ילד פותר תרגילי מתמטיקה באתר שבית הספר בחר. ההורים מילאו פרטים פעם אחת בתחילת השנה ומאז שכחו מזה. ב-3 בספטמבר אישרה החברה שמאחורי האתר, Mathspace האוסטרלית, שמישהו הוריד את הפרטים האלה: 1,079,819 תלמידים, הורים ואנשי צוות, כולם באוסטרליה ובניו זילנד.

מה קרה

לא פרצו לאתר שהתלמידים מתחברים אליו. פרצו לתוכנה פנימית לגמרי, מהסוג שכמעט כל חברת טכנולוגיה מריצה כדי שמנהלים יראו גרפים על השימוש במוצר: כמה נכנסו החודש, מאיפה, מה עשו. כדי לייצר את הגרפים האלה יש לתוכנה גישה למסד הנתונים המלא. הכלי הזה נקרא Metabase, ו-Mathspace הריצה עותק שלו על השרתים של עצמה.

אלווין סבוי, סמנכ"ל הטכנולוגיה של החברה, כתב בבלוג בשבת שהתוקפים ניצלו חולשה בהתקנה הזאת כדי לקבל הרשאות מנהל בכלי הדוחות בלי להתחבר אליו בכלל. הכניסה הראשונה הייתה ב-10 באוגוסט, המידע הורד ב-27 בו, והחברה גילתה ב-3 בספטמבר. שלושה שבועות בפנים.

מה שלא דלף חשוב כאן לא פחות: לא ציונים, לא תוצאות מבחנים, לא סיסמאות ולא token-ים של התחברות. גם הקישור בין חשבון לבית הספר שלו לא היה בקובץ, אם כי סבוי מודה שבבתי ספר עם דומיין מייל מזוהה אפשר להסיק אותו לבד.

וכאן הסיפור נהיה גדול מחברה אחת. אותו Metabase נפרץ בחודש האחרון אצל שורה של חברות דרך חולשת יום-אפס מסוג SQL Injection (הזרקה של פקודות מסד נתונים דרך שדה קלט שלא סונן כראוי), שנתנה לתוקפים הרשאות מנהל על העותק של כל לקוח. ברשימה נמצאות גם Tally, פלטפורמה לבניית טפסים, ויצרנית המחשבים Framework. גם הדליפה של Trezor שסיקרנו אתמול מגיעה משם: לפי הודעות שנשלחו ללקוחות והגיעו לידי BleepingComputer, ל-ShipMonk, חברת השילוח של Trezor, פרצו דרך Metabase. מספר הנפגעים שם עומד כעת על 81 אלף. קבוצת הסחיטה ShinyHunters שלחה ל-ShipMonk מיילים סחטניים.

למה זה חשוב לכם

רוב הדליפות שנוגעות בכם לא מתחילות בחברה שאיתה עשיתם עסקים. הן מתחילות אצל ספק שלה, או בתוכנה פנימית שהספק ההוא מריץ. קניתם ארנק קריפטו, נרשמתם לאתר שיעורים, והפרטים יצאו ממקום שלא ידעתם על קיומו.

אצל Trezor הסיכון קונקרטי במיוחד. מה שדלף כולל שם מלא, טלפון וכתובת למשלוח של אנשים שקנו ארנק לאחסון מטבעות קריפטו, כלומר רשימה של מי שמחזיק כסף דיגיטלי ואיפה הוא גר. החברה עצמה הזהירה שהמידע עלול לשמש להונאות בטלפון ובמייל, וגם לסיכון פיזי.

מה עושים?

אם יש לכם ארנק חומרה, זכרו כלל אחד שלא משתנה: את 24 מילות השחזור של הארנק לא מוסרים לאף אחד ובשום ערוץ, גם לא לנציג שנשמע אמין. Trezor לעולם לא תבקש אותן. בפריצה קודמת לפורטל התמיכה של החברה שימש המידע שנגנב בדיוק לזה, מיילים שביקשו מהנמענים את 24 המילים.

התייחסו בחשד למייל או לשיחה שמזכירים פרט אמיתי עליכם. מספר הזמנה נכון או כתובת נכונה אינם הוכחה שהפונה אמיתי, כי בדיוק הפרטים האלה הם שדלפו.

הורים לילדים שמשתמשים בפלטפורמות לימוד: אם מגיעה הודעה על איפוס סיסמה או על שינוי בפרטי החשבון של הילד ואף אחד לא ביקש אותה, אל תלחצו על הקישור שבתוכה. היכנסו לאתר ישירות ובדקו שם.

חברה שמבקשת מספק למחוק נתונים לא באמת יודעת שהם נמחקו, ולקוח שמסר פרטים לאתר אחד לא באמת יודע כמה עותקים מהם קיימים ואיפה. זה הפער שהקמפיין הזה מנצל.