Miliony wskazówek dotyczących przestępstw mogły zostać ujawnione po tym, jak hacker ogłosiła, że przejęła kontrolę nad systemami wykorzystywanymi przez programy Crime Stoppers i inne organizacje na całym świecie.
W centrum tej sprawy znajduje się firma P3 Global Intel, teksański dostawca oprogramowania do zarządzania zgłoszeniami i danymi wywiadowczymi w chmurze, należący do Navigate360.
Haktywiści znani pod nazwą „Internet Yiff Machine” przekazali skradzione dane serwisowi Straight Arrow News (SAN). Według serwisu SAN grupa dostarczyła zbiór ponad 8,3 miliona rekordów, które rzekomo pochodzą z serwisu P3. Dane obejmują okres od 1987 roku aż do 2025 roku i zawierają informacje o przestępstwach przekazane za pośrednictwem programów Crime Stoppers, organów ścigania, szkół oraz niektórych agencji rządu federalnego Stanów Zjednoczonych.
Organizacja SAN poinformowała, że zweryfikowała część zbioru danych, kontaktując się z informatorami, których dane widniały w dokumentacji. Archiwum wycieków „Distributed Denial of Secrets” (DDoSecrets) podało, że również otrzymało kopię tych danych i zamierza udostępnić ją sprawdzonym dziennikarzom i badaczom.
Jeśli dane są autentyczne, wydaje się, że zawierają obszerne informacje osobowe dotyczące osób oskarżonych w zgłoszeniach, w tym imiona i nazwiska, adresy, numery telefonów, daty urodzenia, numery rejestracyjne pojazdów, numery ubezpieczenia społecznego oraz inne identyfikatory. Pomimo materiałów marketingowych, które obiecują informatorom, że ich tożsamość „pozostanie anonimowa przez cały czas”, organizacja SAN donosi, że w całym zbiorze danych pojawiają się również dane osobowe niektórych informatorów, którzy przekazali takie informacje. Pamięć podręczna rzekomo zawiera również szczegóły kont użytkowników, zgłoszenia do obsługi klienta, wewnętrzne biuletyny organów ścigania oraz niezaszyfrowane identyfikatory wiadomości i hasła używane przez informatorów do śledzenia zgłoszeń.
Navigate360, spółka macierzysta P3, nie potwierdziła naruszenia bezpieczeństwa ani zakresu ewentualnego wycieku danych. W oświadczeniu przekazanym agencji SAN dyrektor generalny Navigate360, JP Guilbault, powiedział:
„Jak dotąd nie potwierdziliśmy, aby doszło do uzyskania dostępu do jakichkolwiek poufnych informacji lub ich niewłaściwego wykorzystania”.
Jednak po wykryciu potencjalnego incydentu sieciowego firma zatrudniła zewnętrznego dostawcę usług kryminalistycznych. Jak podano, systemy P3 nadal działają, podczas gdy dochodzenie trwa.
Reakcje organów ścigania wskazują, że przynajmniej część użytkowników traktuje ten incydent jako poważne zagrożenie, nawet pomimo braku pełnego potwierdzenia technicznego. Komenda Policji w Portland, która korzysta z serwisu Crime Stoppers, publicznie zaleciła mieszkańcom, aby „tymczasowo powstrzymali się” od zgłaszania informacji za pośrednictwem platformy Crime Stoppers do czasu wyjaśnienia sytuacji.
W oświadczeniu cytowanym przez media lokalne i krajowe policja poinformowała, że ma świadomość doniesień o potencjalnym naruszeniu bezpieczeństwa danych w serwisie zewnętrznym służącym do zbierania anonimowych zgłoszeń oraz że „z nadmiernej ostrożności” prosi członków społeczności o tymczasowe unikanie korzystania z tej usługi. Zamiast tego policja w Portland zaleca osobom, które chcą przekazać informacje nieanonimowe, bezpośredni kontakt z komisariatem.
„Anonimowość” nie stanowi gwarancji technicznej
Według organizacji SAN platforma P3 może gromadzić informacje o sesjach użytkowników podczas zgłaszania wskazówek przez Internet i urządzenia mobilne. Jeśli tak jest, zainteresowane strony mogłyby potencjalnie wykorzystać te dane do identyfikacji anonimowych informatorów, co pokazuje, że „anonimowość” nie jest gwarancją techniczną. Chociaż żadna metoda nie jest niezawodna, eksperci zalecają podjęcie następujących kroków podczas zgłaszania przestępstwa:
- Korzystaj z przeglądarki zapewniającej ochronę prywatności oraz sprawdzonej sieci VPN, aby ukryć swój prawdziwy adres IP.
- Unikaj podawania informacji, które mogą pozwolić na zidentyfikowanie Ciebie, takich jak „mój sąsiad”, „mój szef” czy „moja była”.
- Jeśli formularz zgłoszenia wymaga podania danych kontaktowych, zastanów się, czy nie przeszkadza Ci to, że zgłoszenie nie będzie już anonimowe.
- Usuń metadane z przesyłanych plików (zdjęć, dokumentów, filmów), ponieważ mogą one zawierać współrzędne GPS, identyfikatory urządzeń i sygnatury czasowe.
Co zrobić, jeśli Twoje dane zostały naruszone
Jeśli uważasz, że padłeśofiarą naruszenia bezpieczeństwa danych, oto kroki, które możesz podjąć, aby się chronić:
- Sprawdź zalecenia firmy.Każde naruszenie jest inne, więc skontaktuj się z firmą, aby dowiedzieć się, co się stało, i postępuj zgodnie z jej zaleceniami.
- Zmiana hasła. Możesz sprawić, że skradzione hasło będzie bezużyteczne dla złodziei, zmieniając je. Wybierz silne hasło, którego nie używasz do niczego innego. Jeszcze lepiej, pozwól menedżerowi haseł wybrać je za Ciebie.
- Włączuwierzytelnianie dwuskładnikowe (2FA).Jeśli to możliwe, jako drugi składnik uwierzytelniania użyj klucza sprzętowego zgodnego ze standardem FIDO2, laptopa lub telefonu. Niektóre formy uwierzytelniania 2FA mogą być równie łatwo podszyte jak hasło, ale uwierzytelnianie 2FA oparte na urządzeniu FIDO2 nie może zostać podszyte.
- Uważaj na oszustów.Złodzieje mogą kontaktować się z Tobą, podając się za platformę, która padła ofiarą ataku. Sprawdź na oficjalnej stronie internetowej, czy kontaktuje się ona z ofiarami, i zweryfikuj tożsamość każdej osoby, która kontaktuje się z Tobą za pośrednictwem innego kanału komunikacji.
- Nie spiesz się. Ataki phishingowe często podszywają się pod znane osoby lub marki i wykorzystują tematy, które wymagają pilnej uwagi, takie jak nieodebrane dostawy, zawieszenie konta i alerty bezpieczeństwa.
- Rozważ nieprzechowywanie danych swojej karty. Zdecydowanie wygodniej jest pozwolić witrynom zapamiętać dane karty, ale zwiększa to ryzyko w przypadku naruszenia bezpieczeństwa przez sprzedawcę.
- Skonfigurujmonitorowanie tożsamości, które powiadomi Cię, jeśli Twojedane osobowezostaną wykryte jako przedmiot nielegalnego handlu w Internecie, i pomoże Ci w podjęciu odpowiednich działań.
Nie tylko informujemy o prywatności - oferujemy możliwość korzystania z niej.
Zagrożenia dla Privacy nigdy nie powinny wykraczać poza nagłówek. Zachowaj swoją prywatność online, korzystając z Malwarebytes Privacy VPN.
