Strumento di ricerca contratto cliente U-Haul compromesso

U-Haul ha affermato che gli aggressori sono stati in grado di compromettere due password individuali e accedere allo strumento di contratto dei clienti dell'azienda, esponendo i nomi dei clienti e i numeri di patente di guida o di identificazione statale.

Gli aggressori hanno avuto accesso non autorizzato dal 5 novembre 2021 al 5 aprile 2022, ha affermato U-Haul. Una volta scoperta la violazione, U-Haul ha cambiato le password interessate e ha avviato un'indagine, ha spiegato la società il 9 settembre.

"L'indagine ha stabilito che una persona non autorizzata ha avuto accesso allo strumento di ricerca dei contratti dei clienti e ad alcuni contratti dei clienti", secondo Avviso di U-Haul sull'incidente di sicurezza informatica. “Nessuno dei nostri sistemi finanziari, di elaborazione dei pagamenti o di posta elettronica U-Haul è stato coinvolto; l’accesso era limitato allo strumento di ricerca dei contratti dei clienti.”

La sicurezza delle password di U-Haul è stata esaminata

Esperti come Sami Elhini, con Cerberus Sentinel, hanno analizzato la mancanza di sicurezza delle password di U-Haul.

"In definitiva, questo è un problema di gestione dell'identità", ha spiegato Elhini in una dichiarazione inviata via email. "Determinare di avere un'identità risolta sulla base di un'autenticazione a un fattore riuscita non è solo beatamente ignorante, ma anche potenzialmente negligente dal punto di vista civile e penale."

Anche Lior Yaari, amministratore delegato di Grip Security, è stato fulminante nella sua valutazione della sicurezza informatica di U-Haul.

"Le password compromesse in questo attacco U-Haul non erano chiaramente governate o protette adeguatamente", ha affermato Yaari in una dichiarazione inviata via email. "Probabilmente ci sono altre password che potrebbero essere già state compromesse di cui U-Haul e centinaia di altre società non sono a conoscenza e di cui non verranno a conoscenza, finché non si verificherà un'altra violazione come questa."  

Miglioramento delle protezioni tramite password

Sebbene l’approccio preciso possa variare da un settore all’altro e da un’organizzazione all’altra, Yaari ha affermato che l’industria deve smettere di ripetere gli stessi errori e fare affidamento sui dipendenti come difesa efficace contro gli attacchi informatici.

“Le misure di sicurezza aggiuntive adottate dalle aziende per prevenire la compromissione delle password probabilmente falliranno e questo tipo di violazione verrà ripetuto ancora e ancora”, ha aggiunto Yaari. “Piuttosto che aggiungere altri cerotti, il settore deve adottare un nuovo approccio che elimini l’onere di proteggere le password dei dipendenti”.