Δεν πλήρωσαν τα λύτρα — οι χάκερ διέρρευσαν τα δεδομένα facial recognition

Χάκερ δημοσίευσαν δεδομένα facial recognition εκατομμυρίων επισκεπτών του Madison Square Garden, αφού η εταιρεία δεν πλήρωσε λύτρα. Τι περιλαμβάνει η διαρροή.

Η ομάδα κυβερνοεγκλήματος ShinyHunters δημοσιοποίησε έναν τεράστιο όγκο δεδομένων που φέρεται να έκλεψε από τη Madison Square Garden Entertainment, αφού η εταιρεία δεν πλήρωσε τα λύτρα μέσα στην προθεσμία. Στη διαρροή περιλαμβάνονται, σύμφωνα με δημοσιεύματα, αρχεία αναγνώρισης προσώπου (facial recognition), στοιχεία πελατών, εσωτερικές αξιολογήσεις ασφαλείας και άλλα ευαίσθητα δεδομένα που συνδέονται με εκατομμύρια επισκέπτες.

Τι ξεχωρίζει αυτή τη διαρροή

Οι περισσότερες μεγάλες παραβιάσεις αφορούν passwords, email ή οικονομικά στοιχεία. Εδώ η υπόθεση είναι διαφορετική, γιατί τα δεδομένα που διέρρευσαν αφορούν τον τρόπο με τον οποίο άνθρωποι παρακολουθήθηκαν και ταυτοποιήθηκαν σε φυσικούς χώρους. Το Madison Square Garden χρησιμοποιεί εδώ και χρόνια τεχνολογία αναγνώρισης προσώπου στους χώρους του για να ελέγχει ποιος μπαίνει — ένα σύστημα που έχει προκαλέσει αντιδράσεις από οργανώσεις προστασίας προσωπικών δεδομένων και ρυθμιστικές αρχές.

Τι περιέχουν τα αρχεία που διέρρευσαν

Σύμφωνα με τα δημοσιεύματα, το πακέτο δεδομένων περιλαμβάνει βιομετρικές πληροφορίες παρακολούθησης, εσωτερικές εκτιμήσεις κινδύνου, δεδομένα από ελέγχους ιστορικού (background checks) και αρχεία που συνδέονται με επισκέπτες. Ιδιαίτερα ειρωνικό είναι ότι στα κλεμμένα στοιχεία φέρεται να βρίσκεται και αλληλογραφία πελατών — ανάμεσά της και μηνύματα ανθρώπων που είχαν εκφράσει ανησυχία μήπως το σύστημα facial recognition τους ταυτοποιήσει λανθασμένα. Με άλλα λόγια, τα παράπονα για τις πρακτικές παρακολούθησης ήταν αποθηκευμένα δίπλα στα ίδια τα δεδομένα παρακολούθησης.

Όταν η ίδια η κάμερα ασφαλείας γίνεται στόχος

Οι επικριτές προειδοποιούσαν εδώ και καιρό ότι η συγκέντρωση τόσο μεγάλου όγκου βιομετρικών δεδομένων δημιουργεί έναν ελκυστικό στόχο για τους χάκερ — και αυτή η παραβίαση μοιάζει να τους δικαιώνει. Κάθε κάμερα, κάθε βάση δεδομένων και κάθε προφίλ δημιουργεί μια ακόμη αποθήκη εξαιρετικά ευαίσθητων πληροφοριών που πρέπει να προστατευτεί. Όσο πιο πλήρη γίνονται αυτά τα αρχεία, τόσο πιο πολύτιμα είναι για τους κυβερνοεγκληματίες.

Το περιστατικό έρχεται λιγότερο από έναν χρόνο μετά από προηγούμενο σοβαρό συμβάν κυβερνοασφάλειας που είχε επίσης εμπλέξει τη MSG. Προς το παρόν αρκετές λεπτομέρειες παραμένουν ασαφείς: το πλήρες εύρος των αρχείων δεν έχει επιβεβαιωθεί ανεξάρτητα, ενώ η Madison Square Garden Entertainment δεν έχει δημόσια επιβεβαιώσει την έκταση της παραβίασης. Η ίδια λογική προστασίας ισχύει και για τους απλούς χρήστες: η ασφάλεια των δεδομένων δοκιμάζεται τη στιγμή της επίθεσης, και εκεί φαίνεται αν υπάρχουν δικλείδες ανάκτησης ακόμη και μετά από hack.

Ποια είναι η Madison Square Garden Entertainment;

Η Madison Square Garden Entertainment είναι αμερικανική εταιρεία ψυχαγωγίας με έδρα τη Νέα Υόρκη, που διαχειρίζεται μερικούς από τους πιο διάσημους χώρους εκδηλώσεων στις ΗΠΑ. Το «κόσμημα» της είναι το ίδιο το Madison Square Garden, η θρυλική αρένα στο Μανχάταν όπου γίνονται συναυλίες μεγάλων καλλιτεχνών, αγώνες μπάσκετ (εκεί παίζουν οι New York Knicks του NBA) και χόκεϊ (οι New York Rangers του NHL), καθώς και κάθε λογής μεγάλα events.

Η άποψή μας στο Techblog

Η υπόθεση δείχνει ξεκάθαρα ότι η συλλογή δεδομένων είναι μόνο το μισό της εξίσωσης· το δύσκολο κομμάτι είναι να τα προστατεύεις. Όταν ένα σύστημα κρατάει το πρόσωπό σου σε μια βάση χωρίς να σε ρωτήσει, αναλαμβάνει και την ευθύνη να μην καταλήξει αυτό στο dark web — κάτι που εδώ απέτυχε παταγωδώς. Για όποιον περνά από χώρους με βιομετρικό έλεγχο, το μάθημα είναι ότι ένα κλεμμένο password το αλλάζεις, το πρόσωπό σου όμως όχι.