Securitywatch: заставить корпорации, а не клиентов, пострадать от утечки данных | Макс Эдди

29 марта Earl Enterprises объявила, что у посетителей ее сетевых ресторанов может быть украдена информация о кредитной карте. Как обычно, когда такие вещи случаются, меня попросили собрать несколько советов для потребителей о том, что они могут сделать, чтобы защитить себя. Это изношенный предмет из лет похожих историй, но на этот раз он чувствовал себя по-другому. Это отчасти объясняется уникальным характером атаки, а также тем, что наша практика возложения ответственности за устранение путаницы на потребителей не работает. Пришло время взять на себя ответственность за корпорации, которые в первую очередь допустили компрометацию данных.

Нарушение

Если вы обедали в определенном Бука ди Беппо, Курином Парне !, Графе Сэндвича, Миксологии, Планете Голливуд или Текила Такерия, у вас, возможно, была украдена информация о вашей кредитной или дебетовой карте. Согласно Earl Enterprises, это могло включать в себя практически все, что необходимо для совершения мошенничества: номер карты, срок действия и некоторые имена владельцев карт. Сообщается, что число пострадавших составляет около 2 миллионов человек.

Интересным фактом об этом конкретном нарушении является то, что оно не было само по себе нарушением. Вместо этого хакерам удалось получить удаленный доступ к точкам продаж или POS-машинам (да, это настоящая аббревиатура) в различных ресторанах и установить вредоносное ПО, которое удаляло данные клиентов. Эта информация была объединена и продавалась на сайтах черного рынка.

Что вы можете сделать, чтобы оставаться в безопасности?

Помимо информации о вредоносном ПО на POS-машинах, атака / атака Earl Enterprises довольно типична. Так же я бы посоветовал, что могут сделать потребители (это вы), чтобы оставаться в безопасности.

Во-первых, я обычно говорю, используйте кредитную карту, а не дебетовую карту. Операции с кредитными картами легко отменяются, и компании, выпускающие кредитные карты, очень хорошо выявляют мошенничество, прежде чем делать это. Важно отметить, что вы не несете ответственности за мошеннические расходы по кредитной карте. Использование дебетовой карты по сути является транзакцией наличными. Вы можете получить возмещение за это, но иногда это занимает больше времени и в худшем случае может привести к некоторым спорам с банком или FDIC.

Как только это выходит за рамки, я перехожу к проблемам с транзакциями с магнитной полосой. Magstripes тупо просто. Вы можете подключить USB-считыватель магнитных карт, запустить карту, и компьютер введет информацию в текстовый файл для вас. Чип-карта (карта EMV) использует другой процесс, который намного безопаснее и труднее перехватить.

Это приводит к естественному обсуждению того, как эту информацию обычно крадут с помощью небольших устройств, называемых скиммерами или мерцателями. У меня есть целая история о том, как их найти, так что вы можете просто прочитать ее. Суть в том, что это хорошая идея - проверять POS-машины перед тем, как их использовать, в любых ситуациях, с которыми вы сталкиваетесь, особенно в газовых насосах и уличных банкоматах. Вы сохранили клик (но все равно кликните, это поможет мне заплатить).

После этого я расскажу о высокотехнологичных решениях для платежей. Android Pay, Apple Pay и Samsung Pay используют систему токенизации, которая никогда не раскрывает фактическую информацию о вашей кредитной карте. Это может показаться менее безопасным, поскольку информация передается по беспроводной сети, но на самом деле это очень хорошо.

Затем я немного расскажу о том, как вы можете использовать Abine Blur для создания предоплаченных кредитных карт и поддельных адресов электронной почты на лету. Возможно, я упомяну, что наличные и предоплаченные кредитные карты являются наиболее безопасными и конфиденциальными способами ведения бизнеса. Я определенно не буду одобрять услуги по защите от кражи личных данных, потому что я не уверен, что они действительно работают, и я не буду слишком много говорить о кредитном мониторинге, потому что я не думаю, что вам придется платить за собственную финансовую информацию, которая собирается без вашего согласия.

Я никогда не одобряю Биткойн, потому что эти парни серьезно.

Это не имеет значения, насколько вы осторожны

Мы постоянно пишем подобные истории в PCMag, и они полезны для иллюстрации мелочей, которые могут изменить жизнь людей. Люди должны знать более разумные способы оплаты, и им советуют использовать менеджеры паролей и 2FA, или, по крайней мере, знать, что это такое, чтобы они могли сделать осознанный выбор в своей жизни. Но нарушение Earl Enterprises действительно дошло до меня, потому что клиенты почти ничего не могли сделать, чтобы действительно защитить себя.

Во время атаки на Earl Enterprises злоумышленники имели удаленный доступ к POS-машинам. Это означает, что независимо от того, сколько клиент исследовал устройства считывания карт, он не собирался найти контрольный скиммер, потому что угроза была внутри машины. Более того, в ресторанах США клиенты не всегда могут даже воспользоваться POS-терминалом. Мы передаем наш платеж на сервер, который запускает карту и возвращает с квитанцией. Это означает, что клиенты не могут использовать более новую и безопасную платежную систему для мобильных устройств. Также нет гарантии, что какой-либо конкретный продавец поддерживает чипы EMV или мобильные платежи, или что персонал будет обучен его использованию.

Не говоря уже о том, что, как сообщалось, Earl Enterprises потребовалось 10 месяцев, чтобы отреагировать на нарушение. Кроме того, поскольку эта информация продавалась оптом, что является стандартным для операций такого рода, жертвы могут испытывать последствия второго и третьего порядка в течение многих последующих лет.

Из всех советов, которые я должен дать по этой теме, остается только один вариант: использовать наличные или карты предоплаты. Это довольно нелепое положение вещей в год нашего лорда 2019 года, когда я могу использовать телефон, чтобы купить беспилотник и доставить его ко мне домой, прежде чем я вернусь домой, и все это во время видеозвонка другу в Таиланде.

Первое массовое нарушение данных, которое, как казалось, могло изменить ситуацию, произошло в 2013 году, когда около 110 миллионов покупателей Target обнаружили, что в их личной информации есть специальное предложение. Как и атака на Earl Enterprises, клиенты мало что могли сделать, чтобы защитить себя. В то время было опасение, что негативная реакция потребителей может потопить компанию.

Этого не произошло, и это не произошло ни для одного из последующих нарушений, которые попали в заголовки. Target принял удар и выплатил немного денег, но он остался в бизнесе. Также не было разрушительных последствий для любого из других последующих нарушений, которые сделали заголовки, и мы не видели настоящей финансовой боли, когда компания ведет себя плохо и злоупотребляет конфиденциальной информацией своих клиентов (глядя на вас, facebook !). Фактически, такого рода предательство клиентов стало настолько распространенным явлением, что PCMag не имело смысла покрывать атаку на Earl Enterprises. Это просто не заслуживает внимания.

Никакая самооборона потребителя не остановит такого рода мошенничество, и, очевидно, никакое негативное давление на нарушения безопасности не повредит корпорации настолько, чтобы они могли адекватно защитить информацию клиента. На мой взгляд, это оставляет один вариант: регулирование.

Защита потребителей защищает потребителей

• Лучшие менеджеры паролей на 2019 год Лучшие менеджеры паролей на 2019 год
• Попадание в цель затронуло до 70M покупателей Попадание в цель затронуло до 70M покупателей
• Двухфакторная аутентификация: у кого она есть и как ее настроить Двухфакторная аутентификация: у кого она и как ее настроить

Корпорации должны нести юридическую и финансовую ответственность за нарушения безопасности, затрагивающие клиентов. Там должны быть штрафы, расследования и судебные решения. Деньги нужно тратить на адвокатов - много денег . Нынешняя модель, когда клиентам приходится тратить свои собственные деньги и энергию на то, чтобы принести судебные иски, нецелесообразна. Как и энергия, необходимая для защиты себя от мелкого мошенничества или, что еще хуже, от попыток восстановить жизнь после кражи личных данных.

Компании также должны серьезно относиться к угрозам и планировать атаки. Минимальный минимум данных о клиентах должен храниться, и все, что хранится, должно храниться в зашифрованном виде или каким-либо другим способом, чтобы сделать его бесполезным в случае кражи. Создатели платежных систем также должны начать серьезно относиться к угрозам, что, я уверен, было бы, если бы у продавцов был спрос на более безопасные устройства.

В течение долгого времени я подозревал, что огромное количество частной информации, которая была раскрыта в последнее десятилетие, означает, что каждый был или будет причинен какой-либо ущерб. Это не может быть приемлемым. Говоря от себя, я нахожусь на моей второй дебетовой карте 2019 года, потому что у первых двух были скомпрометированы их номера. Это апрель.