Wyciek danych 533 mln użytkowników Facebooka! Informacje, dotyczące 2,6 mln polskich użytkowników FB są publicznie dostępne! – wydarzenia z ostatnich dni to kolejny temat, związanych z cyberbezpieczeństwem, podchwycony przez media głównego nurtu. Z jednej strony to dobrze, bo pomaga dotrzeć m.in. z moją robotą do ludzi, którzy inaczej by o tym nie przeczytali. Z drugiej jednak – przekazy mainstreamu bywają zero-jedynkowe. Albo nic się nie dzieje, albo jest bardzo źle. No… nie całkiem tak powinno być.
Nowy wyciek danych – czy mam się bać?
Na pewno warto wiedzieć, czy:
- Moje dane w ogóle wyciekły
- Co zawiera się w opisywanym wycieku
Pierwsze sprawdzisz na stronie https://haveibeenpwned.com. Nieco na przekór temu, o czym od lat Wam mówię, to jedno z niewielu miejsc w sieci, gdzie bez ryzyka możecie wpisać swój adres mailowy. Witryna prowadzona przez Troya Hunta z Microsoftu od lat gromadzi dane, dotyczące mniejszych lub większych wycieków, by po wpisaniu Waszego maila pokazać Wam, czy znalazł się on w którymś z wycieków, a jeśli tak – to w którym. Dla potrzeb właśnie tego wycieku Troy Hunt dołożył do swojego serwisu możliwość sprawdzenia również numeru telefonu (to bowiem z numerami powiązane były dane, o których mówimy). Wpiszcie swój numer w formule +48xxxxxxxxx. Mój – niestety – znalazł się tam. Wojtka Jabczyńskiego też 😉 Jeśli Wasz również – przyjrzyjmy się, co jeszcze trafiło w ręce potencjalnie całego świata, w tym więc też ludzi, którzy mogą mieć złe zamiary.
Przede wszystkim dostępny w sieci plik nie zawiera:
- haseł/hashy haseł
- prywatnych wiadomości
Można więc choć trochę odetchnąć z ulgą. Jednak oprócz numeru telefonu znajdują się w nim:
- imię i nazwisko
- adres e-mail (nie zawsze)
- płeć
- stan cywilny
- zawód
- miasto
Czy taki wyciek danych czymś mi grozi?
Jeśli jesteś w grupie 15873 osób, które w rubryce „zawód” wpisały: „szlachta nie pracuje”, może grozić… Cóż, sami sobie odpowiedzcie 😉 A tak na serio – o ile nie ma tu danych wyjątkowo wrażliwych, z mojego punktu widzenia nawet te powyższe mogą pomóc w stworzeniu dedykowanego phishingu pod konkretną osobę, a za jej pomocą – na przykład na firmę, w której pracuje. Nawet jeśli nie zawsze te szczątkowe dane da się wykorzystać, mogą one pomóc atakującemu w poszukiwaniu dalszych informacji o ofierze.
Bez wątpienia takie dane mogą się także przydać firmom marketingowym. Skoro opisywane przeze mnie na stronie CERT Orange Polska hurtownie danych regularnie „podpinają” się pod rzekome konkursy o bony do sieciowych drogerii, na pewno nie pogardzą przeszło dwoma i pół milionami gotowych rekordów. Pół biedy, jeśli będą chcieli wyłudzić inne dane lub podrzucić targetowaną reklamę – gorzej jeśli pod szyldem reklamy wrzucą złośliwy kod.
Skąd przestępcy mają te dane?
Gdy już opisaliśmy rzeczy najważniejsze, warto wspomnieć o tym… skąd w ogóle takie dane znalazły się w sieci? Otóż wyciekły już dawno temu, w 2019 roku, gdy przestępcy wykorzystali załataną już lukę bezpieczeństwa Facebooka, pozwalającą na odpytanie serwisu o dane użytkownika po numerze telefonu i bezproblemowe ich uzyskanie. Po wykradzeniu informacje krążyły na czarnym rynku, zapewne oferowano je do sprzedaży. Fakt, iż ostatecznie trafiły do sieci może oznaczać, że złodziejom się nie powiodło i po złości wrzucili wszystko do sieci.
Choć tym razem wyjątkowo wrażliwe dane pozostały przy właścicielach, warto pamiętać o kilku kwestiach.
- Niezależnie od tego, czy Wasz numer wyciekł, czy nie (ale w tym pierwszym przypadku bardziej) bądźcie bardzo ostrożni, odbierając wiadomości e-mail od obcych
- Jeśli podsyłają Wam jakieś linki, albo pliki – poważnie się zastanówcie, czy aby na pewno chcecie je klikać/otwierać
- Potencjalne ataki phishingowe mogą mieć na celu przejęcie Waszych kont na Facebooku, warto więc:
- Sprawdzić, czy macie odpowiednio mocne hasło, a jeśli nie – zmienić je
- Uruchomić uwierzytelnianie dwuskładnikowe, o którym ostatnio pisałem
Nawet jeśli nie oberwaliśmy przesadnie po tym wycieku, warto wyciągnąć z niego nauczkę.
Trzymajcie się i bądźcie zdrowi.
