זוכרים בתחילת שנות השמונים כאשר הסלוגן של AT&T היה 'להושיט יד ולגעת במישהו'? כנראה שפושעי סייבר לקחו את זה פשוטו כמשמעו באפריל השנה כשפנו ונגעו בנתוני יומן השיחות של יותר ממיליון לקוחות AT&T.

ב-19 באפריל, ל-AT&T נודע שפולשים טענו שיש להם גישה לנתונים שלה. לאחר מכן, הפולשים גנבו נתוני יומן של AT&T הקשורים לשיחות והודעות טקסט אלחוטיות בין ה-1 במאי ל-31 באוקטובר 2022. פרטי היומן היו מטא-נתונים, שהכילו מספרי טלפון שמשתמשים אלחוטיים התקשרו אליהם, כמה שיחות הם ביצעו וכמה זמן נמשכו השיחות במצטבר. זה כלל גם מספרי זיהוי של אתרים סלולריים עבור חלק מאותן שיחות.

הנתונים הגנובים לא כללו מידע אישי מזהה כגון תוכן שיחות או הודעות טקסט, מספרי ביטוח לאומי או תאריכי לידה. עם זאת, כפי שמציינת AT&T בדיווח שלה לרשות ניירות ערך האמריקאית (SEC) בנוגע לאירוע, "בעוד שהנתונים אינם כוללים שמות לקוחות, לעתים קרובות ישנן דרכים, באמצעות כלים מקוונים זמינים לציבור, למצוא את השם המשויך למספר טלפון ספציפי". הכללת מזהי אתרים סלולריים מאפשרת גם לאנשים להשתמש במערך נתונים זה כדי לנתח את מיקום חלק מהשיחות הללו - ולכן, את בעלי המספרים.

שישה חודשים של יומני שיחות מכילים כמות גדולה של נתונים. AT&T הצהירה כי היא תודיע ל-110 מיליון לקוחות שנתוני השיחות שלהם היו מעורבים בפרצת הנתונים. בהגשתה, היא אמרה שהיא לא מאמינה שהנתונים הפכו זמינים לציבור.

AT&T הגישה את בקשת ה-SEC בגין ההפרה ב-12 ביולי, הרחק מחוץ לחלון של ארבעת הימים. זה עיכב את ההגשה בהסכמה לבקשת משרד המשפטים, שכן משרד המשפטים החליט שהגשת הדו"ח בתוך פרק הזמן הרגיל של ארבעת הימים המבוקש על ידי ה-SEC תהיה עלולה להיות מסוכנת. זה הגיוני, בהתחשב בכך שההפרה נמשכה ככל הנראה לאחר שהטלקו נודע לראשונה על חדירתם של שחקני האיום. נתוני יומן השיחות נגנבו ימים לאחר ש-AT&T אמרה ששמעה על החדירה.

הפרצה כלל לא התרחשה במערכות של AT&T. במקום זאת, זה קרה דרך ספק ענן צד שלישי שהחברה זיהתה בעיתונות כחברת מחסני נתונים מבוססת ענן Snowflake. זו לא הייתה גניבת הנתונים היחידה כזו מפתית שלג; לפי Mandiant, ל-165 לקוחות נגנבו הנתונים שלהם ממערכות האחסון של החברה. עם זאת, נראה כי זו לא הייתה פגיעות קידוד בתוכנה של Snowflake. ללקוחות שהיו קורבנות של גניבות אלה, שכללו מותגים כמו Ticketmaster, היה דבר אחד במשותף: אישורי החשבון שלהם נגנבו באמצעות תוכנה זדונית, והם לא השתמשו באימות רב-גורמי.

מה אנחנו יכולים ללמוד מפריצת AT&T/פתיתי שלג?

כולנו יכולים ללמוד מהטעויות של לקוחות שנפגעו מהפרת Snowball, אומרים מומחים. "לארגונים צריכה להיות הבנה ברורה של מודל האחריות המשותפת באבטחה שמגיע עם קשרי ספקים וליישם בקרות ניהול זהות וגישה חזקות בפלטפורמות ענן", אומרת Milda Petraityte, חוקרת בחברת הייעוץ S-RM לאבטחת סייבר.

סנופלייק נקטה פעולה משלה, והציגה יכולת חדשה למנהלי לקוחות לאכוף MFA חובה ב-9 ביולי, כמעט שלושה חודשים לאחר שהחלה רצף ההתחברות הלא מורשות למערכות שלה. זו התחלה, אבל אפשר לתהות מדוע תכונה זו לא הייתה קיימת כבר - או מדוע, ברוח אבטחת הסייבר האמיתית, יהיה מודל תפעולי אחר מלבד MFA חובה.

חברות עדיין מפגרות הרחק מאחור בשימוש ב-MFA. על פי דו"ח מצב אבטחת הסייבר של CompTIA לשנת 2024 , רק 41% מהחברות כוללות את השימוש ב-MFA באסטרטגיות אבטחת הסייבר שלהן. רק 38% משתמשות בצורה כלשהי של ניהול עומסי עבודה בענן.

הבעיה הנוספת שגרמה לחברות לצרות הייתה אי זיהוי והפחתת גניבת האישורים. "כמה חברות לא ידעו שנפגעו עם גנבי מידע, אז האישורים שלהן היו זמינים ברשת האפלה", מציינת סטפני שניידר, אנליסטית מודיעין איומי סייבר בחברת LastPass למנהל סיסמאות. איתור הוא שלב קריטי בכל תוכנית תגובה לאירוע. מכיוון שחברות לא הצליחו לזהות את ההדבקה בתוכנה זדונית שהובילה לגניבת אישורים ולאחר מכן לא יישמו הגנת גישה נוספת, הן השאירו את עצמן פגיעות.

חברות יכולות ללמוד על שיטות אבטחה כאלה בתקני אבטחת סייבר נפוצים. לדוגמה, תקן ISO 270001 מזכיר במפורש שיטות אימות מאובטחות כגון אימות מכשירים חיצוניים בתיעוד נספח A 8.5 שלו . הוא מזכיר גם אמצעים כגון בדיקה ומניעת שימוש בתוכנות לא מורשות, הגנות מעמיקות מפני תוכנות זדוניות בנקודות תשתית מרובות, והדרכת עובדים להיות מודעים להנדסה חברתית ולהתקנת תוכנות זדוניות ב- Control 8.7 - הגנה מפני תוכנות זדוניות.

יישום אמצעים כאלה ביעילות עשוי היה לסייע במניעת אסון פתיתי השלג של AT&T, יחד עם הפרות של חברות רבות אחרות באמצעות השירות מבוסס הענן. עם זאת, לטלקו היו אירועי אבטחת סייבר אחרים להתמודד איתם.

במרץ השנה, AT&T הצהירה כי מידע אישי מזהה (PII) מ-73 מיליון לקוחות מרחף ברשת האפלה, והיא לא ידעה מהיכן הגיע המידע. נתונים אלה, שצצו כתוצאה מפשרה בשנת 2021, הספיקו כדי להצית תביעה ייצוגית מצד לקוחות מתוסכלים.

בינואר 2023, הטלקו דיווחה כי PII מתשעה מיליון חשבונות לקוחות נפרץ דרך אחד משותפי השיווק של צד שלישי שלה. זה מדגיש את הצורך בהערכות איתנות של ספקים ובביקורות אבטחה מתמשכות של צד שלישי כדי לסייע לאבטחת לא רק את הרשת של החברה עצמה אלא את כל מערכת האקולוגית של הנתונים שלה.

ניהול מערכת אקולוגית מסוג זה הוא אתגר עבור חברה רחבת ידיים כמו AT&T, במיוחד בהתחשב בכך שהיא מכרה גם נתוני מיקום גיאוגרפי של לקוחות לצדדים שלישיים ללא הסכמתם . זהו גם סימן לכך שאנו זקוקים לפעולה רגולטורית נוספת כדי לאלץ את החברות הללו ליישם בקרות אבטחה ופרטיות חזקות.