Securitywatch: змушують корпорації, а не клієнтів, за порушення даних | макс

29 березня Earl Enterprises оголосив, що у відвідувачів ресторанів цієї мережі, можливо, було викрадено інформацію про їхні кредитні картки. Як завжди, коли подібні речі трапляються, мене попросили скласти поради для споживачів, що вони можуть зробити, щоб захистити себе. Це добре зношений предмет із років подібних історій, але цього разу він відчував себе інакше. Частково це пояснюється унікальним характером нападу, а також тому, що наша практика покладати відповідальність за очищення заблуд на споживачів не працює. Настав час поставити перевагу на те, де вона належить, на корпорації, які дозволили в першу чергу порушити дані.

У порушення

Якщо ви їли в певних Buca di Beppo, Chicken Guy !, Earl of Sandwich, Mixology, Planet Hollywood, або Tequila Taqueria, можливо, у вас були вкрадені дані про ваші кредитні чи дебетові картки. На думку Earl Enterprises, це могло включати майже все, що потрібно для вчинення шахрайства: номер картки, термін придатності та деякі імена власників картки. Повідомляється, що кількість постраждалих людей становить близько 2 мільйонів.

Цікавим фактом у цьому конкретному порушенні є те, що воно не було самим собою . Натомість хакерам вдалося віддалено отримати доступ до торгових точок або POS (так, це справжня абревіатура) в різних ресторанах та встановити зловмисне програмне забезпечення, яке скребило дані клієнтів. Ця інформація була зібрана разом і продана на веб-сайтах чорного ринку.

Що ви можете зробити, щоб залишатися в безпеці?

Крім дефіциту шкідливих програм на POS-машинах, порушення / атака Earl Enterprises є досить типовим. Як і поради, які я б дав щодо того, що можуть зробити споживачі (це ви), щоб залишатися в безпеці.

По-перше, я зазвичай кажу, користуйтеся кредитною карткою, а не дебетовою карткою. Операції з кредитними картками легко відміняти, а компанії з кредитними картками дуже добре вловлюють шахрайство перед вами. Що важливо, ви не несете відповідальності за шахрайські збори з кредитних карт. Використання дебетової картки - це, по суті, грошова операція. Ви можете отримати відшкодування за ці кошти, але іноді це забирає більше часу, і в гірших випадках це може призвести до суперечок з банком або FDIC.

Як тільки це не виходить, я вступаю в проблеми з транзакціями magstripe. Сорочки тупо прості. Ви можете підключити USB-зчитувач магстрип, запустити картку, і комп'ютер введе інформацію в текстовий файл для вас. Чипова карта (EMV-карта) використовує інший процес, який набагато безпечніше і важче перехопити.

Це призводить до природного обговорення того, як цю інформацію зазвичай крадуть за допомогою невеликих пристроїв, званих скиммерами або мерехтіннями. У мене є ціла історія про те, як їх помітити, так що ви можете просто її прочитати. Суть полягає в тому, що корисно оглянути POS машини перед їх використанням у будь-якому контексті, з яким ви стикаєтесь, але особливо на бензонасосах та відкритих банкоматах. Зберегли вам клік (але все одно натисніть, це допоможе мені отримати плату).

Після цього я розпочну цілу справу про високотехнологічні рішення щодо платежів. Android Pay, Apple Pay та Samsung Pay використовують систему токенізації, яка ніколи не розкриває фактичну інформацію про ваші кредитні картки. Їх може здатися менш безпечним, оскільки інформація передається бездротовим шляхом, але насправді це дуже добре.

Тоді я іноді трохи торкнуся того, як ви можете використовувати Abine Blur для створення передплачених кредитних карток та неправдивих адрес електронної пошти на льоту. Можливо, я згадаю, як готівкові та передплачені кредитні картки - це найбезпечніший та безпечний для конфіденційності спосіб ведення бізнесу. Я точно не схвалюю послуги захисту крадіжок особи, оскільки я не впевнений, що вони працюють, і я не скажу занадто багато про моніторинг кредиту, тому що я не думаю, що вам доведеться платити за власну фінансову інформацію, яка збирається. без вашої згоди

Я ніколи не схвалюю біткойн, тому що серйозно накручую цих хлопців.

Це не має значення, наскільки ви обережні

Ми постійно пишемо подібні історії в PCMag, і вони корисні для ілюстрації дрібниць, які можуть змінити життя людей. Люди повинні знати розумніші способи оплати, і їм рекомендується використовувати менеджери паролів та 2FA, або принаймні знати, що це за речі, щоб вони могли робити усвідомлений вибір у своєму житті. Але порушення Earl Enterprises насправді дійшло до мене, оскільки клієнти майже нічого не могли зробити, щоб справді захистити себе.

Під час нападу Earl Enterprises погані хлопці мали віддалений доступ до POS-машин. Це означає, що незалежно від того, наскільки клієнт досліджував зчитувачі карт, вони не збиралися знайти контрольний скиммер, оскільки загроза була всередині машини. Більше того, в ресторанах у США клієнти не завжди отримують можливість навіть спілкуватися з POS-терміналом. Ми передаємо свій платіж серверу, який запускає картку та повертається з квитанцією. Це означає, що клієнти не можуть використовувати новішу та безпечнішу систему оплати мобільних пристроїв. Також немає гарантій, що будь-який продавець підтримує мікросхеми EMV або мобільні платежі, або що персонал буде навчений їх користуванню.

Це не кажучи вже про те, що повідомлялося, що Earl Enterprises потребує 10 місяців, щоб відповісти на порушення. Крім того, оскільки ця інформація продавалася оптом, що є стандартним для подібних операцій, жертви можуть зазнати наслідків другого та третього порядку на наступні роки.

З усіх порад, які я маю дати на цю тему, це лише один варіант: використовувати готівкові або передплачені картки. Це досить смішний стан справ у році нашого лорда 2019, коли я можу користуватися телефоном, щоб придбати дрон і доставити його до мого дому, перш ніж приїхати додому, все під час відеодзвінка до друга в Таїланді.

Перше масштабне порушення даних, яке, здавалося, може змінити ситуацію, відбулося в 2013 році, коли щось на кшталт 110 мільйонів покупців Target виявило, що в їх приватній інформації є особливе світло. Як і атака Earl Enterprises, клієнтів було мало можливо зробити, щоб захистити себе. У той час існувало занепокоєння, що реакція споживачів може затопити компанію.

Цього не відбулося, і цього не сталося за жодним з інших наступних порушень, які викликали заголовки. Таргет вдарив і заплатив трохи готівки, але він залишився в бізнесі. Також не було руйнівних наслідків для будь-яких інших наступних порушень, які спричинили заголовки, і ми не побачили справжнього фінансового болю, коли компанія веде себе погано і зловживає приватною інформацією своїх клієнтів (дивлячись на вас, Facebook !). Насправді така зрада клієнтів стала настільки звичною, що PCMag не мав сенсу висвітлювати атаку Earl Enterprises. Він просто не вимагав уваги.

Жодна кількість самооборони споживачів не збирається зупинити подібне шахрайство, і, очевидно, жодна кількість поганого пресингу над порушеннями безпеки не зашкодить корпорації, достатній для того, щоб вони адекватно захистили інформацію про клієнтів. На мій погляд, це залишає один варіант: регулювання.

Захист прав споживачів захищає споживачів

• Кращі менеджери паролів на 2019 рік. Найкращі менеджери паролів на 2019 рік
• Цільовий хак постраждав до 70 мільйонів покупців Цільовий хак торкнувся до 70 мільйонів покупців
• Двофакторна автентифікація: хто має та як налаштувати двофакторну автентифікацію: хто має та як її встановити

Корпорації повинні нести юридичну та фінансову відповідальність за порушення безпеки, які впливають на клієнтів. Потрібні штрафи, розслідування та наслідки, призначені судом. Гроші потрібно витратити на адвокатів - багато грошей . Сучасна модель, коли клієнтам доводиться витрачати власні гроші та енергію, щоб привести закони, які слід виконувати, нерозумно. Як і необхідна енергія, захищаючи себе від дрібного шахрайства, або, що ще гірше, намагається повернути наше життя після крадіжки особи.

Компаніям також потрібно серйозно сприймати загрози та планувати напади. Необхідно зберігати найменший мінімум даних про клієнтів, а те, що зберігається, слід зберігати в шифрованому вигляді або будь-яким іншим способом, щоб зробити його марним, вкравши його. Творцям платіжних систем також потрібно почати серйозно сприймати загрози, що, я впевнений, вони мали б, якби попит продавців на більш безпечні пристрої.

Вже досить довгий час я підозрюю, що великий обсяг приватної інформації, що був викритий в останнє десятиліття, означає, що всі зазнали або пошкодять якимось чином. Це не може бути прийнятним. Якщо говорити про себе, я перебуваю на своїй другій дебетовій картці 2019 року, тому що у перших двох їх кількість була порушена. Зараз квітень.