Påstådd dataintrång av 2,9 miljarder register gnistor mediehysteri och rättsliga åtgärder mot nationella offentliga uppgifter
De senaste ryktena om ett massivt dataintrång som involverar National Public Data (NPD), en framstående tjänst för bakgrundskontroll, har satt media i brand och utlöst flera stämningar. Trots den utbredda uppmärksamheten är sanningen bakom det påstådda intrånget fortfarande höljt i osäkerhet, med få konkreta bevis som styrker påståendena.
Innehållsförteckning
En tweet som antände en eldstorm
De första viskningarna om ett potentiellt intrång dök upp den 8 april 2024, när en användare vid namn HackManac skrev på X (tidigare Twitter) om häpnadsväckande 2,9 miljarder poster som påstås ha exfiltrerats från NPD:s databaser. Enligt inlägget erbjöds uppgifterna, som inkluderar register från medborgare i USA, Kanada och Storbritannien, till försäljning av en hotaktör känd som USDoD för 3,5 miljoner dollar. Trots påståendets svårighetsgrad ignorerades inlägget till stor del av mainstreammedia, och NPD gav inget svar.
Detta första inlägg följdes av ett annat den 2 juni 2024 från vx-underground, en välkänd cybersäkerhetsgemenskap. De påstod sig ha granskat ett urval av uppgifterna och bekräftat dess äkthet. Återigen förblev media och NPD tysta.
Det juridiska nedfallet när grupptalan börjar
Situationen tog en dramatisk vändning den 1 augusti 2024, när Christopher Hofmann lämnade in en grupptalan mot NPD. Hofmann hävdade att hans personligt identifierbara information (PII) hade äventyrats i intrånget, med hänvisning till ett meddelande från hans identitetsstöldskyddstjänst. Denna rättegång, tillsammans med tre andra som lämnats in av påstådda offer, har ännu inte tillhandahållit konkreta bevis som länkar de exfiltrerade uppgifterna direkt till NPD.
Hofmann-processen, som använder vx-underground-posten som sitt primära bevis, är full av inkonsekvenser. Till exempel tillskrivs intrånget till en början USDoD, men senare korrigeringar visade att en annan hotaktör, känd som SXUL, kan ha varit ansvarig. Dessutom blåser stämningen upp antalet poster från 2,9 miljarder till "miljarder individer", en siffra som vida överstiger den sammanlagda befolkningen i USA, Kanada och Storbritannien.
En möjlig fiskeexpedition?
Experter menar att rättegången kan handla mindre om att bevisa NPD:s skuld och mer om att tvinga företaget att tillhandahålla bevis för sin oskuld. I USA kan domstolar kräva att svarande avslöjar information som kan bevisa eller motbevisa anspråken mot dem. Denna strategi, ofta kallad en "fiskeexpedition", kan vara det primära målet för Hofmanns juridiska team.
Ilia Kolochenko, VD för ImmuniWeb och en juridisk expert, noterade att sådan taktik är vanligare i USA än i Europa, där bevisbördan vanligtvis ligger hos käranden. Om domstolen tvingar NPD att lämna ut information om den påstådda överträdelsen kan det leda till betydande konsekvenser för företaget.
Den större bilden och vad vi vet hittills
Trots rättsliga åtgärder och mediafrenzy finns det fortfarande inga definitiva bevis för att NPD bröts. Uppgifterna som cirkuleras kan ha sitt ursprung från andra källor eller sammanställts från offentliga register, snarare än att ha exfiltrerats från NPD. Inte ens välrenommerade källor som Bleeping Computer, som granskade prover av de läckta uppgifterna, kunde inte bekräfta att informationen kom från NPD.
Dessutom väcker det påstådda intrånget frågor om den stora mängden data som enligt uppgift stulits. Experter har uttryckt skepsis mot möjligheten att exfiltrera 2,9 miljarder poster utan upptäckt, särskilt med tanke på den känsliga karaktären hos den information som NPD hanterar.
Den osäkra framtiden: väntar på sanningen
Än så länge har NPD inte kommenterat det påstådda intrånget och har inte heller lämnat några officiella avslöjanden till tillsynsorgan i USA, Storbritannien eller Kanada. Sanningen bakom intrånget kanske bara kommer fram om domstolarna kräver ett formellt svar från NPD.
Under tiden har anklagelserna väckt stor oro och spekulationer. Huruvida dessa påståenden kommer att styrkas eller bevisas vara falska återstår att se, men situationen fungerar som en påminnelse om de potentiella riskerna som är förknippade med dataintrång i dagens digitala tidsålder.
När vi väntar på mer information är det viktigt att närma sig situationen med försiktighet. Även om möjligheten av ett intrång på NPD inte kan uteslutas, betyder bristen på konkreta bevis att sanningen kan vara mer komplex än vad rubrikerna antyder.