U-Haulin asiakassopimushakutyökalu vaarantunut

U-Haulin mukaan hyökkääjät pystyivät vaarantamaan kaksi yksittäistä salasanaa ja pääsemään yhtiön asiakassopimustyökaluun paljastaen asiakkaiden nimet ja ajokortin tai valtion tunnusnumerot.

Hyökkääjillä oli luvaton pääsy 5–2021, U-Haul sanoi. Kun tietomurto havaittiin, U-Haul vaihtoi salasanat ja aloitti tutkimuksen, yhtiö selitti 5. syyskuuta.

"Tutkinnassa kävi ilmi, että luvaton henkilö on käyttänyt asiakassopimusten hakutyökalua ja joitakin asiakassopimuksia", kertoo U-Haulin ilmoitus kyberturvallisuushäiriöstä. "Mikään talous-, maksujenkäsittely- tai U-Haul-sähköpostijärjestelmämme ei ollut mukana; pääsy rajoitettiin asiakassopimusten hakutyökaluun."

U-Haulin salasanasuojaus panoroitu

Asiantuntijat, kuten Sami Elhini, Cerberus Sentinelin kanssa, panivat merkille U-Haulin salasanasuojauksen puutteen.

"Tämä on viime kädessä identiteetin hallintaongelma", Elhini selitti sähköpostilla lähetetyssä lausunnossa. "Onnistuneen yksitekijäisen todennuksen perusteella selvitetyn identiteetin määrittäminen ei ole vain autuaan tietämättömyyttä, vaan myös mahdollisesti siviili- ja rikosoikeudellista huolimattomuutta."

Myös Grip Securityn toimitusjohtaja Lior Yaari kuihtui arvioidessaan U-Haulin kyberturvallisuutta.

"Tässä U-Haul-hyökkäyksessä vaarantuneita salasanoja ei selvästikään hallittu tai suojattu kunnolla", Yaari sanoi sähköpostilla. "On luultavasti muitakin jo vaarantuneita salasanoja, joista U-Haul ja sadat muut yritykset eivät ole tietoisia eivätkä tule saamaan tietoonsa, ennen kuin tapahtuu toinen tällainen rikkomus."  

Salasanasuojausten parantaminen

Tarkka lähestymistapa saattaa koskea hyvin toimialoja ja organisaatioita, mutta Yaari sanoi, että alan on lopetettava samojen virheiden toistaminen ja turvautuminen työntekijöihin tehokkaana suojana kyberhyökkäyksiä vastaan.

"Lisätoimenpiteet, joita yritykset ottavat estääkseen salasanan vaarantamisen, epäonnistuvat todennäköisesti tämän tyyppinen rikkomus toistetaan yhä uudelleen ja uudelleen”, Yaari lisäsi. "Sen sijaan, että lisättäisiin Band-Aids-laitteita, alan on omaksuttava uusi lähestymistapa, joka poistaa työntekijöiden salasanojen turvaamisen taakan."