Za nami kolejny atak na T-Mobile. W wyniku naruszenia ujawnione zostały takie dane jak imię i nazwisko klienta, adres rozliczeniowy, adres e-mail, numer telefonu, data urodzenia, czy numer konta T-Mobile. Do sieci trafiły też dodatkowe informacje, np. liczba linii na koncie i funkcje planu abonamentowego, jakie wybrała dana osoba.
Telekomunikacyjny gigant T-Mobile US doznał incydentu związanego z cyberbezpieczeństwem. Doprowadził on do ujawnienia danych osobowych 37 milionów użytkowników.
Sprawdź: Rodzaje cyberzagrożeń
W oświadczeniu amerykański oddział T-Mobile podkreślał, że wrażliwe informacje o kartach płatniczych klientów, numerach ubezpieczenia społecznego, identyfikatorach podatkowych, prawie jazdy lub innych rządowych numerach identyfikacyjnych, a także hasłach/kodach PIN lub innych informacjach o rachunkach finansowych nie zostały ujawnione.
Kolejny atak na T-Mobile za nami
Sprawca uzyskał dane za pośrednictwem pojedynczego interfejsu programowania aplikacji (API) bez autoryzacji. Miało to miejsce 5 stycznia br.
Firma twierdzi, że atakujący po raz pierwszy pobrał dane za pośrednictwem interfejsu API, którego dotyczy problem, mniej więcej 25 listopada ub.r.
Czytaj: Co to jest I2P?
Zewnętrzni eksperci ds. bezpieczeństwa cybernetycznego przeprowadzili dochodzenie. W ciągu jednego dnia od zidentyfikowania złośliwej aktywności źródło zostało wyśledzone, a aktywność – zatrzymana.
„Nasze dochodzenie wciąż trwa, ale szkodliwa aktywność wydaje się być w tej chwili w pełni powstrzymana. Obecnie nie ma dowodów na to, że sprawca był w stanie włamać się lub narazić na szwank nasze systemy lub sieć” – czytamy w oświadczeniu T-Mobile.
Operator informuje, że powiadomił niektóre agencje federalne o incydencie i jednocześnie współpracuje z organami ścigania. „Ponadto zaczęliśmy powiadamiać klientów, których informacje mogły zostać uzyskane przez złego aktora zgodnie z obowiązującymi wymogami stanowymi i federalnymi” – dodaje spółka.
W 2021 roku firma telekomunikacyjna rozpoczęła znaczną, wieloletnią inwestycję we współpracy z wiodącymi zewnętrznymi ekspertami ds. cyberbezpieczeństwa w celu zwiększenia swoich możliwości w zakresie cyberbezpieczeństwa i zmiany podejścia do ochrony danych. „Do tej pory poczyniliśmy znaczne postępy, a ochrona danych naszych klientów pozostaje najwyższym priorytetem. Będziemy nadal dokonywać znacznych inwestycji w celu wzmocnienia naszego programu cyberbezpieczeństwa” – dodał T-Mobile.
To nie pierwsze naruszenie bezpieczeństwa w T-Mobile
To nie pierwszy poważny incydent cyberbezpieczeństwa w T-Mobile. Od 2018 roku T-Mobile doświadczył 7 kolejnych dużych naruszeń.
W sierpniu 2018 roku firma poinformowała, że wyciekło 3% danych jej klientów. Osoba atakująca wydobywała dane osobowe, takie jak nazwiska klientów, kody pocztowe do rozliczeń, numery telefonów, adresy e-mail, numery kont i typy kont (opłacane z góry lub z dołu).
W listopadzie 2019 roku firma ujawniła, że dostęp do informacji o kontach nieujawnionej liczby klientów przedpłaconych uzyskała nieupoważniona osoba trzecia.
W marcu 2020 r. T-Mobile ogłosił naruszenie danych spowodowane włamaniem do dostawcy poczty e-mail, które ujawniło dane osobowe i finansowe niektórych jego klientów. W tym samym roku w grudniu firma doznała kolejnego naruszenia, które ujawniło zastrzeżone informacje sieciowe klientów (CPNI), w tym numery telefonów i rejestry połączeń.
T-Mobile ponownie ujawnił naruszenie danych po tym, jak nieznana liczba klientów została dotknięta atakami wymiany karty SIM w lutym 2021 r. Gigant telekomunikacyjny ostrzegł, że informacje, w tym nazwiska, daty urodzenia, numery ubezpieczenia społecznego w USA (SSN) i prawo jazdy ok. 77 milionów osób, w tym obecnych, byłych lub potencjalnych klientów, zostały ujawnione w wyniku naruszenia bezpieczeństwa danych w sierpniu 2021 r.
Sprawdź: Zasady bezpiecznego korzystania z internetu
W innym incydencie z kwietnia 2022 r. grupa hakerska Lapsus$ uzyskała dostęp do wewnętrznych narzędzi firmy, co dało im szansę na wymianę karty SIM.
Ostatecznie w lipcu 2022 r. T-Mobile został zmuszony do zapłacenia 350 mln dol. klientom dotkniętym naruszeniem z sierpnia 2021 r. W ramach ugody zgodził się zainwestować 150 mln dol. w modernizację cyberbezpieczeństwa do 2023 r.