Securitywatch: fer que les empreses, no els clients, pateixin per incompliments de dades | eddy màx

El 29 de març, Earl Enterprises va anunciar que els visitants de la seva cadena de restaurants podrien haver robat la informació de la seva targeta de crèdit. Com és habitual quan ocorre aquest tipus de coses, se’m va demanar que oferís alguns consells als consumidors sobre què podrien fer per protegir-se. És un tema molt ben cuidat d’anys d’històries similars, però en aquesta ocasió se sentia diferent. Això es deu en part a la naturalesa única de l’atac, però també perquè la nostra pràctica de responsabilitzar la neteja d’embolics als consumidors no funciona. És el moment de posar els onus on pertany, a les corporacions que han permès comprometre les dades en primer lloc.

A l’incompliment

Si vau menjar a Buca di Beppo específic, Chicken Guy !, Earl of Sandwich, Mixology, Planet Hollywood o Tequila Taqueria, és possible que us hagueu robat la informació de la vostra targeta de crèdit o dèbit. Segons Earl Enterprises, això podria haver inclòs gairebé tot el necessari per cometre fraus: número de targeta, dates de caducitat i alguns noms dels titulars de la targeta. Es calcula que el nombre d’afectats és d’uns 2 milions.

Un fet interessant sobre aquest incompliment concret és que no va ser per si mateix un incompliment. En lloc d'això, els pirates informàtics van aconseguir accedir de forma remota al punt de venda o al TPV (sí, aquest és l’acrònim real) a diversos restaurants i instal·lar programari maliciós que rascaba les dades dels clients. Aquesta informació es reunia i es venia als llocs web del mercat negre.

Què podeu fer per mantenir-vos segur?

A part del poc que es tracta de programari maliciós a les màquines de venda de sistemes comercials, la infracció o atac a Earl Enterprises és força típic. Igual que els consells que jo donaria sobre què poden fer els consumidors (per vosaltres) per mantenir-se en seguretat.

Primer, acostumo a dir, fer servir una targeta de crèdit i no una targeta de dèbit. Les transaccions amb targeta de crèdit es poden revertir fàcilment i les empreses de targetes de crèdit són molt bones per evitar fraus abans de fer-ho. És important destacar que no és responsable dels càrrecs fraudulents de la targeta de crèdit. L’ús d’una targeta de dèbit és essencialment una transacció en efectiu. Podeu obtenir un reemborsament per aquests, però de vegades triguen més i, en els pitjors casos, es poden produir conflictes amb el banc o el FDIC.

Un cop fora del camí, aprofito els transaccions més grans. Magstrips són estúpidament senzilles. Podeu connectar un lector USB a nivell gràfic, executar una targeta i l'ordinador introduirà la informació en un fitxer de text. Una targeta xip (targeta EMV) utilitza un procés diferent, molt més segur i difícil d’interceptar.

Això comporta una discussió natural sobre com es solen robar aquesta informació amb dispositius petits anomenats skimmers o shimmers. Tinc tota una història sobre com detectar-les, de manera que només podeu llegir-la. El problema és que és una bona idea inspeccionar les màquines POS abans d’utilitzar-les, en tots els contextos que les trobeu, però sobretot a les bombes de gas i als caixers automàtics a l’aire lliure. T’ha desat un clic (però feu clic en qualsevol cas, m’ajuda a pagar-me).

Després d'això em llançaré a tot un tema sobre solucions d'alta tecnologia per a pagaments. Android Pay, Apple Pay i Samsung Pay utilitzen un sistema de tokenització que no revela mai la informació real de la vostra targeta de crèdit. Pot semblar menys segur utilitzar-los ja que la informació es transmet sense fils, però en realitat és molt bona.

A continuació, em plantejaré una mica sobre com podeu utilitzar Abine Blur per crear targetes de crèdit prepagament i adreces de correu electrònic falses al vol. Potser esmentaré com els diners en efectiu i les targetes de crèdit prepagat són les formes més segures i privades de privadesa per fer negocis. Definitivament no avalaré els serveis de protecció de robatoris d’identitat perquè no estic segur que funcionin i no diré massa sobre la supervisió de crèdits perquè no crec que haguéssiu de pagar la vostra informació financera que s’està compilant. sense el vostre consentiment.

Mai no avalo Bitcoin perquè cargolar seriosament aquests nois.

No importa el més atent que esteu

Escrivim aquest tipus d’històries a PCMag i són útils per il·lustrar les petites coses que poden marcar la diferència en la vida de les persones. La gent hauria de conèixer maneres de pagar més intel·ligents i hauria de ser aconsellada per utilitzar gestors de contrasenyes i 2FA, o almenys saber què són aquestes coses perquè puguin prendre decisions informades a la seva vida. Però l’incompliment de Earl Enterprises m’ha arribat realment, perquè gairebé no hi hauria pogut fer res per a protegir-se.

En l'atac de Earl Enterprises, els dolents tenien accés remot a les màquines TPV. Això vol dir que, per molt que un client investigués els lectors de targetes, no trobarà un skimmer perquè aquesta amenaça es trobava dins de la màquina. A més, als restaurants nord-americans, els clients no sempre tenen l'opció de ni tan sols connectar-se amb el terminal POS. Entregem el nostre pagament al servidor, que gestiona la targeta i ens retorna amb un rebut. Això vol dir que els clients no poden utilitzar el sistema de pagament de dispositius mòbils més recent i segur. Tampoc es garanteix que cap comerciant donat sigui xip EMV o pagaments mòbils, ni que el personal estigui format per utilitzar-lo.

Això sense oblidar que es va informar que Earl Enterprises va trigar deu mesos a respondre a la violació. Tampoc perquè la informació venuda a granel, que és normal per a aquest tipus d’operacions, les víctimes podrien experimentar conseqüències del segon i del tercer ordre durant els propers anys.

De tots els consells que he de donar sobre aquest tema, que només deixa una opció: utilitzar diners en efectiu o targetes de prepagament. Aquest és un estat de coses bastant ridícul l'any 2019 del nostre senyor quan puc fer servir un telèfon per comprar un drone i fer-ho entregar a casa meva abans que arribi a casa, tot trucant un vídeo a un amic a Tailàndia.

El primer incompliment massiu de dades que semblava que podria canviar les coses va ser el 2013, quan 110 milions de compradors de targetes van descobrir que hi havia una pèrdua especial de la informació privada. Igual que l’atac de Earl Enterprises, hi havia poca cosa que els clients haguessin pogut fer per protegir-se. Aleshores, hi havia la preocupació que els atacs dels consumidors poguessin enfonsar l'empresa.

Això no va passar i no es va produir en cap altre dels incompliments posteriors. Target va aconseguir un èxit i va pagar alguns diners en efectiu, però s'ha mantingut en el negoci. Tampoc hi va haver conseqüències devastadores per a cap altre dels incompliments posteriors que van causar titulars, ni tampoc hem vist veritable dolor financer quan una empresa es comporta malament i maltracta la informació privada dels seus clients (mirant-te, Facebook !) De fet, aquest tipus de traïció dels clients s’ha fet tan habitual, i PCMag no tenia sentit per cobrir l’atac de Earl Enterprises. Simplement no va justificar l'atenció.

Cap autodefensa dels consumidors va aturar aquest tipus de frau i, aparentment, cap quantitat de premsa dolenta sobre incompliments de seguretat no perjudicarà una empresa suficient com perquè protegeixi adequadament la informació del client. Al meu entendre, això deixa una opció: la regulació.

Les proteccions dels consumidors protegeixen els consumidors

• Els millors gestors de contrasenyes per al 2019 Els millors gestors de contrasenyes per al 2019
• Hi ha afectat el Hack Target: els compradors de fins a 70 milions de persones
• Autenticació de dos factors: qui la té i com configurar-la Autenticació de dos factors: qui la té i com configurar-la

Les empreses han de ser responsables legals i financers de les infraccions de seguretat que afectin els clients. Hi ha d'haver multes, investigacions i conseqüències ordenades pels tribunals. Cal gastar diners en advocats, molts diners . El model actual en què els clients han de gastar els seus propis diners i energia per portar suport de les lleis no és raonable. Com també és l'energia necessària per protegir-nos del frau petit, o, el que és pitjor, intentar tornar a unir les nostres vides després del robatori d'identitat.

Les empreses també han de prendre seriosament les amenaces i planificar atacs. S'hauria d'emmagatzemar el mínim de dades del client i s'hauria d'emmagatzemar qualsevol cosa que sigui emmagatzemada o fer-la inutilitzada en cas de robatori. Els creadors de sistemes de pagament també han de començar a prendre seriosament les amenaces, cosa que estic segur que ho farien si hi hagués una demanda dels comerciants per dispositius més segurs.

Ja fa temps que sospitava que el gran volum d’informació privada que s’ha exposat en l’última dècada significa que tothom ha estat o serà dolent d’alguna manera. Això no és acceptable. En parlar de mi mateix, estic a la meva segona targeta de dèbit del 2019, perquè els dos primers tenien el seu número compromès. És abril.