Sikkerhetsvakt: få selskaper, ikke kunder, til å lide for datainnbrudd | maks virvel

29. mars kunngjorde Earl Enterprises at besøkende på restaurantene i kjeden kan ha fått kredittkortsinformasjonen sin stjålet. Som vanlig når denne typen ting skjer, ble jeg bedt om å sette sammen noen råd til forbrukerne om hva de kunne gjøre for å beskytte seg. Det er et godt slitt emne fra mange års lignende historier, men denne gangen føltes det annerledes. Dette er delvis på grunn av angrepets unike natur, men også fordi vår praksis med å legge ansvaret for å rydde opp i forbrukerne på forbrukerne ikke fungerer. Det er på tide å sette virksomheten der den hører hjemme, på selskapene som tillot at dataene ble kompromittert i utgangspunktet.

Unto the Breach

Hvis du spiste ute på spesifikke Buca di Beppo, Chicken Guy !, Earl of Sandwich, Mixology, Planet Hollywood eller Tequila Taqueria, kan det hende du har stjålet kreditt- eller debetinformasjonen din. I følge Earl Enterprises kunne dette ha inkludert omtrent alt som trengs for å begå svindel: kortnummer, utløpsdatoer og noen kortholdernavn. Antallet berørte personer rapporteres å være rundt 2 millioner.

Et interessant faktum med nettopp dette bruddet er at det ikke i seg selv var et brudd. I stedet klarte hackere å få ekstern tilgang til salgssted eller POS-maskiner (ja, det er den virkelige akronymen) på forskjellige restauranter og installere skadelig programvare som skrapte kundedata. Denne informasjonen ble samlet sammen og solgt på svarte markedsnettsteder.

Hva kan du gjøre for å holde deg trygg?

Bortsett fra litt om malware på POS-maskiner, er Earl Enterprises brudd / angrep ganske typisk. Som er rådene jeg vil gi om hva forbrukere (det er du) kan gjøre for å holde seg trygge.

Først, pleier jeg å si, bruk et kredittkort og ikke et debetkort. Kredittkorttransaksjoner blir enkelt reversert og kredittkortselskaper er veldig flinke til å fange svindel før du gjør det. Det er viktig at du ikke er ansvarlig for falske kredittkortutgifter. Å bruke et debetkort er egentlig en kontanttransaksjon. Du kan få refusjon for disse, men det tar noen ganger lenger tid, og i verste fall kan scenarier føre til en viss krangel med banken eller FDIC.

Når det er ute av veien, går jeg inn på problemene med magstripe-transaksjoner. Magstripes er dumt enkle. Du kan koble til en USB magstripe-leser, kjøre et kort, og datamaskinen vil legge inn informasjonen i en tekstfil for deg. Et brikkekort (EMV-kort) bruker en annen prosess som er langt sikrere og vanskeligere å avskjære.

Det fører til en naturlig diskusjon om hvordan denne informasjonen vanligvis blir stjålet med små enheter som kalles skimmers eller shimmers. Jeg har en hel historie om hvordan du oppdager dem, så du kan bare lese den. Det viktigste er at det er en god idé å inspisere POS-maskiner før du bruker dem, i alle sammenhenger du møter dem, men spesielt på bensinpumper og utendørs minibanker. Lagret et klikk (men klikk uansett, det hjelper meg å få betalt).

Etter det vil jeg lansere en hel ting om høyteknologiske løsninger for betalinger. Android Pay, Apple Pay og Samsung Pay bruker et tokeniseringssystem som aldri avslører din faktiske kredittkortinformasjon. Det kan virke mindre trygt å bruke dem siden informasjonen overføres trådløst, men den er faktisk veldig bra.

Så tar jeg noen ganger litt på hvordan du kan bruke Abine Blur til å lage forhåndsbetalte kredittkort og falske e-postadresser mens du er på farten. Kanskje jeg nevner hvordan kontanter og forhåndsbetalte kredittkort er de mest sikre og personvernbevisste måtene å gjøre forretninger på. Jeg vil definitivt ikke gå inn for identitetstyverisikringstjenester fordi jeg ikke er sikker på at de faktisk fungerer, og jeg vil ikke si for mye om kredittovervåking fordi jeg ikke tror du må betale for din egen økonomiske informasjon som blir samlet uten ditt samtykke.

Jeg støtter aldri Bitcoin fordi skru disse guttene på alvor.

Det betyr ikke hvor nøye du er

Vi skriver denne typen historier hele tiden på PCMag, og de er nyttige for å illustrere de små tingene som kan gjøre en forskjell i folks liv. Folk bør kjenne til smartere måter å betale på, og bli anbefalt å bruke passordledere og 2FA, eller i det minste vite hva disse tingene er, slik at de kan ta informerte valg i livet sitt. Men bruddet på Earl Enterprises fikk meg virkelig, for det er nesten ingenting kunder kunne ha gjort for å virkelig beskytte seg.

I angrepet på Earl Enterprises hadde skurkene ekstern tilgang til POS-maskinene. Det betyr uansett hvor mye en kunde undersøkte kortleserne, de hadde ikke tenkt å finne en fortellerstemme fordi trusselen var inne i maskinen. På amerikanske restauranter får kunder ikke alltid muligheten til å engasjere seg med POS-terminalen. Vi overlater betalingen til serveren, som kjører kortet og returnerer med kvittering. Det betyr at kundene ikke kan bruke det nyere og sikrere betalingssystemet for mobile enheter. Det er heller ingen garanti for at en gitt selger støtter EMV-brikker eller mobilbetalinger, eller at personalet vil bli opplært i hvordan de skal bruke det.

Det er for ikke å nevne at det ble rapportert at det tok ti måneder å få svar på Earl Enterprises for å svare på bruddet. Heller ikke at fordi denne informasjonen ble solgt i bulk, som er standard for denne typen operasjoner, kunne ofrene få andre- og tredje-ordens konsekvenser i årene som kommer.

Av alle rådene jeg har å gi om dette emnet, er det bare ett alternativ: bruk kontanter eller forhåndsbetalte kort. Det er en ganske latterlig situasjon året herre 2019 når jeg kan bruke en telefon til å kjøpe en drone og få den levert til huset mitt før jeg kommer hjem, alt mens jeg ringer en venn i Thailand.

Det første massive datainnbruddet som virket som om det kunne endre ting, var i 2013, da noe som 110 millioner målkjøpere oppdaget at det var en spesiell blålys på deres private informasjon. I likhet med Earl Enterprises-angrepet var det lite kundene kunne ha gjort for å beskytte seg selv. På det tidspunktet var det bekymring for at tilbakeslag fra forbrukerne kunne synke selskapet.

Det skjedde ikke, og det skjedde ikke for noen av de andre påfølgende bruddene som ga overskrifter. Target tok en hit og betalte ut litt penger, men det har holdt seg i virksomhet. Det var heller ingen ødeleggende konsekvenser for noen av de andre etterfølgende bruddene som ga overskrifter, og vi har heller ikke sett ekte økonomiske smerter når et selskap oppfører seg dårlig og misbruker den private informasjonen til kundene sine (ser på deg, Facebook !). Faktisk er denne typen svik mot kunder blitt så vanlig at det ikke var fornuftig for PCMag å dekke Earl Enterprises-angrepet. Det garanterte rett og slett ikke oppmerksomheten.

Ingen mengder selvforsvar fra forbrukerne kommer til å stoppe denne typen svindel, og tilsynelatende vil ikke noe press på sikkerhetsbrudd skade et selskap nok til at de kan beskytte kundeinformasjon på en tilstrekkelig måte. Det er etter min mening ett alternativ: regulering.

Forbrukerbeskyttelse Beskytt forbrukerne

• De beste passordadministratorene for 2019 De beste passordadministratorene for 2019
• Target hack påvirket opptil 70M shoppere Target hack påvirket opp til 70M shoppere
• To-faktor autentisering: Hvem har det og hvordan konfigurerer det to-faktor autentisering: Hvem har det og hvordan konfigurerer det

Selskaper må holdes juridisk og økonomisk ansvarlige for sikkerhetsbrudd som påvirker kundene. Det må være bøter, etterforskning og rettsbestemte konsekvenser. Penger må brukes på advokater - mye penger . Den nåværende modellen der kundene må bruke sine egne penger og energi for å bringe søksmål til å bære er urimelig. Det samme er energien som kreves for å beskytte oss mot småsvindel, eller enda verre, å prøve å sette sammen livene våre etter identitetstyveri.

Bedrifter må også ta trusler på alvor og planlegge for angrep. Det bareste minimumet av kundedata skal lagres, og hva som helst lagres, bør holdes kryptert eller på annen måte for å gjøre det ubrukelig hvis det ble stjålet. Skaperne av betalingssystemer må også begynne å ta truslene på alvor, noe jeg er sikker på at de ville gjort hvis det var etterspørsel fra selgere om sikrere enheter.

I en god stund nå har jeg mistenkt at det store volumet av privat informasjon som har blitt utsatt det siste tiåret, betyr at alle har blitt eller vil skade på noen måte. Det kan ikke være akseptabelt. Når jeg snakker for meg selv, er jeg på mitt andre debetkort i 2019, fordi de to første hadde tallene deres kompromittert. Det er april.