Securitywatch: làm cho các tập đoàn, không phải khách hàng, bị vi phạm dữ liệu | tối đa xoáy

Vào ngày 29 tháng 3, Earl Enterprises thông báo rằng khách đến chuỗi nhà hàng của nó có thể đã bị đánh cắp thông tin thẻ tín dụng. Như thường lệ khi điều này xảy ra, tôi được yêu cầu tập hợp một số lời khuyên cho người tiêu dùng về những gì họ có thể làm để bảo vệ chính mình. Đó là một chủ đề mòn mỏi từ nhiều năm của những câu chuyện tương tự, nhưng lần này nó cảm thấy khác. Điều này một phần là do tính chất độc đáo của cuộc tấn công, nhưng cũng vì thực tiễn của chúng tôi trong việc đặt trách nhiệm dọn dẹp mớ hỗn độn cho người tiêu dùng không hoạt động. Đã đến lúc đặt trách nhiệm vào nơi mà các công ty cho phép dữ liệu bị xâm phạm ngay từ đầu.

Đối với vi phạm

Nếu bạn đã ăn ở Buca di Bếppo, Chicken Guy!, Bá tước Sandwich, Mixology, Planet Hollywood hoặc Tequila Taqueria cụ thể, bạn có thể đã bị đánh cắp thông tin thẻ tín dụng hoặc thẻ ghi nợ. Theo Earl Enterprises, điều này có thể bao gồm mọi thứ cần thiết để thực hiện hành vi gian lận: số thẻ, ngày hết hạn và một số tên chủ thẻ. Số người bị ảnh hưởng được báo cáo là khoảng 2 triệu.

Một sự thật thú vị về vi phạm đặc biệt này là nó không phải là vi phạm mỗi lần . Thay vào đó, tin tặc quản lý để truy cập từ xa các điểm bán hàng hoặc POS (vâng, đó là từ viết tắt thực sự) tại các nhà hàng khác nhau và cài đặt phần mềm độc hại làm mất dữ liệu của khách hàng. Thông tin đó được gộp lại và bán trên các trang web chợ đen.

Bạn có thể làm gì để giữ an toàn?

Ngoài một chút về phần mềm độc hại trên các máy POS, vi phạm / tấn công Earl Enterprises là khá điển hình. Theo lời khuyên tôi sẽ đưa ra về những gì người tiêu dùng (đó là bạn) có thể làm để giữ an toàn.

Đầu tiên, tôi thường nói, sử dụng thẻ tín dụng chứ không phải thẻ ghi nợ. Giao dịch thẻ tín dụng dễ dàng bị đảo ngược và các công ty thẻ tín dụng rất giỏi trong việc bắt gian lận trước khi bạn thực hiện. Điều quan trọng, bạn không chịu trách nhiệm cho các khoản phí thẻ tín dụng gian lận. Sử dụng thẻ ghi nợ thực chất là một giao dịch tiền mặt. Bạn có thể được hoàn trả cho những khoản này, nhưng đôi khi mất nhiều thời gian hơn và trong trường hợp xấu nhất có thể dẫn đến một số tranh cãi với ngân hàng hoặc FDIC.

Khi đã hết cách, tôi gặp vấn đề với các giao dịch magstripe. Magstripes là đơn giản ngu ngốc. Bạn có thể kết nối trình đọc magstripe USB, chạy thẻ và máy tính sẽ nhập thông tin vào tệp văn bản cho bạn. Thẻ chip (thẻ EMV) sử dụng một quy trình khác an toàn hơn và khó bị chặn hơn.

Điều đó dẫn đến một cuộc thảo luận tự nhiên về cách thông tin này thường bị đánh cắp với các thiết bị nhỏ được gọi là skimmer hoặc shimmer. Tôi có cả một câu chuyện về cách phát hiện ra chúng, vì vậy bạn chỉ cần đọc nó. Ý chính là kiểm tra máy POS trước khi bạn sử dụng chúng, trong mọi bối cảnh bạn gặp phải, đặc biệt là tại các máy bơm xăng và ATM ngoài trời. Tiết kiệm cho bạn một nhấp chuột (nhưng dù sao thì nhấp chuột, nó giúp tôi được trả tiền).

Sau đó, tôi sẽ giới thiệu toàn bộ về các giải pháp công nghệ cao cho thanh toán. Android Pay, Apple Pay và Samsung Pay sử dụng hệ thống mã thông báo không bao giờ tiết lộ thông tin thẻ tín dụng thực tế của bạn. Có vẻ như ít an toàn hơn khi sử dụng chúng vì thông tin được truyền không dây, nhưng nó thực sự rất tốt.

Sau đó, đôi khi tôi sẽ giải thích một chút về cách bạn có thể sử dụng Abine Blur để tạo thẻ tín dụng trả trước và địa chỉ email không có thật khi đang di chuyển. Có lẽ tôi sẽ đề cập đến việc tiền mặt và thẻ tín dụng trả trước là những cách kinh doanh an toàn và có ý thức bảo mật nhất. Tôi chắc chắn sẽ không xác nhận các dịch vụ chống trộm danh tính vì tôi không chắc chúng thực sự hoạt động và tôi sẽ không nói quá nhiều về giám sát tín dụng vì tôi không nghĩ bạn phải trả tiền cho thông tin tài chính của chính mình được biên soạn mà không có sự đồng ý của bạn

Tôi không bao giờ xác nhận Bitcoin vì làm hỏng những kẻ đó, nghiêm túc.

Nó không có vấn đề làm thế nào bạn cẩn thận

Chúng tôi viết những loại truyện này mọi lúc tại PCMag và chúng rất hữu ích để minh họa những điều nhỏ nhặt có thể tạo ra sự khác biệt trong cuộc sống của mọi người. Mọi người nên biết cách thanh toán thông minh hơn và nên sử dụng trình quản lý mật khẩu và 2FA, hoặc ít nhất là biết những điều này là gì để họ có thể đưa ra lựa chọn sáng suốt trong cuộc sống. Nhưng vi phạm Earl Enterprises thực sự đã đến với tôi, vì hầu như không có gì khách hàng có thể làm để thực sự bảo vệ chính họ.

Trong cuộc tấn công Earl Enterprises, những kẻ xấu đã truy cập từ xa vào các máy POS. Điều đó có nghĩa là cho dù khách hàng đã điều tra các đầu đọc thẻ nhiều đến đâu, họ sẽ không tìm thấy một bộ tách kem độc đáo vì mối đe dọa nằm trong máy. Hơn nữa, tại các nhà hàng ở Mỹ, khách hàng không luôn có tùy chọn để tham gia với thiết bị đầu cuối POS. Chúng tôi trao khoản thanh toán của mình cho máy chủ, người điều hành thẻ và trả lại bằng biên lai. Điều đó có nghĩa là khách hàng không thể sử dụng hệ thống thanh toán thiết bị di động mới hơn và an toàn hơn. Cũng không có gì đảm bảo rằng bất kỳ thương gia cụ thể nào cũng hỗ trợ chip EMV hoặc thanh toán di động hoặc nhân viên đó sẽ được đào tạo về cách sử dụng nó.

Điều đó không đề cập đến việc Earl Enterprises đã báo cáo phải mất 10 tháng để phản hồi vi phạm. Cũng không phải vì thông tin này được bán với số lượng lớn, là tiêu chuẩn cho các loại hoạt động này, nạn nhân có thể gặp hậu quả thứ hai và thứ ba trong nhiều năm tới.

Trong tất cả các lời khuyên tôi phải đưa ra về chủ đề này, đó chỉ để lại một lựa chọn: sử dụng tiền mặt hoặc thẻ trả trước. Đó là một tình trạng khá nực cười trong năm của lãnh chúa 2019 của chúng tôi khi tôi có thể sử dụng điện thoại để mua máy bay không người lái và giao nó đến nhà trước khi tôi về nhà, tất cả trong khi video gọi cho một người bạn ở Thái Lan.

Lần vi phạm dữ liệu lớn đầu tiên có vẻ như có thể thay đổi mọi thứ là vào năm 2013, khi có khoảng 110 triệu người mua sắm Target phát hiện ra rằng có một sự đặc biệt rõ ràng về thông tin cá nhân của họ. Giống như cuộc tấn công của Earl Enterprises, có rất ít khách hàng có thể thực hiện một cách khả thi để tự bảo vệ mình. Vào thời điểm đó, đã có lo ngại rằng phản ứng dữ dội của người tiêu dùng có thể nhấn chìm công ty.

Điều đó đã không xảy ra, và nó đã không xảy ra đối với bất kỳ vi phạm nào khác sau đó đã trở thành tiêu đề. Target đã thành công và trả một số tiền mặt, nhưng nó vẫn ở lại trong kinh doanh. Cũng không có hậu quả tàn khốc nào đối với bất kỳ vi phạm nào khác xảy ra sau đó, chúng tôi cũng không thấy nỗi đau tài chính thực sự khi một công ty cư xử tồi tệ và lạm dụng thông tin cá nhân của khách hàng (nhìn vào bạn, Facebook !). Trên thực tế, kiểu phản bội khách hàng này đã trở nên quá phổ biến, thật không có ý nghĩa gì khi PCMag che đậy cuộc tấn công của Earl Enterprises. Nó chỉ đơn giản là không đảm bảo sự chú ý.

Không có lượng tự vệ nào của người tiêu dùng sẽ ngăn chặn loại lừa đảo này và dường như không có báo chí xấu nào vi phạm an ninh sẽ gây thiệt hại cho một tập đoàn đủ để họ bảo vệ thông tin khách hàng đầy đủ. Theo suy nghĩ của tôi, điều đó để lại một lựa chọn: quy định.

Bảo vệ người tiêu dùng Bảo vệ người tiêu dùng

• Trình quản lý mật khẩu tốt nhất cho năm 2019 Trình quản lý mật khẩu tốt nhất cho năm 2019
• Hack mục tiêu bị ảnh hưởng tới 70 triệu người mua sắm Mục tiêu Hack bị ảnh hưởng lên tới 70 triệu người mua sắm
• Xác thực hai yếu tố: Ai có nó và làm thế nào để thiết lập nó Xác thực hai yếu tố: Ai có nó và làm thế nào để thiết lập nó

Các tập đoàn phải được tổ chức hợp pháp và chịu trách nhiệm về tài chính đối với các vi phạm an ninh ảnh hưởng đến khách hàng. Cần phải có tiền phạt, điều tra và hậu quả theo lệnh của tòa án. Tiền cần phải được chi cho luật sư rất nhiều tiền . Mô hình hiện tại mà khách hàng phải bỏ tiền và sức lực của chính mình để mang những bộ đồ kiện đến chịu là không hợp lý. Như là năng lượng cần thiết để bảo vệ bản thân chúng ta khỏi gian lận nhỏ, hoặc tệ hơn, cố gắng đưa cuộc sống của chúng tôi trở lại với nhau sau khi trộm cắp danh tính.

Các công ty cũng cần phải thực hiện các mối đe dọa nghiêm trọng và lên kế hoạch cho các cuộc tấn công. Tối thiểu dữ liệu khách hàng nên được lưu trữ, và bất cứ điều gì được lưu trữ nên được lưu giữ hoặc trong một số phương tiện khác để làm cho nó vô dụng đã bị đánh cắp. Những người tạo ra các hệ thống thanh toán cũng cần bắt đầu thực hiện các mối đe dọa một cách nghiêm túc, điều mà tôi chắc chắn họ sẽ làm nếu có nhu cầu từ các thương gia cho các thiết bị an toàn hơn.

Đã khá lâu rồi, tôi nghi ngờ rằng khối lượng thông tin cá nhân đã bị lộ trong thập kỷ qua có nghĩa là mọi người đã hoặc sẽ bị tổn thương theo một cách nào đó. Điều đó không thể chấp nhận được. Nói về bản thân tôi, tôi đang ở trong thẻ ghi nợ thứ hai vào năm 2019, bởi vì hai số đầu tiên đã bị xâm phạm. Đó là tháng tư.