Το εργαλείο αναζήτησης συμβάσεων πελατών U-Haul έχει παραβιαστεί

Η U-Haul είπε ότι οι εισβολείς μπόρεσαν να παραβιάσουν δύο μεμονωμένους κωδικούς πρόσβασης και να αποκτήσουν πρόσβαση στο εργαλείο συμβάσεων πελατών της εταιρείας, αποκαλύπτοντας ονόματα πελατών και άδεια οδήγησης ή αριθμούς αναγνώρισης πολιτειών.

Οι επιτιθέμενοι είχαν μη εξουσιοδοτημένη πρόσβαση από τις 5 Νοεμβρίου 2021 έως τις 5 Απριλίου 2022, είπε η U-Haul. Μόλις ανακαλύφθηκε η παραβίαση, η U-Haul άλλαξε τους κωδικούς πρόσβασης που επηρεάστηκαν και ξεκίνησε έρευνα, εξήγησε η εταιρεία στις 9 Σεπτεμβρίου.

«Η έρευνα διαπίστωσε ότι ένα μη εξουσιοδοτημένο άτομο είχε πρόσβαση στο εργαλείο αναζήτησης συμβολαίων πελατών και σε ορισμένες συμβάσεις πελατών», σύμφωνα με Ανακοίνωση της U-Haul για το περιστατικό ασφάλειας στον κυβερνοχώρο. «Κανένα από τα οικονομικά μας συστήματα, τα συστήματα επεξεργασίας πληρωμών ή τα συστήματα ηλεκτρονικού ταχυδρομείου U-Haul δεν εμπλέκονται. η πρόσβαση περιορίστηκε στο εργαλείο αναζήτησης συμβολαίων πελατών."

Η ασφάλεια του κωδικού πρόσβασης της U-Haul μετατοπίστηκε

Εμπειρογνώμονες όπως ο Sami Elhini, με τον Cerberus Sentinel, επισκέφτηκαν την έλλειψη ασφάλειας κωδικού πρόσβασης της U-Haul.

«Τελικά, αυτό είναι ένα ζήτημα διαχείρισης ταυτότητας», εξήγησε ο Ελχίνι σε μια δήλωση που εστάλη μέσω email. "Το να προσδιορίσετε ότι έχετε μια επιλυμένη ταυτότητα που βασίζεται σε έναν επιτυχημένο έλεγχο ταυτότητας ενός παράγοντα δεν είναι μόνο ευδαιμονικά άγνοια, αλλά και δυνητικά πολιτικά και ποινικά αμέλεια."

Ο Lior Yaari, Διευθύνων Σύμβουλος της Grip Security ήταν επίσης μαραζωμένος στην αξιολόγησή του για την κυβερνοασφάλεια της U-Haul.

«Οι κωδικοί πρόσβασης που παραβιάστηκαν σε αυτήν την επίθεση U-Haul σαφώς δεν ελέγχονταν ή δεν προστατεύονταν σωστά», δήλωσε ο Yaari σε δήλωση που εστάλη μέσω email. «Υπάρχουν πιθανώς άλλοι κωδικοί πρόσβασης που μπορεί να έχουν ήδη παραβιαστεί, τους οποίους η U-Haul, και εκατοντάδες άλλες εταιρείες, δεν γνωρίζουν και δεν θα τους γνωρίζουν, έως ότου συμβεί μια άλλη παραβίαση όπως αυτή».  

Βελτίωση της προστασίας με κωδικό πρόσβασης

Ενώ η ακριβής προσέγγιση μπορεί να είναι πολύ μεταξύ τομέων και οργανισμών, ο Yaari είπε ότι η βιομηχανία πρέπει να σταματήσει να επαναλαμβάνει τα ίδια λάθη και να βασίζεται στους εργαζόμενους ως αποτελεσματική άμυνα ενάντια στις επιθέσεις στον κυβερνοχώρο.

«Οι πρόσθετες διασφαλίσεις που λαμβάνουν οι εταιρείες για να αποτρέψουν τον παραβιασμό του κωδικού πρόσβασης πιθανότατα θα αποτύχουν και αυτού του είδους παραβίαση θα επαναληφθεί ξανά και ξανά», πρόσθεσε ο Yaari. «Αντί να προσθέτει περισσότερα Band-Aids, ο κλάδος πρέπει να υιοθετήσει μια νέα προσέγγιση που αφαιρεί το βάρος της διασφάλισης κωδικών πρόσβασης από τους υπαλλήλους».