Korejski velikan pametnih telefonov in televizorjev Samsung je izgubil neznano količino podatkov v zvezi z neznanim številom strank – in o tem molčal skoraj mesec dni.
Torej kaj se je zgodilo? Kdo je bil prizadet? In ali so uporabniki Samsung varni?
Kaj se je zgodilo pri vdoru podatkov Samsung?
Kratek odgovor je, da Samsung ne ve, kako je prišlo do kršitve podatkov – ali pa vsaj ne pravi 2. sporočilo za javnost, ki preprosto navaja: "Konec julija 2022 je nepooblaščena tretja oseba pridobila podatke iz nekaterih sistemov družbe Samsung v ZDA".
Izjava se nadaljuje:
»Našim strankam želimo zagotoviti, da težava ni vplivala na številke socialnega zavarovanja ali številke kreditnih in debetnih kartic, ampak v nekaterih primerih, lahko vplivalo na podatke, kot so ime, kontaktni in demografski podatki, datum rojstva in registracija izdelka informacije. Zadevne informacije za vsako zadevno stranko se lahko razlikujejo."
Kontaktni podatki verjetno vključujejo domači naslov, telefonsko številko in e-pošto. Dodatne informacije, zbrane med registracijo izdelka, vključujejo spol, natančne geolokacijske podatke, ID profila računa Samsung, uporabniško ime in drugo. Tudi samo
vaš e-poštni naslov je lahko dragocen za kriminalce.Samsungovo polovičarsko zagotovilo bo morda potolažilo nekatere stranke, da kriminalci ne uporabljajo podatkov o njihovi kreditni kartici za na primer nakup neizsledljive kriptovalute. Vendar pa količina informacij, ki jih podjetje priznava maj vzetih je osupljivo in ne nekaj, kar bi se zlahka izdalo za nepomembno.
S to stopnjo podrobnosti bi moralo biti napadalcem razmeroma nepomembno konstruirati natančnost spearphishing napadi, izvajajo zamenjave SIM ter najemajo kredite in posojila v imenu žrtve.
Morda se zato Samsungova objava trudi opozoriti, da čeprav žrtvam ne ponuja brezplačnega kreditnega spremljanja, "vi so v skladu z zakonodajo ZDA upravičeni do enega brezplačnega kreditnega poročila letno od vsakega od treh glavnih nacionalnih kreditnih poročil agencije."
Samsung je kršitev odkril 4. avgusta 2022 in te omejene informacije objavil celih 30 dni pozneje. Zakonodaja o razkritju kršitev podatkov se v ZDA razlikuje, vendar je običajno določilo, da je treba obvestilo o takšni kršitvi poslati čim hitreje in brez nerazumnega odlašanja. Najdaljši dovoljeni časovni okvir za razkritje je med 30 dnevi (Colorado, Florida) in 90 dnevi (Connecticut). S tako dolgim odlašanjem z razkritjem se lahko Samsung nekoliko ogrozi.
Koga je prizadela kršitev podatkov Samsung?
Glede tega, kdo je bil prizadet, Samsung ne daje niti približnih številk. To je lahko vsaka stranka, ki je kdaj imela napravo Samsung, ali pa le peščica. Ne vemo še. Samsung je poskušal prizadete uporabnike pomiriti z besedami:
"Cenimo zaupanje naših strank in če s svojo preiskavo ugotovimo, da incident zahteva dodatno obvestilo, vas bomo ustrezno kontaktirali."
Android Police poroča, da je v začetku tega leta hekerska skupina Lapsus$ trdila, da je Samsungu odtujila 190 GB občutljivih podatkov, vključno z algoritmi za vse biometrične operacije odklepanja, izvorna koda za zagonski nalagalnik za novejše izdelke Samsung in vsa izvorna koda za postopkom avtorizacije in avtentikacije Samsung računi.
Kaj lahko storite glede tega?
V redu, torej, kaj lahko dejansko storite glede te kršitve? Ker je razkrita ta raven informacij, bi morali angažirati službo za spremljanje kreditne sposobnosti, ki bo spremljala morebitne nove vloge za kartice ali posojila v vašem imenu. Še bolje, zamrznite svoj kredit, dokler se ne prepričate, da ste varni. Verjetno bi bilo dobro spremeniti tudi svojo telefonsko številko.
In če ste zaskrbljeni in želite pomiritev ali dodaten nasvet, se obrnite neposredno na Samsung. Svoje nezadovoljstvo lahko izrazite tudi vi, da ne bodo, če se kaj takega ponovi, z vašimi podatki ravnali tako na videz malomarno.