Naruszenie bezpieczeństwa danych T-Mobile zmusza klientów do zmiany haseł

W weekend klienci T-Mobile zaczęli otrzymywać SMS-y, które bardzo ich martwiły. Ich dostawca telekomunikacyjny poniósł naruszenie danych, co spowodowało nieautoryzowany dostęp do informacji o kliencie, poinformowała krótka wiadomość. Atak został już zatrzymany, a firma telekomunikacyjna szybko zauważyła, że hakerzy nie ukradli żadnych numerów ubezpieczenia społecznego, haseł ani informacji finansowych. Użytkownicy, którzy chcieli dowiedzieć się więcej, zostali zaproszeni do skorzystania z linku. Niektórzy z was mogli już zauważyć kilka problemów.

Fałszywy alarm

Po pierwsze, T-Mobile nie oficjalnie ogłosił naruszenia, co wzbudziło podejrzenia u niektórych osób. Gdy zabrali się do sieci społecznościowych, aby dowiedzieć się, co się dzieje, zdali sobie sprawę, że nie każdy klient T-Mobile otrzymał tę samą wiadomość tekstową. Postanowili skorzystać z mediów społecznościowych, ponieważ zamiast nakazać im kontakt telefoniczny z agentem wsparcia T-Mobile, wiadomość tekstowa mówi użytkownikom, aby po więcej szczegółów skorzystali ze skróconego adresu URL.

Podsumowując, użytkownicy SMS-ów T-Mobile mieli sporo wspólnego z wiadomościami o oszustwach, o których ostrzegano ludzi od lat. Istniała jednak jedna istotna różnica - nie była to wiadomość o oszustwie.

T-Mobile naprawdę ucierpiał z powodu naruszenia danych

Tweety i posty zwróciły uwagę Alexa Wagnera z TmoNews.com, który zadał kilka pytań i dowiedział się, że wiadomość tekstowa nie była oszustwem. T-Mobile naprawdę doznał naruszenia bezpieczeństwa danych.

Skrócony URL z SMS prowadzi do strony, która zawiera krótkie sprawozdanie z tego, co się stało. Najwyraźniej po naruszeniu systemów telco hakerzy zdołali uzyskać dostęp do danych osobowych niektórych klientów T-Mobile na kartę. Skradzione informacje obejmują nazwiska, adresy rozliczeniowe, numery telefonów, numery kont, a także inne dane związane z usługami, na które subskrybowali użytkownicy. Strona po raz kolejny potwierdza, że ochroniarze T-Mobile zatrzymali atak i że nic szczególnie wrażliwego nie zostało naruszone.

Użytkownikom informuje się, że na wszelki wypadek mogą rozważyć zmianę swoich PIN-ów i haseł, i tym razem mają pewność, że jeśli zadzwonią na jeden z numerów obsługi klienta T-Mobile, będą mogli uzyskać wszystkie potrzebne informacje.

Biorąc wszystko pod uwagę, nie wygląda to na najgorsze naruszenie na świecie. Mimo to nie stawia T-Mobile w najlepszym świetle.

Obsługa problemu przez T-Mobile nie była wzorowa

Nie trwało długo, zanim użytkownicy zrozumieli, że nie byli atakowani przez phishing-over-SMS i zapewne z ulgą dowiedzieli się, że hakerzy nie mogli ukraść żadnych szczególnie wrażliwych informacji. Jednak ci, którzy byli aktywnie zainteresowani cyberbezpieczeństwem, prawdopodobnie zobaczą błędy popełnione przez T-Mobile.

Jak już wspomniano, krótka i niejasna wiadomość tekstowa nie jest najlepszym sposobem na przekazanie wiadomości, a zawarty w niej skrócony adres URL jest wręcz okropnym pomysłem. Przynajmniej do SMS-a powinno być dołączone publiczne oświadczenie rozpowszechniane tradycyjnymi kanałami.

W idealnym świecie wspomniane oświadczenie publiczne zawierałoby o wiele więcej informacji niż to, co T-Mobile przekazał nam w następstwie tego naruszenia. Na przykład ani alert SMS, ani strona, do której prowadzi, nie dają użytkownikom żadnego pojęcia, jak duże było naruszenie. Nawet po tym, jak TmoNews.com zapytało, ile osób zostało dotkniętych, odpowiedź nie była dokładnie określona: „bardzo mały jednocyfrowy odsetek”.

Fakt, że liczba osób, które ujawniły swoje dane osobowe, nie jest bardzo duża, nie powinna usprawiedliwiać braku przejrzystości, jeśli chodzi o zgłaszanie tego typu incydentów. Mamy nadzieję, że zarówno T-Mobile, jak i inni dostawcy usług się tego nauczą.