McGraw Hill-lekkasje: 13,5 millioner kontoer eksponert
10. april 2024 ble utdanningsgiganten McGraw Hill kompromittert. 13,5 millioner kontoer med navn, e-postadresser, telefonnumre og fysiske adresser er nå tilgjengelig på nettet. Fire andre store selskaper ble rammet samme måned.
Hva inneholder McGraw Hill-lekkasjen?
Dataene fra McGraw Hill ble registrert i Have I Been Pwned 16. april, seks dager etter innbruddet. Lekkasjen inneholder fire datatyper:
- E-postadresser, primærnøkkel for pålogging på de fleste tjenester
- Navn, gjør phishing-e-poster mer troverdige
- Telefonnumre, åpner for SMS-svindel (smishing) og sosial manipulasjon
- Fysiske adresser, muliggjør identitetstyveri, falske fakturaer og fysisk trusselaktivitet
McGraw Hill driver digitale læringsplattformer brukt av skoler, universiteter og bedrifter over hele verden. Kombinasjonen av e-post og fulle adresser gjør dataene svært verdifulle for kriminelle som lager falske læremiddel-fakturaer eller utgir seg for å være IT-støtte fra utdanningsinstitusjoner.
Fire andre store lekkasjer i april 2024
McGraw Hill var ikke eneste offer. Her er de andre store lekkasjene fra samme måned:
Pitney Bowes (8,2 millioner kontoer)
Innbrudd 20. april, publisert 27. april. Pitney Bowes leverer post- og fraktløsninger til bedrifter. Lekkasjen inkluderer e-post, navn, telefonnumre, jobbtitler og fysiske adresser. Jobbtitler gjør dataene ekstra farlige, angripere kan målrette beslutningstakere med falske fakturaer eller CEO-svindel.
Carnival (7,5 millioner kontoer)
Innbrudd 18. april, publisert 24. april. Cruiserederiet Carnival mistet e-post, navn, fødselsdatoer, kjønn, geografisk lokasjon, lojalitetsprogramdetaljer og tiltaleformer. Kombinasjonen av fødselsdato og lojalitetsprogram gjør identitetstyveri enklere, angripere kan utgi seg for å være kunder overfor kundeservice.
ADT (5,5 millioner kontoer)
Innbrudd 20. april, publisert 27. april. Sikkerhetsfirmaet ADT tapte e-post, navn, fødselsdatoer, telefonnumre, fysiske adresser og delvise offentlige ID-numre. Dette er spesielt alvorlig, selv delvis ID-informasjon kan brukes til identitetstyveri eller falske søknader om kreditt.
ZenBusiness (5,1 millioner kontoer)
Innbrudd 27. mars, publisert 2. mai. ZenBusiness hjelper småbedrifter med å registrere selskaper og administrere compliance. Lekkasjen inneholder e-post, navn og telefonnumre. Enklere datasett, men farlig fordi ofrene er bedriftseiere, en gruppe ofte utsatt for svindel rettet mot firmainformasjon.
Hva bør du gjøre nå?
Hvis du har brukt e-postadressen din hos noen av disse selskapene, ta disse tre stegene umiddelbart:
1. Sjekk om du er rammet. Bruk Sentinel MailScan eller gå direkte til haveibeenpwned.com. Tast inn e-postadressen din og se om den står på listen over kompromitterte kontoer.
2. Endre passord på relaterte kontoer. Hvis du har brukt samme passord flere steder, endre det overalt. Bruk unike passord for hver tjeneste. En passordbehandler gjør dette håndterbart.
3. Vær ekstra obs på phishing. Angripere vet nå navnet ditt, adressen din, kanskje telefonnummeret ditt. Forvent e-poster eller SMS som ser ekte ut, men ber deg klikke lenker eller bekrefte informasjon. Sjekk alltid avsenders domene nøye, bedrifter sender sjelden lenker i varslings-e-poster.
Hvis du er PLUSS-kunde i Sentinel, er e-postadressen din allerede under kontinuerlig overvåkning. Du får varsler automatisk når nye lekkasjer publiseres i HIBP, vanligvis innen én time etter at de legges til. For de som ikke har aktiv overvåkning: nå er et godt tidspunkt å sette opp varsling.
Hvorfor skjer dette så ofte?
39,8 millioner kontoer på tre uker. Tallene er store, men mønsteret er kjent. Bedrifter samler mer data enn de klarer å beskytte. Legacy-systemer kobles til skyen uten ordentlig sikring. Ansatte klikker på phishing-lenker. Programvare med kjente sårbarheter blir ikke oppdatert.
McGraw Hill, Pitney Bowes, Carnival, ADT og ZenBusiness har én ting felles: de håndterer kundeinformasjon som er verdifull nok til å være mål, men ikke alltid kritisk nok til å få topprioritering i sikkerhet-budsjettet. Resultatet ser vi nå.
Som sluttbruker har du begrenset kontroll over andres sikkerhet. Men du kan kontrollere passordhygiene, aktivere tofaktor-autentisering hvor det finnes, og holde øye med om dataene dine dukker opp i nye lekkasjer. Det er forskjellen mellom å oppdage et problem tidlig og å finne ut at noen har brukt identiteten din i flere måneder.