De universidades da Ivy League a Dados Pessoais: Violações de Dados Acadêmicos estão em um recorde histórico!

Não foi preciso mais do que uma ligação com uma voz familiar e convincente, um ator malicioso se passando por um contato interno, e o insider certo do outro lado da linha. Foi assim que um hacker habilidoso conseguiu seu 'Vish'.

Conheça o novo modelo de negócios do cibercrime, o 'Vishing'.

O ato de se passar por uma entidade familiar para gerar pena, medo ou até simpatia, obtendo informações críticas como números de conta bancária, OTPs, senhas e mais.

Hackers e atacantes estão evoluindo para esse golpe convincente como uma forma de persuasão armada.

Familiaridade – uma brecha psicológica que facilmente corta firewalls, BitLocker, antivírus e crava suas garras profundamente na confiança humana ingênua. Este é o começo de todas as violações, golpes e ataques de resgate. Porque a familiaridade fortalece a confiança, e a confiança digital se traduz em algo como 'Eu conheço essa pessoa... Deixe-me dar a eles o que estão pedindo'.

Quanto mais familiares suas interações digitais se tornam, menos suspeito você fica, e é exatamente esse tipo de guloseima que esses atacantes se alimentam.

Neste artigo, vamos explorar como uma universidade de elite foi vítima de algo tão simples quanto uma ligação telefônica com uma voz familiar do outro lado da linha.

A universidade da Liga IVY abriga 20.000 professores e funcionários, 24.500 estudantes tanto em programas de graduação quanto de pós-graduação, e 400.000 ex-alunos ao redor do mundo.

Com Harvard, bancos de dados de ex-alunos, doadores, estudantes e registros de professores foram violados.

Isso grita uma mensagem forte: esses hackers não estão apenas tentando acessar dados financeiros, mas querem identidades, redes, influência, influência e detalhes de perfis importantes de alunos.

Universidades e outras instituições educacionais carregam uma riqueza de informações sobre histórias pessoais, detalhes notáveis de ex-alunos e redes familiares, e isso é apenas a parte pessoal da história.

Quanto ao preço real, essas instituições são uma mina de ouro de conjuntos de dados que transportam informações sobre documentos de pesquisa, resultados experimentais, registros e comunicações de bolsas, arquivos acadêmicos e outras comunicações e informações internas altamente confidenciais.

O que foi exposto?

A violação expôs dados de contato, dados biográficos, endereços de e-mail, números de telefone, endereços residenciais e comerciais, e outras informações sensíveis. A violação também incluiu detalhes dos cônjuges dos ex-alunos, contatos de alunos atuais e pais.

Registros financeiros, senhas e SSN não foram vazados, mas informações sobre doações, doações, informações relacionadas à arrecadação de fundos e atividades de engajamento de ex-alunos foram expostas.

A resposta da Universidade ao ataque:

Harvard conseguiu bloquear qualquer acesso adicional para evitar qualquer tipo de atividade não autorizada, e recorreu a um parceiro terceirizado de cibersegurança e às autoridades policiais para evitar novos incidentes.

Embora Harvard tenha sido atacada duas vezes no mesmo ano, outras universidades da Ivy League, como a Universidade da Pensilvânia e Princeton, também enfrentaram violações semelhantes.

A Violação de Dados da Universidade da Pensilvânia:

A invasão aconteceu em 30 de outubro. Os agentes ameaçadores usaram a conta SSO PennKey de um funcionário para invadir a instância Salesforce da universidade, a plataforma de análise Qlik, os sistemas de inteligência de negócios SAP e arquivos do SharePoint.

Hackers roubaram 1,71 GB de documentos internos das plataformas SharePoint e Box Storage, que consistiam em documentos, informações financeiras e materiais de marketing de ex-alunos.

Outra alegação no assalto digital é que eles poderiam ter roubado quase 1,2 milhão de registros de PII, incluindo histórico de doações e outros detalhes demográficos.

Os hackers também enviaram e-mails em massa de Penn.edu, que não só consistiam em e-mails ofensivos, mas também expuseram dezenas de milhares de arquivos internos de universidades em fóruns online.

A resposta da Universidade ao ataque:

Os sistemas infectados foram prontamente bloqueados para evitar novas intrusões ou qualquer tipo de acesso não autorizado. Eles recorreram a uma empresa terceirizada de cibersegurança, a CrowdStrike, para investigar o incidente. A Penn ainda reportou esse incidente ao FBI e agora também implementou os patches de segurança necessários emitidos pela Oracle para resolver as vulnerabilidades exploradas.

A Invasão de Princeton:

A violação do banco de dados de Princeton ocorreu em 10 de novembro, e também foi um ataque de phishing telefônico.

Embora a violação tenha durado menos de 24 horas, teve um impacto duradouro. Isso porque a violação revelou informações sobre atividades de arrecadação de fundos e doações.

Fontes dizem que o ataque colocou em risco quase 100.000 informações pessoais de pessoas.

Segundo outras fontes, uma delas afirma que os hackers levaram informações suficientes e mais para cometer roubo de identidade e causar estragos em milhares de pessoas.

A investigação pode levar várias semanas para examinar exatamente quais dados foram comprometidos.

A resposta da Universidade ao ataque:

O ataque foi cessado em até 24 horas.

Um grupo externo de especialistas em cibersegurança foi enviado, e os sistemas de lei e ordem também foram notificados.

Princeton também notificou a comunidade sobre vigilância contra ataques de phishing, o que também aprimorou seus protocolos de segurança e treinamentos.

Bem, a violação deste ano pode ser a usurpadora do ano que vem.

Nunca se trata do que possuem; Sempre se trata do que eles poderiam fazer com todos esses dados. É sobre como eles usam isso para construir algo perigoso amanhã.

Dados roubados podem ser vendidos ou mantidos como reféns, e isso é apenas um olhar superficial do que realmente pode acontecer.

Quando um hacker ataca uma instituição educacional, ele não está apenas buscando desviar dados. Eles querem vantagem. Eles roubam dados porque são um ativo multiuso. Esses dados podem ser usados, vendidos, usados para usurpação, mantidos como resgate ou, pior ainda, transformados em armas e automatizados.

Com as universidades em foco, especialmente as da Ivy League, os dados de estudantes e professores explorados são de alto valor. E isso porque esses estudantes ou professores não são apenas indivíduos comuns. Os dados também contêm informações sobre doadores, ex-alunos, professores, pesquisadores e doadores que possuem alto capital social e financeiro.

Hoje, um único e-mail de phishing, ou um e-mail contendo informações atraentes, pode expor toda a sua conta bancária, seja ela comercial, pessoal ou conjunta. Isso pode até manipular sua solicitação de login, ou até mesmo sequestrar identidades digitais amanhã.

E é exatamente por isso que a criptografia é importante.

Com criptografia, mesmo que aconteça uma violação, no máximo eles só veem seus arquivos, mas nunca podem abri-los e alterar as informações.

Uma vez que dados acadêmicos ou qualquer dado, aliás, são expostos ou comprometidos, eles são então feitos reféns em mercados cibernéticos, onde são vendidos, copiados, multiplicados ou duplicados indefinidamente. Isso significa que os dados vazados nunca desaparecem de verdade.

Embora pareça absolutamente inofensivo, isso é apenas carne canhão para crimes cibernéticos direcionados e assédio personalizado. A verdadeira diversão para os hackers é que não são apenas dados brutos com os quais eles estão jogando. Eles estão brincando com a credibilidade associada a isso.

Com vazamentos de dados baseados em universidades, atacantes estão se passando por pessoas confiáveis no sistema da universidade para tentativas de phishing e usar táticas socialmente enriquecidas para parecer super convincentes.

Por meio disso, no final das contas, o maior risco não é a exposição da informação. É usar a confiança como arma, a familiaridade como uma brecha perfeita, usar a conexão para manipular acesso, finanças e usar um relacionamento profissional simples e familiar para um insider para assumir o controle total.

Tudo isso e muito mais sob o pretexto de uma conexão acadêmica legítima.

Criptografia não é mais uma opção, e definitivamente não é um simulacro de incêndio que acontece de vez em quando. Precisa ser uma prática diária entre as organizações para prevenir violações graves.

Seja criptografia para negócios ou apenas para uso pessoal, é um investimento na sua tranquilidade e uma proteção perfeita para sua identidade.

Como funciona a criptografia.

Criptografia, se implementada corretamente, basicamente significa que, mesmo que alguém acesse seu dispositivo ou drive, ficará apenas com texto cifrado ilegível e inútil. Por exemplo, a criptografia AES-256 bits é um dos tipos de criptografia mais fortes, imbatíveis e confiáveis existentes. E a melhor parte? A AxCrypt oferece isso, junto com segurança em camadas como proteção por senha e prevenção de violação de dados.

Seja você quem deseja opções seguras de compartilhamento de arquivos para documentos como seus documentos de propriedade, documentos legais, material de pesquisa e outros documentos, essa criptografia é um escudo silencioso, porém barulhento, que protege sua privacidade e tranquilidade.

Nem todos os ataques precisam ser uma brecha digital. Alguns só precisam de uma pessoa ingénua no time ou de uma voz familiar do outro lado da linha.

Aqui está uma regra simples para identificar um ataque de vishing que está quase tomando seu controle.

Recebeu uma ligação aleatória no trabalho? Parece bem familiar, mas tem algo estranho? Apenas verifique essa ligação com uma pergunta simples, inofensiva e pessoal que só você e a outra pessoa que está sendo imitada saibam.

Por exemplo...

Impostor fingindo ser o Sr. David: Oi, Jane... Preciso que abra meu laptop e me envie o arquivo "ABC" imediatamente.

É EXATAMENTE aqui que a brecha acontece.

Ou a Jane, das contas, pode entregar o arquivo ao impostor e levar a empresa à falência, OU ela pode evitar um ataque do Vishing e ser promovida com um aumento muito bom por essa decisão que fez.

Jane: Claro. Vou fazer isso. Mas olha, como foi sua consulta no dentista? Eles removeram o dente?

Agora o impostor responde, só para entrar na brincadeira até conseguir o que procura. Mas Jane é mais inteligente. Ela desliga imediatamente e informa o Sr. David, que está de férias em Bora Bora com sua família.

Agora, este é apenas um exemplo de como seus instintos, junto com um software de criptografia de conhecimento zero, podem te salvar de ser a próxima manchete de violação.