हैकर्स ने लगभग सभी AT&T ग्राहकों के कॉल और SMS रिकॉर्ड चुरा लिए

 (krebsonsecurity.com)
1 पॉइंट द्वारा GN⁺ 2024-07-13 | 1 टिप्पणियां | WhatsApp पर शेयर करें
  • AT&T के लगभग सभी ग्राहकों से जुड़े करीब 11 करोड़ कॉल और टेक्स्ट इंटरैक्शन रिकॉर्ड लीक हो गए, जिससे संदेशों का मुख्य कंटेंट न होने पर भी संपर्क संबंधों और कुछ लोकेशन का अनुमान लगाया जा सकता है
  • हमलावरों ने अप्रैल 2024 में एक थर्ड-पार्टी cloud platform पर मौजूद AT&T workspace तक पहुंच बनाई और 1 मई 2022 से 31 अक्टूबर 2022 तक तथा 2 जनवरी 2023 के रिकॉर्ड फ़ाइलें डाउनलोड कीं
  • लीक हुए डेटा में कॉल और टेक्स्ट का कंटेंट, Social Security नंबर, जन्मतिथि और अन्य व्यक्तिगत पहचान संबंधी जानकारी शामिल नहीं थी, लेकिन फोन नंबर और कुछ सेल टावर लोकेशन डेटा शामिल था
  • AT&T ने संघीय जांच एजेंसियों के अनुरोध और राष्ट्रीय सुरक्षा व सार्वजनिक सुरक्षा चिंताओं का हवाला देते हुए खुलासा टाल दिया, और FBI ने SEC Rule Item 1.05(c) के तहत देरी पर हुई चर्चा की पुष्टि की
  • यह घटना Snowflake से जुड़े उल्लंघनों से जुड़ी है, और केवल username तथा password से बड़े पैमाने के ग्राहक डेटा की सुरक्षा करने की प्रथा तथा multi-factor authentication की कमी एक प्रमुख जोखिम बनी हुई है

लगभग सभी ग्राहकों को प्रभावित करने वाला AT&T रिकॉर्ड लीक

  • AT&T Corp. ने खुलासा किया कि एक नए डेटा ब्रीच में करीब 11 करोड़ लोगों के फोन कॉल और टेक्स्ट मैसेज रिकॉर्ड उजागर हो गए
  • प्रभावित दायरा लगभग सभी AT&T ग्राहकों तक फैला है, और इसमें AT&T सेवाओं को दोबारा बेचने वाले mobile providers के कॉल व टेक्स्ट रिकॉर्ड भी शामिल हैं
  • कुछ रिकॉर्ड में ऐसा डेटा था जिसका उपयोग यह पता लगाने के लिए किया जा सकता था कि कॉल कहां से की गई या टेक्स्ट कहां से भेजा गया

कौन-सा डेटा लीक हुआ और क्या शामिल नहीं था

  • हमलावरों ने अप्रैल 2024 में एक थर्ड-पार्टी cloud platform पर मौजूद AT&T workspace तक पहुंच बनाई
  • डाउनलोड की गई फ़ाइलों में ग्राहकों के कॉल और टेक्स्ट इंटरैक्शन रिकॉर्ड निम्न अवधि के लिए शामिल थे
    • 1 मई 2022 से 31 अक्टूबर 2022
    • 2 जनवरी 2023
  • लीक हुए डेटा में निम्न चीजें शामिल नहीं थीं
    • कॉल का कंटेंट
    • टेक्स्ट का कंटेंट
    • Social Security नंबर
    • जन्मतिथि
    • अन्य व्यक्तिगत पहचान संबंधी जानकारी
  • कुछ रिकॉर्ड में सब्सक्राइबर के सबसे नज़दीकी cellular base station की लोकेशन जानकारी शामिल थी
    • इस जानकारी का उपयोग टेक्स्ट भेजने या कॉल करने/पाने वाले ग्राहक डिवाइस की अनुमानित लोकेशन जानने के लिए किया जा सकता है
  • डेटा में ग्राहकों के नाम नहीं थे, लेकिन AT&T ने माना कि सार्वजनिक ऑनलाइन टूल्स के जरिए किसी खास फोन नंबर से जुड़ा नाम अक्सर खोजा जा सकता है

खुलासे में देरी और जांच की प्रगति

  • AT&T को 19 अप्रैल 2024 को ब्रीच का पता चला, लेकिन संघीय जांच एजेंसियों के अनुरोध पर उसने खुलासा देर से किया
  • AT&T की SEC filing के अनुसार, इस ब्रीच के संबंध में कम से कम 1 व्यक्ति को अधिकारियों ने हिरासत में लिया है
  • FBI ने पुष्टि की कि उसने AT&T से प्रभावित ग्राहकों को सूचना देने में देरी करने का अनुरोध किया था
  • AT&T ने संभावित ग्राहक डेटा ब्रीच की पुष्टि होते ही FBI को घटना की रिपोर्ट कर दी थी, और AT&T, FBI तथा DOJ ने SEC Rule Item 1.05(c) के तहत खुलासे में संभावित देरी पर चर्चा की
  • देरी का कारण राष्ट्रीय सुरक्षा और सार्वजनिक सुरक्षा के लिए संभावित जोखिम था

Snowflake ब्रीच और multi-factor authentication की कमी

  • TechCrunch द्वारा उद्धृत AT&T प्रवक्ता के अनुसार, यह ग्राहक डेटा चोरी cloud data provider Snowflake के 160 से अधिक ग्राहकों से जुड़ी चल रही डेटा ब्रीच श्रृंखला का परिणाम है
  • हमलावरों ने समझ लिया था कि कई बड़ी कंपनियां Snowflake सर्वरों पर भारी मात्रा में संवेदनशील ग्राहक डेटा अपलोड करती हैं और खातों की सुरक्षा केवल username और password से करती हैं
  • Wired के अनुसार, Snowflake डेटा चोरी के पीछे के हैकरों ने dark web सेवाओं से चुराए गए Snowflake credentials खरीदे थे
    • इन credentials में information-stealing malware द्वारा निकाले गए username, password और authentication token शामिल थे
  • Snowflake अब सभी नए ग्राहकों के लिए multi-factor authentication अनिवार्य कर रहा है
  • जिस cloud database में AT&T ग्राहक रिकॉर्ड उजागर हुए, वह भी केवल username और password से सुरक्षित था, और multi-factor authentication आवश्यक नहीं था

Snowflake के अन्य प्रभावित व्यवसाय और AT&T का पिछला ब्रीच

  • Snowflake सर्वरों से लाखों ग्राहक रिकॉर्ड चोरी होने वाली अन्य कंपनियों में निम्न शामिल हैं
    • Advance Auto Parts
    • Allstate
    • Anheuser-Busch
    • Los Angeles Unified
    • Mitsubishi
    • Neiman Marcus
    • Pure Storage
    • Santander Bank
    • State Farm
    • Ticketmaster
  • AT&T ने इस साल की शुरुआत में 2018 के उस डेटा ब्रीच को स्वीकार करने के बाद, जिसमें करीब 76 लाख मौजूदा अकाउंट धारक और करीब 6.54 करोड़ पूर्व अकाउंट धारक प्रभावित थे, लाखों ग्राहकों के password reset किए
  • Advance Auto Parts के उजागर डेटा में 23 लाख पूर्व और वर्तमान कर्मचारियों या नौकरी आवेदकों के पूरे नाम, Social Security नंबर, ड्राइविंग लाइसेंस और सरकार द्वारा जारी ID नंबर शामिल थे

कॉल और टेक्स्ट मेटाडेटा से पैदा होने वाला जोखिम

  • application security architect Mark Burnett का मानना है कि इस AT&T ब्रीच में चोरी हुए डेटा की असली उपयोगिता यह जानने में है कि किसने किससे कितनी बार संपर्क किया
  • Burnett के अनुसार सबसे बड़ी चिंता यह है कि यह लीक AT&T के मुख्य डेटाबेस का नहीं, बल्कि “किसने किससे संपर्क किया” जैसे metadata का है
  • भले ही कॉल लॉग में timestamp या नाम न हों, फिर also यह सवाल बना रहता है कि ऐसे रिकॉर्ड किस उद्देश्य से इस्तेमाल किए जा सकते हैं

कॉर्पोरेट जिम्मेदारी और वित्तीय प्रभाव

  • बड़ी कंपनियों द्वारा संवेदनशील ग्राहक डेटा को बहुत कम सुरक्षा उपायों के साथ स्टोर करने की प्रथा अब भी एक अस्पष्ट समस्या बनी हुई है
  • डेटा ब्रीच के बाद सामूहिक मुकदमों को छोड़ दें, तो कमजोर सुरक्षा प्रथाओं के लिए कंपनियों को जवाबदेह ठहराने के साधन बहुत कम हैं
  • AT&T ने SEC को बताया कि इस घटना से AT&T की वित्तीय स्थिति या ऑपरेटिंग परिणामों पर महत्वपूर्ण प्रभाव पड़ने की संभावना नहीं है
  • AT&T की हालिया तिमाही आय 30 अरब डॉलर से अधिक रही

संबंधित पढ़ाई

1 टिप्पणियां

 
GN⁺ 2024-07-13
Hacker News की राय