Wprowadzenie do problemu / definicja
Na podziemnych forach cyberprzestępczych pojawiła się oferta sprzedaży obszernej bazy danych powiązanej z kontami użytkowników należących do ekosystemu wydawniczego Condé Nast. Sprawa dotyczy rzekomo 32,8 mln rekordów i stanowi przykład incydentu typu data breach, w którym wartość operacyjna danych nie wynika z obecności haseł czy kart płatniczych, lecz z możliwości ich wykorzystania do precyzyjnego phishingu, oszustw oraz korelacji z innymi wyciekami.
W skrócie
- Oferta ma obejmować 32 815 767 unikalnych adresów e-mail oraz dodatkowe dane części użytkowników.
- Wśród atrybutów mają znajdować się m.in. imiona i nazwiska, adresy pocztowe, płeć, daty urodzenia i numery telefonów.
- Cały zbiór miał zostać wystawiony na sprzedaż za 15 tys. USD.
- Dostępne analizy wskazują, że dane mogą być autentyczne, ale brak publicznego potwierdzenia pełnego zakresu incydentu.
Kontekst / historia
Incydent wpisuje się w szerszy kontekst wcześniejszego wycieku danych powiązanego z marką WIRED, należącą do portfolio Condé Nast. Obecna oferta sprzedaży ma być związana z pełniejszym zbiorem danych, z którego wcześniej publicznie ujawniono jedynie fragment. To dobrze znany model działania w cyberprzestępczym obiegu danych: najpierw publikowana jest próbka służąca do potwierdzenia autentyczności, a następnie większa baza trafia do sprzedaży prywatnej.
Dla organizacji medialnych i platform subskrypcyjnych takie incydenty są szczególnie niebezpieczne, ponieważ gromadzą one dane relacyjne o użytkownikach, w tym informacje kontaktowe, dane rejestracyjne oraz kontekst związany z konkretną marką czy tytułem prasowym. Nawet jeśli baza nie zawiera haseł, może posłużyć do tworzenia wyjątkowo wiarygodnych kampanii socjotechnicznych.
Analiza techniczna
Z technicznego punktu widzenia kluczowy jest charakter i spójność ujawnionych danych. Opisywana próbka ma zawierać rekordy odpowiadające realnej strukturze długoterminowej bazy konsumenckiej. Wskazywać mają na to typowe dla prawdziwych formularzy niespójności, zróżnicowany poziom uzupełnienia pól, zgodność części danych adresowych oraz szeroka chronologia zakładania kont.
Analiza sugeruje również, że nie musi chodzić wyłącznie o prostą kopię wcześniej opisanego zbioru WIRED. Różnice w strukturze pól oraz większe nasycenie danymi adresowymi mogą oznaczać, że zestaw obejmuje szersze portfolio marek. To istotne, ponieważ zwiększa użyteczność danych dla przestępców, którzy mogą segmentować ofiary według tytułu prasowego, demografii lub preferowanego kanału kontaktu.
Wśród hipotez dotyczących potencjalnego wektora naruszenia pojawiają się scenariusze związane z błędami kontroli dostępu, w tym z mechanizmami zbliżonymi do IDOR. Tego typu słabości pozwalają pobierać dane innych użytkowników poprzez manipulowanie identyfikatorami obiektów lub żądań aplikacyjnych przy niewystarczającej autoryzacji po stronie serwera. Nie jest to jednak publicznie potwierdzony mechanizm dla całego opisywanego zbioru, dlatego należy traktować go jako prawdopodobny kierunek analizy, a nie rozstrzygnięty fakt.
Warto podkreślić, że brak haseł, hashy haseł i danych kart płatniczych nie obniża znacząco wartości takiej bazy. Dla operatorów kampanii phishingowych bardziej użyteczne bywają zestawy zawierające prawdziwe dane kontaktowe, adresy i kontekst relacji z marką niż same poświadczenia bez możliwości wiarygodnego podszycia się pod usługodawcę.
Konsekwencje / ryzyko
Najbardziej prawdopodobnym skutkiem operacyjnym jest wzrost jakości ataków socjotechnicznych. Użytkownik, którego imię, adres e-mail, adres korespondencyjny i powiązanie z konkretnym tytułem prasowym są znane atakującemu, staje się łatwym celem wiadomości o rzekomej odnowie subskrypcji, problemach z płatnością, korekcie dostawy, zwrocie środków lub weryfikacji konta.
Ryzyko nie ogranicza się do poczty elektronicznej. Jeżeli część rekordów zawiera adresy pocztowe i numery telefonów, możliwe są również kampanie smishingowe, vishingowe oraz oszustwa prowadzone tradycyjną korespondencją. Dane mogą też zostać połączone z innymi wyciekami w celu wzbogacenia profilu ofiary, przygotowania ataków na konta oparte na tym samym adresie e-mail albo budowy list do dalszej monetyzacji.
Dla organizacji konsekwencje obejmują ryzyko reputacyjne, wzrost kosztów obsługi incydentu, potencjalne roszczenia użytkowników oraz konieczność przeprowadzenia dodatkowych działań audytowych. Nawet bez publicznego potwierdzenia pełnego zakresu naruszenia sama obecność dużego zbioru na rynku przestępczym może wymusić działania komunikacyjne i defensywne.
Rekomendacje
Organizacje zarządzające dużymi bazami użytkowników powinny w pierwszej kolejności zweryfikować logi dostępu do aplikacji, API i paneli administracyjnych pod kątem masowego pobierania rekordów, nietypowej enumeracji identyfikatorów oraz długotrwałych wzorców ekstrakcji danych. Konieczne jest także sprawdzenie mechanizmów autoryzacji na poziomie obiektów, testy pod kątem IDOR oraz przegląd separacji uprawnień między usługami i kontami serwisowymi.
Należy wdrożyć lub zaostrzyć kontrolę limitów zapytań, monitorowanie anomalii, tokenizację lub minimalizację danych oraz retencję ograniczającą czas przechowywania informacji niekrytycznych biznesowo. W przypadku platform subskrypcyjnych szczególne znaczenie ma segmentacja danych klientów, aby ewentualny wyciek z jednego komponentu nie dawał pełnego wglądu w komplet profili użytkowników.
Po stronie użytkowników zalecane jest zachowanie podwyższonej ostrożności wobec wiadomości dotyczących subskrypcji, rozliczeń i dostaw. Nie należy klikać w odnośniki z e-maili ani SMS-ów dotyczących rzekomych problemów z kontem; bezpieczniej jest samodzielnie wejść na znaną stronę usługi i zweryfikować informacje po zalogowaniu. Warto także stosować menedżer haseł, unikalne hasła dla różnych serwisów oraz uwierzytelnianie wieloskładnikowe dla kont o podwyższonym znaczeniu.
Dla zespołów SOC i IR praktycznym krokiem jest przygotowanie reguł wykrywania kampanii podszywających się pod marki z portfolio wydawniczego oraz monitorowanie dark webu pod kątem dalszej dystrybucji zbioru. Równie ważne pozostaje szybkie ostrzeganie użytkowników o możliwych scenariuszach oszustw, zanim dane zostaną wykorzystane na większą skalę.
Podsumowanie
Sprawa rzekomej sprzedaży danych 32,8 mln użytkowników Condé Nast pokazuje, że wyciek danych osobowych nie musi obejmować haseł ani kart płatniczych, aby stanowił poważne zagrożenie cyberbezpieczeństwa. Największą wartością dla atakujących jest możliwość budowy wiarygodnych, spersonalizowanych kampanii socjotechnicznych oraz łączenia rekordów z innymi źródłami. Z perspektywy obronnej kluczowe są silna kontrola dostępu na poziomie aplikacji, monitoring ekstrakcji danych, minimalizacja przechowywanych informacji oraz szybka komunikacja z użytkownikami narażonymi na phishing i oszustwa.
Źródła
- Security Affairs — https://securityaffairs.com/198628/data-breach/conde-nast-data-of-32-8-million-users-offered-for-sale-after-wired-leak.html
- Ransomnews original report — https://ransomnews.com/
- SecurityWeek — https://www.securityweek.com/