פריצה למאגרי מידע וההשלכות לאזרח

[yossy]

אחרי הפריצה לשרביט לפני כשנה הנה שוב נפרצו מאגרי שרתים שכוללים מידע רגיש של אוכלוסיה רחבה.

את האמת אני כבר ממש חושש להשאיר פרטים במרשתת ורוכש מזמן רק עם כרטיס האשראי אפ קארד או נטענים אנונימיים.

השאלה המציקה בכל מקרה מה הסכנה לאזרח תמים שפרטיו עלולים לדלוף לרשת ומה ניתן לעשות כעת בכלל?

בואו תרגיעו אותי....lol 🥲

 

[SuperBamba]

הסכנות הן גניבת זהות או גניבת פרטי תשלום.

לעניין התשלום, לרובנו יש סיפור של צד א׳ או ג׳ עם ״ניסו לחייב את הכרטיס שלך בתחנ״ד בארה״ב״ (גם לי יש כזה) ולרוב זה מסתיים בחסימה של הכרטיס ע״י חברת האשראי, אז כאן זה פחות מדאיג.

גניבת זהות זה משהו יחסית יותר מדאיג כי אפשר לעשות בזה כל מיני שימושים וסיפורים שבהם מעורבת גניבת זהות לרוב מערבים טרטור נוראי מצד הרשויות של מי שזהותו נגנבה (בסגנון ״לך תוכיח שאין לך אחות״).

 

מתנצל שלא ממש הרגעתי אבל זו קצת המטרה. כמעט כל גוף גדול בישראל (חברות ביטוח, בנקים ובעיקר גופים ממשלתיים) מזלזלים זלזול מוחלט באבטחת פרטי האזרחים וכל עוד אנחנו נמשיך לתת להם פרטים ולדלג על ידיעות פרצות אבטחה בגישת ״נו, עוד ידיעה בחדשות״ זה ימשיך לקרות.

 

אגב, פריצה זה עוד דבר יחסית מתקבל על הדעת, דמיין לעצמך שיש גופים ממשלתיים או מפלגתיים (כמו התקרית בליכוד לפני שתי קדנציות) שתוכל לקחת מהם פרטי כל האזרחים מבלי לפרוץ. כל מה שאתה צריך זה את כתובת האתר המכיל אותם

[stum]

הבעיה, שהרבה מקומות בוחרים להעסיק אוכלוסיות שהקשר היחיד שלהם לתחום הוא "קורס" של מספר חודשים כדי לחסוך כמה שקלים.

זה ככה בחברות ציבוריות, זה ככה במשרדים ממשלתיים, ובחברות פרטיות מיושנות מבחינה טכנולוגית.

 

מנסיוני, מספיק אדם אחד מיומן, שנוגע בקוד, כדי למגר תופעות כאלו.

[natco]

כרטיס האשראי זו הבעיה הכי קטנה.

לפי חוק כרטיסי חיוב, ברגע שהעסקה בוצעה שלא ברשותך/ידיעתך/הסכמתך, אתה מוגן. (למעט 70 וכמה שקלים "השתתפות עצמית", פלוס 30 שקל ליום עבור כל יום שידעת שהכרטיס נגנב ולא הודעת).

בכלל, "מסוכן לקנות עם כ"א ברשת" זה מיתוס שכדאי להכחיד- סטטיסטית, לתת כרטיס למתדלק או מלצר במסעדה זה סיכון גבוה יותר מלמסור אותו ברשת.

רוב ההונאות בכרטיסי חיוב הן כאלה בהן בעל הכרטיס נתן את פרטיו לנוכל בעצמו (כי פ]ותה להאמין שצריך רק לשלם על המשלוח של הירושה הענקית מניגריה או משהו דומה), ולא כתוצאה מדליפתם בדארקווב.

 

לעומת זאת, מידע אישי, אפילו כזה  שלא כולל מסמכי זיהוי רשמיים מלאים הוא הרבה יותר בעייתי.

יעידו על כך משתמשי אתר "אטרף" שחוששים עכשיו חשש אמיתי מדליפה שתוציא אותם מהארון, או סתם תחשוף פעילות שלהם מחוץ למסגרת הזוגית, או מידע על הפעילות המינית שלהם בפני מי שלא אמור לקבל את המידע הזה.

 

גניבת זהות והתחזות באמצעות מסמכי זיהוי רשמיים מלאים שנגנבו הם כמובן בעיה חמורה מאד, אבל נראה לי  שמי שעבר לתיעוד ביומטרי, ומי שמקפיד שלא למסור פרטים מעבר לנדרש (למשל למחוק תאריך הנפקה בכל צילום של ת"ז), סיכויו להפגע מכך קטנים יותר.

תקנו אותי אם אני טועה וזו תופעה נפוצה ממה שאני חושב.

 

שימוש במידע לצורך מתקפות דיוג- נו באמת. אלו הפחדות ברמה של טמקא. 

מפישינג צריך להזהר תמיד, גם לפני שפרטיך דלפו. 

אבא שלי בן הכמעט 80 יודע היטב שלא נותנים שום פרט לאף אחד שהתקשר אליך, לא לוחצים על שום קישור שהגיע במסרון, ולא נבהלים ממיילים שאומרים שאתה תחסם מהשירות אם לא תגיב מיד.

כל דבר אפשר לשלוח לאחד מהבנים או הנכדים, והם גם תמיד יציעו להמתין במקומך למענה מהנציגים הטלפוניים, אם מדובר במשהו שבאמת דורש טיפול.

 

 

 

 

[GTאי]

לפני 8 שעות, natco כתב:

גניבת זהות והתחזות באמצעות מסמכי זיהוי רשמיים מלאים שנגנבו הם כמובן בעיה חמורה מאד, אבל נראה לי  שמי שעבר לתיעוד ביומטרי, ומי שמקפיד שלא למסור פרטים מעבר לנדרש (למשל למחוק תאריך הנפקה בכל צילום של ת"ז), סיכויו להפגע מכך קטנים יותר.

תקנו אותי אם אני טועה וזו תופעה נפוצה ממה שאני חושב.

אתה לא טועה, אבל, וזה אבל גדול, הסיבה היחידה שזה כך היא שהמאגר הביומטרי טרם נפרץ... אחרי שהוא יפרץ יהיה לך הרבה יותר קשה להוכיח שלא אתה עשית את הפעולה (מאשר לטעון שזייפו מסמך שלך). 

 

לפני 8 שעות, natco כתב:

שימוש במידע לצורך מתקפות דיוג- נו באמת. אלו הפחדות ברמה של טמקא. 

 

ברמת המשתמש הפשוט אתה צודק. ברמת עסקים וחברות זה סיכון מאוד משמעותי.

 

לפני 8 שעות, natco כתב:

אבא שלי בן הכמעט 80 יודע היטב שלא נותנים שום פרט לאף אחד שהתקשר אליך, לא לוחצים על שום קישור שהגיע במסרון, ולא נבהלים ממיילים שאומרים שאתה תחסם מהשירות אם לא תגיב מיד.

אבא שלך הוא לא דוגמא טובה. אני מניח שאין לו עשרות חשבונות באתרים שונים ומשונים.

לך לעומת זאת כנראה שיש, ואם הפרטים שלך ידלפו מאתר אחד (נניח מייל וסיסמא) אז יהיה מאוד קל לנסות לפי שיטת מצליח את הפרטים באתרים אחרים (ואם לא אתה, אז הרוב המוחלט של המשתמשים מחזיקים באותה סיסמא להרבה אתרים).

 

לפני 13 שעות, stum כתב:

מנסיוני, מספיק אדם אחד מיומן, שנוגע בקוד, כדי למגר תופעות כאלו.

אנחנו לא מכירים, אבל מה שרשמת לא מלמד על ניסיון עשיר בתחום אבטחת מידע

בתאריך 31.10.2021 בשעה 19:50, yossy כתב:

 ומה ניתן לעשות כעת בכלל?

 

בכל שירות תשתמש ב 2FA.

שים סיסמאות שונות לאתרים או שתנהל אותם עם כלי יעודי שמייצר סיסמאות קשות לניחוש

אם עשית את זה, ב 99% מהמקרים אתה מוגן

 

ה1% הנוסף - תישא תפילה שלא אתה תיפול קורבן

[IRON-MAN]

לא מעניין.גם ככה כל המידע נגיש ברשת.כולל מספרי תעודות זהות ,כתובות ומספרי טלפון.

חרטא הפיתה.על כרטיס אשראי יש החזר אם נפרץ.אמשיך לקנות ברשת כרגיל.

[DubelBoom]

לפני כשעה, GTאי כתב:

בכל שירות תשתמש ב 2FA.

 

מאז סיפורי הזוועות על אנשים שפרצו להם לחשבון גוגל, קיללו קצת ביוטיוב והחשבון נסגר לצמיתות, ואין עם מי לדבר בגוגל - אני חושב ש2FA זה אחד הדברים הכי חשובים בחשבונות עם מידע שיש בו ערך.

לאבד את חשבון הגוגל שלי זה אסון מבחינתי. כל התמונות, אנשי הקשר והמיילים שלי שם. וזה אחרי שהוצאתי מהם הרבה מידע אחר (סיסמאות למשל).

[natco]

לפני 11 שעות, GTאי כתב:

אבא שלך הוא לא דוגמא טובה. אני מניח שאין לו עשרות חשבונות באתרים שונים ומשונים.

לך לעומת זאת כנראה שיש, ואם הפרטים שלך ידלפו מאתר אחד (נניח מייל וסיסמא) אז יהיה מאוד קל לנסות לפי שיטת מצליח את הפרטים באתרים אחרים (ואם לא אתה, אז הרוב המוחלט של המשתמשים מחזיקים באותה סיסמא להרבה אתרים).

הקשישים של היום די פעילים, תתפלא  
יש לו נטפליקס, פייסבוק (עם 30 וכמה חברים, כולם מהמשפחה הקרובה, או "חבר'ה" בגילו ודף בית עם פוסטים מביכים...), יש לו טלפון אנדרואיד (וחשבון הגוגל שמתחייב ממנו), ועוד כמה.

אז כן, צעירי המשפחה מנהלים לו את זה (עם 2FA איפה שניתן, ואם לא אז סיסמאות "מסובכות" ככל האפשר).

אבל הוא כבר קיבל כמה פעמים במייל את כל ה"יש לך חבילה שצריך לשחרר ממכס" ו"חשבון נטפליקס שלך נפרץ וצריך להחליף סיסמא" ועוד כל מיני, שבקלות אדם בגילו שאין לו עם מי להתייעץ ילחץ ויתן פרטים.

אגב- גם במסנג'ר של פייסבוק כבר פנו אליו כמה "צעירות מצודדות", או נסיכים ניגריים...

 

וכן, תפסת אותי. עד לא מזמן הייתי משתמש בסיסמה דומה להרבה מקומות. (עם התחכום העילאי של להחליף אות או סיפרה בין חשבון לחשבון).

בשנתיים-שלוש האחרונות נגמלתי מההרגל המגונה הזה, לשמחתי, לפני שאכלתי אותה.

 

ברמה הארגונית, אכן מדובר בסיפור אחר לגמרי.

שם צריך לדעתי שתהיה ממש אכיפה. של רשות עם "שיניים" וסנקציות קשות שאפשר להפעיל.

לצערי, אני גם מבוטח של שירביט, וגם מטופל קבוע באחת המרפאות בהלל-יפה.

ככה שלא צריך לספר לי איזה נזק עלולה לגרום רשלנות/ישנוניות של איזה מנמ"ר דמיקולו.

 

[yossy]

מעניין אם במקרה כזה החברה לוקחת אחריות הרי זה מתבקש וזה באחריותם לא?

 

במקביל, שמעתי שיש ביטוח סייבר לדעתי זה ממש מתבקש שיכלל בחבילה עם ביטוח התכולה של הבית.

עריכה אחרונה ב-2 לנובמבר, 2021 על ידי yossy

[yor2]

נתקלתי בזה. בכלכליסט.

מעניין איך שהוא אומר. שאפשר לגנוב מ gamil וסיסמאות מהכרום.

 

מיקי בודאי: "בעוד כמה שנים אסור יהיה להשתמש בסיסמאות"

בודאי, מנכ"ל ומייסד טרנסמיט סקיוריטי אמר בכנס TECH TLV של כלכליסט, ש"סיסמאות הן הנזק מספר אחת בסייבר", זאת מאחר שהן מאפשרות השתלטות קלה יחסית על חשבונות. לדבריו, בעוד כמה שנים זיהוי ביומטרי, זיהוי פנים או טביעות אצבע יחליפו את הסיסמאות.

https://www.calcalist.co.il/conferences/article/hyyhopclt

 

[GTאי]

"התוקף בונה מייל זהה למייל של גוגל שלא ניתן לזהות שאינו זיוף. הקורבן אינו מודע לבעיה ולכן ממהר ללחוץ על ההפנייה"

בתור משתמש חכם אתה אמור לדעת האם אתה אמור לקבל מייל כזה. אם לא זה פישינג... מה גם ש2FA מונע את זה.

 

אגב, לדעתי (וזה גם מה שהתעשייה משדרת) הוא צודק לגבי סוף עידן הסיסמאות, רק שזה יקח יותר מכמה שנים.

[ALÞћÃ]

לפני 9 שעות, yossy כתב:

מעניין אם במקרה כזה החברה לוקחת אחריות הרי זה מתבקש וזה באחריותם לא?

 

איזה אחריות הם כבר יייקחו? במקרה הכי גרוע ייסגרו את הבסטה וייעלמו לפרוייקטים אחרים. בעוד חודש גם ככה כולם ישכחו מזה, בדיוק כפי ששכחו משירביט.

[hwgeek]

עכשיו זה גם מידע רפואי:

[DubelBoom]

בהקשר אליהם - הם העלו לאתר שלהם (צריך VPN) צילומי מסך של שיחה עם כביכול מישהו ישראלי שמנהל את המשא ומתן.

אני מקווה שזה מפוברק, אחרת אוי ואבוי לנו. לא שאני יודע איך להתנהל במצב הזה, אבל רמת השכנוע שם היא אפסית: "500K דולר זאת ההצעה האחרונה שלנו, אם לא מערך הסייבר הישראלי יחקור אותכם". נו באמת, כאילו שמערך הסייבר הישראלי לא מפעיל כבר את כל המשאבים שיש לו נגדם...

הם כמובן חארות רציניים, ומאשימים את מי שלא משלם להם באסונות שעלולים לקרות מדליפת המידע הזה.

 

דוגמיות מהמאגר של מכון מור אני לא רואה שם. הסתקרנתי אם אני ברשימה, עשיתי חיסון לחול לפני כמה חודשים 😬

עריכה אחרונה ב-2 לנובמבר, 2021 על ידי DubelBoom

[DareDevil]

לא יודע אם רלוונטי לעניין אבל גם לרדיו 103FM פרצו. 

לפי הטלגרם שלהם מדובר על בערך 10K רישומים שכוללים כרטיסי אשראי וכל הפרטים הנדרשים.