ענקית הטלפונים AT&T איפסה מיליוני קודי גישה לחשבונות לקוחות לאחר שמטמון עצום של נתונים המכיל רישומי לקוחות AT&T הושלך באינטרנט מוקדם יותר החודש, כך נודע בלעדית ל-Gadget Insider.
ענקית הטלקום האמריקאית יזמה את האיפוס ההמוני של קוד הסיסמה לאחר ש-Gadget Insider הודיע ל-AT&T ביום שני כי הנתונים שהודלפו מכילים קוד סיסמה מוצפן שניתן להשתמש בהם כדי לגשת לחשבונות לקוחות AT&T.
חוקר אבטחה שניתח את הנתונים שדלפו אמר ל-Gadget Insider שקל לפענח את קוד הסיסמה של החשבון המוצפן. Gadget Insider התריע בפני AT&T על ממצאיו של חוקר האבטחה.
מהי אפליקציית iTunes u
בהצהרה שמסרה בשבת, אמרה AT&T: AT&T השיקה חקירה חזקה הנתמכת על ידי מומחי אבטחת סייבר פנימיים וחיצוניים. בהתבסס על הניתוח הראשוני שלנו, נראה כי מערך הנתונים הוא משנת 2019 או קודם לכן, והשפיע על כ-7.6 מיליון בעלי חשבונות AT&T נוכחיים וכ-65.4 מיליון בעלי חשבונות לשעבר.
ל-AT&T אין ראיות לגישה לא מורשית למערכות שלה, שהביאה לסילוק מערך הנתונים, נאמר גם בהצהרה.
Gadget Insider החזיק את פרסום הסיפור הזה עד ש-AT&T יכלה להתחיל לאפס את קודי הסיסמה של חשבון הלקוח. ל-AT&T יש גם פוסט על מה לקוחות יכולים לעשות כדי לשמור על אבטחת החשבונות שלהם .
מסעדת אוכל סיני בקרבתי שמספקת
קוד הסיסמה לחשבון לקוחות AT&T הם בדרך כלל מספרים בני ארבע ספרות המשמשים כשכבה נוספת של אבטחה בעת גישה לחשבון של לקוח, כגון התקשרות לשירות הלקוחות של AT&T, בחנויות קמעונאיות ובאינטרנט.
זו הפעם הראשונה ש-AT&T מכירה בכך שהנתונים שדלפו שייכים ללקוחותיה, כשלוש שנים לאחר שהאקר טען לגניבה של 73 מיליון רשומות של לקוחות AT&T. מ-AT&T נמסר מ-AT&T בשבת כי לא ידוע עדיין אם הנתונים בתחומים אלה מקורם ב-AT&T או מאחד מהספקים שלה.
בשנת 2021, ההאקר הטוען להפרת AT&T פרסם רק מדגם קטן של רשומות, מה שמקשה לבדוק אם הנתונים אותנטיים. מוקדם יותר במרץ, מוכר נתונים פרסם את מלוא 73 מיליון רשומות ה-AT&T לכאורה באינטרנט בפורום ידוע של פשעי סייבר, מה שאיפשר ניתוח מפורט יותר של הרשומות שהודלפו. מאז לקוחות AT&T אישרו שנתוני החשבון שדלפו מדויקים.
הנתונים שדלפו כוללים שמות לקוחות AT&T, כתובות בית, מספרי טלפון, תאריכי לידה ומספרי תעודת זהות.
חוקר אבטחה סם צ'יקנמן קרולי אמר ל-Gadget Insider שכל רשומה בנתונים שדלפו מכילה גם את קוד הסיסמה לחשבון של הלקוח AT&T בפורמט מוצפן. קרולי בדק פעמיים את הממצאים שלו על ידי חיפוש רשומות בנתונים שהודלפו מול קודי סיסמה של חשבון AT&T הידועים רק לו.
קרולי אמר שאין צורך לפצח את צופן ההצפנה כדי לבטל את ערבול נתוני הסיסמה.
מחיר מניית סנאפ היום
קרולי לקח את כל קודי הסיסמה המוצפנים מ-73 מיליון מערך הנתונים והסיר כל שכפול. התוצאה הסתכמה בכ-10,000 ערכים מוצפנים ייחודיים, המתואמים לכל תמורה של קוד סיסמה בן ארבע ספרות שנעה בין 0000 ל-9999, עם מספר חריגים בודדים עבור המספר הקטן של לקוחות AT&T עם קוד גישה לחשבון ארוך מארבע ספרות.
לדברי קרולי, האקראיות הבלתי מספקת של הנתונים המוצפנים פירושה שניתן לנחש את קוד הסיסמה של החשבון בן ארבע הספרות של הלקוח בהתבסס על המידע הסובב במערך הנתונים שדלף.
זה לא נדיר שאנשים מגדירים קודים - במיוחד אם הם מוגבלים לארבע ספרות - שיש להם משמעות עבורם. זה עשוי להיות ארבע הספרות האחרונות של מספר תעודת זהות או מספר הטלפון של האדם, שנת הלידה של מישהו, או אפילו ארבע הספרות של מספר בית. כל הנתונים הסובבים האלה נמצאים כמעט בכל רשומה במערך הנתונים שדלף.
על ידי תיאום קודי סיסמה מוצפנים לנתוני החשבון הסובבים - כמו תאריכי לידה של לקוחות, מספרי בית ומספרי תעודת זהות ומספרי טלפון חלקיים - הצליח קרולי להנדס לאחור אילו ערכים מוצפנים תואמים לאיזה קוד סיסמה טקסט רגיל.
AT&T מסרה כי היא תיצור קשר עם כל 7.6 מיליון הלקוחות הקיימים שאת קוד הסיסמה שלהם היא איפסה, כמו גם ללקוחות הנוכחיים והקודמים שהמידע האישי שלהם נפגע.