NY AG je obvestil 17 podjetij o kršitvah, pravi, da je bilo v napadih ogroženih 1,1 milijona računov

Bilo je sedemnajst podjetij obveščeni kibernetskih napadov, ki so ogrozili uporabniške podatke, je izvedla newyorška generalna pravosodna ministrica Letitia James po preiskavi prikrivanja poverilnic. Več kot 1 milijon računov strank je bilo ogroženih zaradi napadov, za katere je James dejal, da prej niso bili odkriti.

James je rekel, da je njena pisarna sproščanje vodnik za podjetja o tem, kako se lahko spopadejo z napadi s polnenjem poverilnic, pri čemer ugotavlja, da je praksa "hitro postala ena izmed najpogostejši vektorji napada na spletu." 17 prizadetih podjetij vključuje znane spletne trgovce na drobno, verige restavracij in dostavo hrane storitve.

FBI rekel lani napadi s polnenjem poverilnic – ki vključujejo ponavljajoče se avtomatizirane poskuse dostopa do spletnih računov z uporabniška imena in gesla, ukradena iz drugih spletnih storitev – so bila uporabljena za ogrožanje 50.000 spletnih bančnih računov od 2017. Akamai izpuščen lansko poročilo, v katerem je bilo ugotovljeno, da se je leta 2020 po vsem svetu zgodilo več kot 193 milijard napadov s polnenjem poverilnic.

"Trenutno po internetu kroži več kot 15 milijard ukradenih poverilnic, saj so osebni podatki uporabnikov ogroženi," je dejal James. »Podjetja so odgovorna, da sprejmejo ustrezne ukrepe za zaščito svojih strank na spletu račune, ta vodnik pa navaja ključne zaščitne ukrepe, ki jih lahko podjetja uporabijo v boju proti poverilnicam nadev. Storiti moramo vse, kar je v naši moči, da zaščitimo osebne podatke potrošnikov in njihovo zasebnost."

Urad generalnega državnega tožilca (OAG) je spremljal spletne skupnosti, namenjene polnjenju poverilnic, in našel na tisoče objav, ki vsebujejo prijavo strank poverilnice, ki so jih napadalci preizkusili v napadu s polnjenjem poverilnic in potrdili, da jih je mogoče uporabiti za dostop do računov strank na spletnih mestih ali spletnih mestih v aplikacijah.

Po stiku s podjetji je vseh 17 preiskalo ugotovitve OAG in sprejelo ukrepe za zaščito uporabnikov. OAG je dejal, da so "skoraj" vsa podjetja "uvedla ali načrtovala uvedbo dodatnih zaščitnih ukrepov."

Ti zaščitni ukrepi vključujejo storitve zaznavanja botov, večfaktorsko avtentikacijo in avtentikacijo brez gesla. Prav tako so pozvali podjetja, naj spremljajo promet strank za znake napadov s polnjenjem poverilnic, kot so skoki v obsegu prometa pri neuspelih poskusih prijave.

James je tudi dejal, da morajo podjetja uvesti ponovno avtentikacijo za podatke o plačilu strank kot način za preprečitev napadalcem dostopa do občutljivih informacij.

"Ključno pomembno je, da se za vsak način plačila, ki ga sprejme podjetje, zahteva ponovna avtentikacija. OAG je naletel na številne primere, v katerih so lahko napadalci izkoristili vrzeli v zaščiti pred goljufijami tako, da so opravili nakup z uporabo plačilne metode, ki ni zahtevala ponovne avtentikacije,« so sporočili iz OAG.

"Podjetja bi morala imeti pisni načrt za odzivanje na incidente, ki vključuje postopke za odzivanje na napade s polnjenjem poverilnic. Postopki bi morali vključevati preiskavo in obvestilo."

Pred dvema tednoma sta Nacionalna agencija Združenega kraljestva za boj proti kriminalu in Nacionalna enota za boj proti kibernetskemu kriminalu odkriti 225 milijonov predpomnilnika ukradenih e-poštnih sporočil in gesel, ki ga na koncu preda HaveIBeenPwned, ki sledi poverilnicam, ukradenim in/ali razkritim zaradi preteklih kršitev podatkov.