Miliardy ujawnionych numerów telefonów mogą doprowadzić do przejęcia kont

Wyizolowane dane rzadko są szczególnie cenne, jeśli są dostępne w izolacji. Po raz kolejny okazało się to prawdą, gdy ponad 3,5 miliarda numerów telefonów wyciekło z Clubhouse - serwisu społecznościowego skupiającego się na interakcji audio. Jednak dane przez długi czas nie pozostawały w izolacji.

Początkowo podmiot, który miał dostęp do wycieku miliardów numerów telefonów, opublikował dane na podziemnym forum hakerskim, bezpłatnie dla wszystkich zainteresowanych. Sprawy stały się interesujące, gdy osoba trzecia zajęła się wyciekiem danych. Inny zły aktor podniósł ujawnione liczby i zaczął łączyć je z innym wyciekiem danych obejmującym ponad pół miliarda profili na Facebooku, które wyciekły wcześniej w 2021 roku.

Po dokładnym dopasowaniu i sparowaniu dwóch zestawów danych, połączone dane mają teraz nagle wartość 100 000 USD i są dostępne do sprzedaży w ciemnej sieci. ThreatPost zacytował portal bezpieczeństwa CyberNews, który poinformował, że dane są sprzedawane zarówno masowo, jak i w mniejszych porcjach, po bardziej przystępnych cenach.

Nowo powstałe połączone dane mogą być teraz dobrze wykorzystane przez złe podmioty, które mogą wykorzystać je w atakach polegających na przejęciu konta. Gazety cytowały ponadto badacza bezpieczeństwa Briana Uffelmana, analityka z PerimeterX, który stwierdził, że próby przejęcia konta stanowiły prawie 85 procent wszystkich prób logowania w drugiej połowie 2020 r. – zdumiewająco duży odsetek.

Dane mogą być wykorzystywane do różnych wektorów ataków, od wysyłania fałszywych wiadomości SMS w postaci tzw. smishingu, ze specjalnie dopasowaną, wiarygodną treścią, po próby drobnej kradzieży kart podarunkowych i innych atrakcyjnych finansowo przedmiotów dostępnych za pośrednictwem zhakowanych kont. Takie uporządkowane dane mogą być również używane do precyzyjnego laserowego kierowania reklam i dostosowywania, jeśli są kupowane przez sieci reklamowe.

Incydenty takie jak ten pokazują tylko, że informacje mogą mieć zarówno wartość, jak i władzę, zwłaszcza gdy oddzielne zestawy danych są łączone w nowe struktury.