Yderligere 140.000 brugerkonti blev eksponeret i Nintendos april-dataovertrædelse

I efterspørgslen efter et dataovertrædelse er virksomheder nødt til at bestemme, hvor mange brugere der blev berørt og afsløre angriberenes modus operandi. På den måde vil folk have en klar forståelse af omfanget af overtrædelsen og hackernes niveau af sofistikering. Det virker som et ligetil job, især for store multinationale organisationer, men som Nintendo-brugere kan vidne om, viser det sig undertiden at være meget hårdere, end det ser ud til i starten.

Nintendos overtrædelse var større end oprindeligt forventet

Det hele begyndte i begyndelsen af april, da et stort antal brugere klagede over, at de ikke kan logge ind på deres Nintendo-konti. Nogle bemærkede endda ukendte gebyrer for betalingsmetoden, der er gemt i deres profil, men trods alle klager sagde videospilsfirmaet oprindeligt intet. Som BitDefender bemærkede på det tidspunkt indrømmede Nintendos japanske supportkonto på Twitter i sidste ende, at noget kunne være galt, men den officielle meddelelse blev udsat af et par uger.

Den 24. april optrådte en anmeldelse af dataovertrædelse på Nintendo Japans supportside, der sagde, at der var sket et angreb mod Nintendo Network ID (NNID) -konti på 160.000 brugere. Gennem NNID-konti fik hackerne adgang til brugernes kaldenavne, fødselsdato, e-mail-adresser og bopælslande. De brugte også NNID-konti til at logge på de vigtigste Nintendo-profiler, hvor ejernes navne også var tilgængelige.

Nintendo var hurtig med at påpege, at cyberkriminelle ikke fik adgang til kreditkortoplysninger, men de påpegede, at nogle uautoriserede køb blev foretaget i Nintendos officielle butik ved hjælp af betalingsmetoder, der er gemt på kompromitterede konti.

Kort efter annonceringen af overtrædelsen adskiller Nintendo NNID-konti fra de vigtigste Nintendo-profiler, nulstillede berørte brugeres adgangskoder og begyndte at tilbagebetale de uautoriserede transaktioner.

Desværre var det ikke slutningen. Klagerne fortsatte, og efter en undersøgelse konkluderede Nintendo, at yderligere 140.000 konti kan være blevet påvirket, hvilket bragte det samlede tal til et godt, rundt 300 tusind.

Nintendos afsløring er mindre end perfekt

Folk skal ikke være oprørte over revisionen af figuren. Undersøgelse af en dataovertrædelse er ingen let opgave, og nogle gange bliver hele billedet ikke klart før uger eller endda måneder senere. Når det kommer til detaljeret videregivelse, skal ting dog være så tydeligt som muligt helt fra starten, og i tilfælde af Nintendo er det ikke det, vi ser.

For det første, selvom overtrædelsen har berørt mennesker fra hele verden, er underretningen ikke tilgængelig på alle Nintendos globale websteder. Den amerikanske supportside nævner for eksempel ikke noget overhovedet, og selvom den britiske filial anerkender hændelsen, mangler de tekniske detaljer.

De fleste mennesker, der ønsker at lære mere om bruddet, skal bruge en automatisk oversættelsestjeneste og prøve at finde ud af, hvad Nintendo betød, hvilket kunne være endnu sværere, end det lyder. Meddelelsen gør det for eksempel klart, at selv om hackerne brugte gyldige brugernavne og adgangskoder til at logge på folks konti, blev Nintendos systemer ikke kompromitteret på nogen måde. Vi ved dog ikke, om skurkerne phished dem direkte fra brugerne, eller om de hentede dem fra en database, der blev brudt under en ikke-relateret hændelse, og brugte dem til et legitimt udstoppningsangreb.

Nintendos sikkerhedseksperter har måske indset, hvor mange mennesker, der blev påvirket af april's dataovertrædelse, men de har helt klart flere detaljer at afsløre og afsløre. Lad os håbe, at de gør det hurtigt og gennemsigtigt.