology, Planet Hollywood nebo Tequila Taqueria, možná jste ukradli informace o vaší kreditní nebo debetní kartě. Podle Earl Enterprises to mohlo zahrnovat téměř vše potřebné k páchání podvodu: číslo karty, data vypršení platnosti a některá jména držitelů karet. Počet lidí, kterých se to týká, se uvádí kolem 2 milionů.

Zajímavým faktem o tomto konkrétním porušení je, že to nebylo porušení jako takové . Místo toho se hackerům podařilo vzdáleně přistupovat k prodejním místům nebo POS (ano, to je skutečná zkratka) v různých restauracích a instalovat malware, který škrábal data zákazníka. Tyto informace byly spojeny a prodány na webových stránkách na černém trhu.

Co můžete udělat, abyste zůstali v bezpečí?

Kromě bitů o malwaru na POS strojích je Earl Enterprises narušení / útok docela typické. Stejně jako radu, kterou bych dal, co spotřebitelé (to jste vy) mohou udělat, aby zůstali v bezpečí.

Nejprve obvykle říkám, používám kreditní kartu a ne debetní kartu. Transakce s kreditními kartami se snadno odvracejí a společnosti vydávající kreditní karty jsou velmi dobré na to, aby před podvodem chytily podvody. Důležité je, že nenesete odpovědnost za podvodné platby kreditní kartou. Použití debetní karty je v podstatě hotovostní transakce. Můžete za ně získat náhradu, ale někdy to trvá déle a v nejhorších scénářích může vést k nějakým potížím s bankou nebo FDIC.

Jakmile je to z cesty, jdu do problémů s magstripe transakcemi. Magstripes jsou hloupě jednoduché. Můžete připojit čtečku magstripe USB, spustit kartu a počítač vloží informace do textového souboru za vás. Čipová karta (EMV karta) používá jiný proces, který je mnohem bezpečnější a těžší zachytit.

To vede k přirozené diskusi o tom, jak jsou tyto informace obvykle odcizeny malými zařízeními zvanými skimmery nebo třpytky. Mám celý příběh o tom, jak je spatřit, takže si ho můžete jen přečíst. Hlavní myšlenkou je, že je dobré zkontrolovat POS stroje před jejich použitím, v každém kontextu, s nimiž se s nimi setkáte, ale zejména u plynových čerpadel a bankomatů ve venkovním prostředí. Uložili jsme vám kliknutí (ale přesto kliknete, pomůže mi to dostat zaplaceno).

Poté se pustím do celé věci o high-tech řešeních plateb. Android Pay, Apple Pay a Samsung Pay používají tokenizační systém, který nikdy neodhalí vaše skutečné informace o kreditní kartě. Zdá se, že je méně bezpečné je používat, protože informace jsou přenášeny bezdrátově, ale ve skutečnosti jsou velmi dobré.

Potom se občas trochu věnuji tomu, jak můžete Abine Blur použít k vytváření předplacených kreditních karet a falešných e-mailových adres za běhu. Možná se zmíním o tom, jak hotovost a předplacené kreditní karty jsou nejbezpečnějšími způsoby ochrany soukromí, které si uvědomují soukromí. Rozhodně nebudu podporovat služby ochrany před krádeží identity, protože si nejsem jistý, zda skutečně fungují, a nebudu příliš říkat o sledování úvěrů, protože si nemyslím, že byste měli platit za své vlastní finanční informace, které se sestavují. bez vašeho souhlasu.

Nikdy neschvaluji bitcoiny, protože ty lidi chlácholím vážně.

Nezáleží na tom, jak opatrní jste

Tyto příběhy píšeme neustále v PCMag a jsou užitečné pro ilustraci malých věcí, které mohou změnit životy lidí. Lidé by měli znát chytřejší způsoby, jak platit, a měli by být poučeni, aby používali správce hesel a 2FA, nebo alespoň věděli, o co jde, aby si mohli ve svém životě dělat informovaná rozhodnutí. Porušení Earl Enterprises se ke mně opravdu dostalo, protože téměř nic, co by zákazníci mohli udělat, aby se skutečně chránili.

V útoku Earl Enterprises měli zlí lidé vzdálený přístup k POS strojům. To znamená, že bez ohledu na to, do jaké míry zákazník prozkoumal čtečky karet, nenalezli prozrazujícího skimmera, protože hrozba byla uvnitř stroje. Navíc v amerických restauracích nemají zákazníci vždy možnost dokonce se zapojit do POS terminálu. Platbu předáváme serveru, který kartu spouští a vrací se s potvrzením. To znamená, že zákazníci nemohou používat novější a bezpečnější platební systém pro mobilní zařízení. Neexistuje ani záruka, že kterýkoli daný obchodník podporuje EMV čipy nebo mobilní platby nebo že by byli zaměstnanci vyškoleni, jak je používat.

Nemluvě o tom, že bylo hlášeno, že Earl Enterprises trvalo 10 měsíců, než odpovědělo na porušení. Ani proto, že tyto informace byly prodávány ve velkém, což je standardem pro tyto druhy operací, mohly oběti po nadcházející roky zažít důsledky druhého a třetího řádu.

Ze všech rad, které musím dát tomuto tématu, zůstává pouze jedna možnost: použít hotovost nebo předplacené karty. To je docela směšný stav v roce našeho lorda 2019, kdy mohu pomocí telefonu koupit dron a nechat ho doručit do mého domu, než se dostanu domů, to vše při videohovoru s přítelem v Thajsku.

První masivní narušení dat, které vypadalo, že by to mohlo změnit věci, bylo v roce 2013, když něco jako 110 milionů cílových nakupujících zjistilo, že na jejich soukromých informacích existuje speciální světlo. Stejně jako útok Earl Enterprises existovalo jen málo toho, co by zákazníci mohli udělat, aby se chránili. V té době existovaly obavy, že by spotřebitelská vůle mohla potopit společnost.

To se nestalo a nestalo se to ani u žádného z dalších následných porušení, která dělala titulky. Target se trefil a vyplatil nějaké peníze, ale zůstal v podnikání. Také neměly ničivé následky na žádné z dalších následných porušení, která dělala titulky, ani jsme neviděli skutečnou finanční bolest, když se společnost chová špatně a zneužívá soukromé informace svých zákazníků (při pohledu na vás, Facebook !). Ve skutečnosti se tento druh zrady zákazníků stal tak běžným, že pro PCMag nemělo smysl pokrýt útok Earl Enterprises. Prostě to nezaručovalo pozornost.

Žádná část sebeobrany spotřebitelů nezastaví tento druh podvodu a zjevně žádné množství špatného tisku kvůli narušení bezpečnosti nepoškodí korporaci natolik, aby pro ně adekvátně chránilo informace o zákaznících. Podle mého názoru to ponechává jednu možnost: regulaci.

Ochrana spotřebitele Chrání spotřebitele

• Nejlepší správci hesel pro rok 2019 Nejlepší správci hesel pro rok 2019
• Cíl Hack zasažen až 70 milionů nakupujících Cíl Hack zasažen až 70 milionů nakupujících
• Ověření dvoufaktorem: Kdo to má a jak to nastavit Ověření dvoufaktorem: kdo to má a jak to nastavit

Podniky musí být právně a finančně odpovědné za narušení bezpečnosti, které ovlivňují zákazníky. Musí existovat pokuty, vyšetřování a důsledky nařízené soudem. Peníze je třeba utratit za právníky - hodně peněz . Současný model, kdy zákazníci musí utrácet své vlastní peníze a energii, aby přinesli zákony, které mají nést, je nepřiměřený. Stejně jako je vyžadována energie, která nás chrání před drobnými podvody, nebo, co je horší, snaží se dát naše životy dohromady po krádeži identity.

Společnosti musí také brát hrozby vážně a plánovat útoky. Měla by být uložena nejmenší data o zákaznících a cokoli, co je uloženo, by mělo být uchováno v encyklopedii nebo jiným způsobem, aby bylo v případě krádeže zbytečné. Tvůrci platebních systémů také musí začít brát hrozby vážně, což jsem si jistý, že pokud by od obchodníků existovala poptávka po bezpečnějších zařízeních.

Už nějakou dobu jsem měl podezření, že samotný objem soukromých informací, které byly odhaleny v posledním desetiletí, znamená, že všichni nějakým způsobem ublížili nebo budou ublížit. To nemůže být přijatelné. Mluvím pro sebe, jsem na své druhé debetní kartě z roku 2019, protože první dva měli jejich čísla ohrožena. Je duben.