Το MGM Resorts διαρρέει ιδιωτικά δεδομένα 10,6 εκατομμυρίων πελατών, συμπεριλαμβανομένων διασημοτήτων

Ο Catalin Cimpanu, ένας δημοσιογράφος στο ZDNet, ανατράπηκε για μια μαζική απόρριψη δεδομένων που δημοσιεύτηκε πρόσφατα σε ένα φόρουμ hacking. Εξετάστηκε και συνειδητοποίησε ότι οι συμβιβασμένες πληροφορίες ανήκαν σε άτομα που είχαν μείνει στα ξενοδοχεία MGM Resorts. Με τη βοήθεια ενός ερευνητή από το Under the Breach, ο Cimpanu επιβεβαίωσε τη νομιμότητα της διαρροής και έρχεται σε επαφή με την αλυσίδα ξενοδοχείων. Ένας εκπρόσωπος της MGM δήλωσε μέσω ηλεκτρονικού ταχυδρομείου ότι οι πληροφορίες πράγματι ανήκαν στους επισκέπτες του ξενοδοχείου, αλλά γρήγορα επεσήμαναν ότι τα στοιχεία της πιστωτικής κάρτας δεν αφορούσαν.

Μερικοί από εσάς μπορεί να πιστεύουν ότι αυτό κάνει την παραβίαση πολύ λιγότερο επικίνδυνη, αλλά όπως θα ανακαλύψουμε σε ένα λεπτό, αυτό δεν συμβαίνει στην πραγματικότητα. Πριν καταλήξουμε όμως στις πιθανές συνέπειες, ας δούμε τι διαρρεύστηκε και ποιος είχε πρόσβαση σε αυτό.

Οι χάκερ έκλεψαν τις προσωπικές πληροφορίες περισσότερων από 10,6 εκατομμυρίων επισκεπτών του ξενοδοχείου το 2019

Η παραβίαση προφανώς συνέβη το περασμένο καλοκαίρι και παρόλο που δεν το ανακοίνωσε επίσημα, η MGM έρχεται σε επαφή με τουλάχιστον μερικά από τα άτομα που έχουν πληγεί για να τους ενημερώσει για το περιστατικό. Όπως σημείωσε ο Cimpanu, οι άνθρωποι συζήτησαν τις ειδοποιήσεις παραβίασης εκείνη την εποχή, αλλά η διαρροή απέτυχε να κερδίσει ενδιαφέρον από τα μέσα μαζικής ενημέρωσης, κάτι που, λαμβάνοντας υπόψη το περιεχόμενο της χωματερής, είναι κάπως περίεργο.

Κατά τη διάρκεια της επίθεσης, οι χάκερ κατάφεραν να ξεκλειδώσουν τα προσωπικά στοιχεία των 10.683.188 επισκεπτών του ξενοδοχείου. Οι πληροφορίες που διαρρεύσαν περιελάμβαναν ονόματα, διευθύνσεις κατοικίας και ηλεκτρονικού ταχυδρομείου, αριθμούς τηλεφώνου και ημερομηνίες γέννησης. Οι ερευνητές του Cimpanu και Under the Breach προσπάθησαν να έρθουν σε επαφή με μερικούς από τους ανθρώπους της βάσης δεδομένων και παρόλο που κάποιοι από τους αριθμούς τηλεφώνου δεν ήταν πλέον έγκυροι, οι επισκέπτες απάντησαν και ανέφεραν ότι είχαν μείνει στο ξενοδοχείο MGM πριν από το 2018.

Διασημότητες, δημοσιογράφοι και κυβερνητικοί αξιωματούχοι επηρεάστηκαν επίσης

Το MGM Resorts είναι μια τεράστια αλυσίδα πολυτελών ξενοδοχείων και, υπό το πρίσμα αυτό, δεν θα πρέπει να εκπλήσσει το γεγονός ότι, όπως δείχνει η διαρρεύσιμη βάση δεδομένων, ορισμένα γνωστά ονόματα έχουν χρησιμοποιήσει τις τοποθεσίες του.

Σύμφωνα με τον ερευνητή του Breach, η ZDNet ανέφερε ότι η βάση δεδομένων περιέχει τις λεπτομέρειες των αξιωματούχων της DHS και της TSA και ο ίδιος ο Cimpanu είδε τα ονόματα αρκετών γνωστών δημοσιογράφων που έμειναν σε τοποθεσίες MGM κατά τη διάρκεια διασκέψεων και εκδηλώσεων υψηλού προφίλ. Η παραβίαση έπληξε επίσης τον pop star Justin Bieber και τον διευθύνοντα σύμβουλο του Twitter, Jack Dorsey, αν και παραμένει άγνωστο αν, όπως και άλλοι φιλοξενούμενοι, ενημερώθηκαν ιδιωτικά για την επίθεση.

Η πιθανή ζημιά είναι σημαντική

Αναπόφευκτα, σημειώνονται παραλληλισμούς μεταξύ της παραβίασης της MGM και της επίθεσης του 2017 στα ξενοδοχεία Marriot. Σε περίπου 500 εκατομμύρια, ο αριθμός των προσβεβλημένων επισκεπτών από τη διαρροή του Marriot είναι πολύ μεγαλύτερος, αλλά αυτό δεν σημαίνει ότι οι Dorsey, Bieber και οι υπόλοιποι άνθρωποι των οποίων η πληροφορία βρίσκεται στην αποθήκη MGM πρέπει να χαλαρώσουν. Τα συμβιβασμένα δεδομένα έχουν ήδη στα χέρια των εγκληματιών για τουλάχιστον έξι μήνες και τώρα είναι διαθέσιμα σε όποιον θέλει να το κατεβάσει. Η έλλειψη στοιχείων της πιστωτικής κάρτας δεν αποτελεί λόγο υποτίμησης της παραβίασης.

Για να τονίσει τις πιθανές συνέπειες της διαρροής, ο Catalin Cimpanu μοιράστηκε τις σκέψεις του σχετικά με το πώς οι κλεμμένες πληροφορίες θα μπορούσαν να βοηθήσουν τους χάκερ να θέσουν σε κίνδυνο τον λογαριασμό του Jack Dorsey στο Twitter. Όπως μερικοί από εσάς μπορεί να θυμηθούν, τον Αύγουστο του περασμένου έτους, οι απατεώνες απέκτησαν το λογαριασμό microblogging της Dorsey μετά την τοποθέτηση μιας επίθεσης αντικατάστασης SIM εναντίον του και ο Cimpanu εικάζει ότι μπορεί να έχουν ανακτήσει τον αριθμό του τηλεφώνου από τη βάση δεδομένων του MGM. Φυσικά, αυτό είναι, σύμφωνα με τα λόγια του δημοσιογράφου, μια "τρελή θεωρία" που δεν μπορεί να επιβεβαιωθεί ή να απορριφθεί, αλλά το γεγονός είναι ότι τίποτα δεν μπορεί να χαρακτηριστεί ως "αδύνατο".

Εκτός από την εναλλαγή SIM, τα άτομα που επηρεάζονται από την παραβίαση του MGM πρέπει επίσης να είναι επιφυλακτικά για στοχευμένες επιθέσεις δόλιου phishing και, δεδομένης της παρουσίας διευθύνσεων στο σπίτι στη βάση δεδομένων, μπορεί επίσης να θέλουν να σκεφτούν τη φυσική τους ασφάλεια. Μετά από όλα, οι πληροφορίες είναι πλέον δημόσιες και κανείς δεν ξέρει ποιος μπορεί να μπεί στον πειρασμό από το κουμπί "Λήψη".