A TalkTalk brit internet- és telefonszolgáltató 2014–2015-ben egy év alatt háromszor veszítette el az ügyfelei adatait. A legnagyobb betörést egy kamasz követte el egy ingyenes eszközzel, egy olyan weboldalon keresztül, amelyről a cég szinte el is felejtette, hogy az övé.
Első csapás: a kiszervezett ügyfélszolgálat
2014 őszén a TalkTalk ügyfeleit furcsa telefonhívások érték. A hívó a cég nevében telefonált, és pontosan tudta az ügyfél nevét, címét, sőt a titkosnak hitt ügyfélszámát is. Ezzel az adattal könnyen elnyerte a bizalmat. Rávette az áldozatot, hogy ossza meg a képernyőjét, majd közölte vele, hogy a TalkTalk „véletlenül túl sok pénzt utalt vissza”, amit most vissza kellene küldeni. Több idős ügyfél ezer fontokat veszített így.
A szivárgás nem Londonban, hanem Indiában történt. A TalkTalk az ügyfélszolgálatát egy kalkuttai call centerbe szervezte ki. Az ezer ügyintézőből negyvennek volt bővített jogosultsága: helyettesítő karakterrel kereshettek az ügyféladatbázisban, egyszerre 500 találatig. Három munkatárs ezzel lassan kilistázott 21 000 ügyfelet, az adatokat pendrive-on adta át csalóknak, és részesedést kapott a zsákmányból.
A TalkTalk novemberben jelentette az esetet a hatóságnak, az ügyfeleket viszont csak februárban értesítette. Közben a csalók tovább telefonáltak.
Második csapás: a beszállító
2015 augusztusában a Carphone Warehouse-t törték fel. Ez a mobiltelefon-kereskedő korábban a TalkTalk anyacége volt. A szétválás még nem fejeződött be, ezért az ő rendszereikben is maradtak TalkTalk-ügyféladatok: 2,5 millió ellopott rekordból 480 000 a TalkTalk ügyfeleihez tartozott. Az ügyfél szemében ez is „a TalkTalk hibája” volt.
Harmadik csapás: az elfelejtett weboldal
2015. október 21-én, egy szerdai napon lelassult a TalkTalk hálózata, délre pedig a weboldal teljesen elérhetetlenné vált. Másnap a vezérigazgató, Dido Harding a BBC-n jelentette be, hogy támadás érte őket, és mind a négymillió ügyfelüket figyelmeztetik. Közben a postafiókjába zsarolólevél érkezett: 125 000 dollárnyi bitcoint követeltek, különben nyilvánosságra hozzák az adatokat.
A vizsgálat kiderítette, hogy a támadók nem a fő rendszert törték fel. Egy régi Tiscali-weboldalon jutottak be: ezt a céget a TalkTalk évekkel korábban vásárolta fel. A régi oldalak a beolvasztás után is futottak tovább, de senki nem frissítette és nem figyelte őket. Az alatta futó adatbázis-szoftver javítása három és fél éve elérhető volt, mégsem telepítette senki. A hiba egy klasszikus SQL-befecskendezés volt.
A brit adatvédelmi hatóság (ICO) később azt is megállapította, hogy ugyanezen az oldalon már júliusban és szeptemberben is volt sikeres támadás. Ezt a naplók megmutatták volna, de senki nem nézte őket. Csak októberben 14 000 támadási kísérlet érte az oldalt a világ minden tájáról.
Végül 157 000 ügyfél adatai szivárogtak ki, köztük 15 000 bankszámlaszám. Semmi nem volt titkosítva.
Kik voltak a támadók?
A Scotland Yard három hónapon belül hat embert fogott el, mindannyian 21 év alattiak voltak. Az egyik, egy 16 éves fiú, az ingyenes sqlmap nevű eszközzel találta meg a hibát, és egy hackerfórumon dicsekedett vele. Egy 20 éves fiatal letöltötte az adatokat, a barátja pedig megpróbálta eladni őket a darkneten. A zsarolólevelet egy 18 éves walesi fiú írta. Kiderült, hogy más cégeket is zsarolt, és a saját iskolája ellen indított túlterheléses támadása még a helyi kórházat is megzavarta.
Mennyibe került?
- Az ICO 400 000 font bírságot szabott ki a TalkTalkra, ez akkor rekordnak számított. Az indiai call center miatti szivárgásért később további 100 000 fontot.
- A cég a saját becslése szerint több tízmillió fontot költött a vizsgálatra, a javításra és a kártalanításra (ingyenes hitelfigyelés, ingyenes csomagváltás).
- Több mint százezer ügyfelet veszítettek el, a részvényárfolyam jelentősen esett. A vezérigazgató 2017 elején távozott.
A parlamenti meghallgatáson Dido Harding két tanácsot adott a többi cégvezetőnek: legyenek nyíltak az ügyfeleikkel, és a biztonságot ne delegálják le, mert az vezetői szintű döntés.
Mit tanulhat ebből egy magyar cég?
- Amiről nem tud, azt nem tudja védeni. Felvásárlás, átnevezés, új weboldal után mindig marad valahol egy régi aloldal, teszt-szerver vagy elfelejtett webshop. A támadók ezeket keresik először. Egy külső audit első lépése éppen ennek a listának az összeállítása: mi látszik ma a cégből az internet felől.
- Egy sebezhető szerver az egész céget sebezhetővé teszi. Hiába erős a főrendszer, ha egy régi oldal ugyanabba az adatbázisba lát.
- A jogosultság kockázat. Negyven embernek volt joga tömegesen keresni az ügyféladatokban, és hárman visszaéltek vele. Kinek van nálunk hozzáférése mindenhez, és miért?
- A beszállító hibája is az Ön hibája. Az ügyfél nem tesz különbséget a cég és a call center, a könyvelő vagy a webfejlesztő között.
- A naplót nézni is kell. A támadás nyomai hónapokkal korábban ott voltak.
- Az adatvédelmi incidenst 72 órán belül jelenteni kell (Magyarországon a NAIH-nak). Érdemes előre tudni, ki dönt, és mit mondanak az ügyfeleknek.
Ha kíváncsi, hogy a cégénél van-e ilyen „elfelejtett ajtó”, kezdje az 5 perces gyorsteszttel. Ha weboldalról van szó, a napiaudit.hu ingyenes ellenőrzése egy perc alatt mutat egy első képet.