הסיסמה נשמרה על מכשיר פרטי, ומשם יצאו תמונות של רישיונות נהיגה: הדליפה במשרד הרישוי של פלורידה

המכתבים לנפגעים יצאו ביום שישי האחרון, שישה שבועות אחרי שמשרד הרישוי של פלורידה גילה שמישהו היה בתוך מאגר רישיונות הנהיגה שלו. מה שיצא משם הוא נתוני רישיונות נהיגה ורכב, כולל תמונות של המסמכים עצמם. לפי הרשות, כל זה התחיל בפרטי התחברות של עובד אחד, ששמר אותם על מכשיר אלקטרוני פרטי.

מה קרה

רשות הבטיחות בדרכים והרכב של פלורידה (FLHSMV) מנהלת מאגר בשם DAVID, שבו יושבים נתוני הנהגים והרכבים של המדינה. ב-4 בספטמבר גילתה הרשות שגורם שהיא מתארת כארגון פשיעת סייבר בינלאומי ניגש לרשומות. בבדיקה שלה, התוקף נכנס עם פרטי אימות של משתמש אחד ממשטרת פלאנט סיטי, שנשמרו בצורה לא נאותה על המכשיר הפרטי של אותו עובד.

התוקפים מספרים את זה אחרת. קבוצת הסחיטה ShinyHunters, אותה קבוצה שאתר הדליפות שלה היה בחדשות בשבוע שעבר, טענה שהיא ניצלה כשל במנגנון איפוס הסיסמה של DAVID והשתלטה על כמה חשבונות, בהם של עובדי הרשות ושל סוכן FBI, ומשם התחילה לרוץ על מספרי הרשומות ולהוריד דפים ותמונות. הקבוצה טוענת שלקחה יותר מ-200 אלף רשומות. הרשות לא אישרה את המספר הזה ולא פרסמה מספר משלה, ואף גורם עצמאי לא אימת אף אחת מהגרסאות. בהמשך אמרה הקבוצה ל-BleepingComputer שהיא איבדה את הגישה ושלהבנתה הכשל נסגר.

הנפגעים מקבלים מכתב ושנה של ניטור אשראי, ומי שעזב את פלורידה ואין לרשות כתובת מעודכנת שלו צריך לפנות אליה בעצמו. הרשות אומרת שאין בשלב הזה עדות לשימוש לרעה בנתונים.

למה זה חשוב לכם

פלורידה רחוקה, אבל המבנה מוכר. גם כאן פרטי הזיהוי שלכם, כולל צילומי תעודות, יושבים במאגרים של גופים ציבוריים ושל ספקים שעובדים איתם, ואת הגישה אליהם מחזיקים אנשים עם שם משתמש וסיסמה. מספיק שאחד מהם ישמור אותם בפתק בטלפון.

ומה זה אומר בפועל? שההנחה שלפיה מי שיודע את מספר תעודת הזהות שלכם, את הכתובת ואת מספר הרישיון הוא בטח גורם רשמי כבר לא מחזיקה מים. פרטים כאלה דולפים בכמויות, והם הופכים שיחת הונאה למשכנעת בדיוק כי הם נכונים.

מה עושים?

אל תתייחסו לפרטים שמישהו מקריא לכם כאל הוכחת זהות. נציג אמיתי של הבנק לא צריך שתמסרו לו קוד אימות, והיכרות עם הפרטים שלכם לא הופכת אותו לאמיתי.

בשיחה שלא אתם יזמתם, אל תאשרו פעולות ואל תקישו קודים. סגרו את השיחה, והתקשרו בעצמכם למספר הרשמי שמופיע באתר או מאחורי כרטיס האשראי.

אם יש לכם פרטי התחברות למערכות של העבודה, אל תשמרו אותם בהערות, בצילום מסך או בקובץ בטלפון הפרטי. מנהל סיסמאות מחזיק אותם מוצפנים, וזה בדיוק המקום שבו שרשרת כזאת נעצרת.

הפעילו באפליקציית הבנק ובכרטיס האשראי התראה על כל חיוב, ועברו מדי פעם על הפעולות. ניסיון ראשון אחרי דליפה הוא בדרך כלל חיוב קטן שנועד לבדוק אם מישהו שם לב.

שתי הגרסאות, זאת של הרשות וזאת של התוקפים, נפגשות בנקודה אחת: אף אחד לא היה צריך לשבור שום דבר. הזהות של מישהו אחר הספיקה.