Ivy League Üniversitelerinden Kişisel Verilere: Akademik Veri İhlalleri tüm zamanların en yüksek seviyesinde!

It took nothing more than a phone call with a familiar and convincing voice, a malicious actor impersonating as an internal contact, and just the right insider on the other end of the line. This is how a skilled hacker got their ‘Vish’.

Yeni siber suç iş modeli 'Vishing' ile tanışın.

Tanıdık bir varlığın kimliğini taklit ederek acıma, korku ya da hatta sempati kazanarak banka hesap numaraları, OTP'ler, şifreler ve daha fazlasını elde etmek.

Hackerlar ve saldırganlar, bu inandırıcı dolandırıcılığı silahlandırılmış bir ikna biçimi olarak geliştiriyorlar.

Familiarity – güvenlik duvarlarını, BitLocker'ı, antivirüsleri kolayca aşan ve saf insan güvenine derinlemesine saplayan psikolojik bir boşluk. Bu, tüm ihlallerin, dolandırıcılıkların ve fidye saldırılarının başlangıcıdır. Çünkü aşinalık güveni pekiştirir ve dijital güven şöyle bir şeye dönüşür: 'Bu kişiyi tanıyorum... İstediklerini onlara vereyim'.

Dijital etkileşimleriniz ne kadar tanıdık hale gelirse, o kadar az şüpheli olursunuz ve bu saldırganlar tam da böyle lezzetleri yemektedir.

Bu makalede, elit bir üniversitenin, hattın diğer ucunda tanıdık bir sesle yapılan basit bir telefon görüşmesine nasıl kurban olduğunu inceleyeceğiz.

IVY League üniversitesi, 20.000 öğretim üyesi ve personeline, lisans ve lisansüstü programlarda 24.500 öğrenciye ve dünya çapında 400.000 mezuna ev sahipliği yapmaktadır.

Harvard ile birlikte, mezunlar, bağışçılar, öğrenciler ve öğretim üyeleri kayıtları ihlal edildi.

Bu yüksek sesle bir mesaj veriyor: bu hackerlar sadece finansal verilere erişmeye çalışmıyor, aynı zamanda önemli öğrenci profillerinin kimliklerini, ağlarını, etkisini, kozunu ve detaylarını istiyorlar.

Üniversiteler ve diğer eğitim kurumları kişisel geçmişler, önemli mezun detayları ve aile ağları konusunda zengin bir bilgi taşır ve bu işin kişisel kısmıdır.

Gerçek fiyat açısından, bu kurumlar araştırma belgeleri, deneysel sonuçlar, hibe kayıtları ve iletişimleri, akademik arşivler ve diğer son derece gizli iç iletişim ve bilgilerle ilgili veri setleri açısından altın madenidir.

İhlal sırasında iletişim bilgileri, biyografik veriler, e-posta adresleri, telefon numaraları, ev ve iş adresleri ile diğer hassas bilgiler ortaya çıktı. İhlal ayrıca mezun eşlerinin detaylarını, mevcut öğrenciler ve velilerin iletişim bilgilerini de içeriyordu.

Mali kayıtlar, şifreler ve SSN sızdırıldı, ancak bağışlar, bağışlar, bağış toplama ve mezunlarla etkileşim faaliyetleriyle ilgili bilgiler ortaya çıktı.

Harvard, herhangi bir yetkisiz faaliyeti önlemek için herhangi bir yeni erişimi engelledi ve daha fazla olayı önlemek için üçüncü taraf bir siber güvenlik ortağı ve kolluk kuvvetlerine başvurdu.

Harvard aynı yıl iki kez saldırıya uğrarken, Pennsylvania Üniversitesi ve Princeton gibi diğer Ivy League üniversiteleri de benzer ihlallerle karşılaştı.

The University of Pennsylvania Data Breach:

The University’s response to the attack:

Enfekte sistemler, daha fazla müdahale veya yetkisiz erişimi önlemek için hemen kilitlendi. Olayı araştırmak için üçüncü taraf bir siber güvenlik firması olan CrowdStrike'a başvurdular. Penn, bu olayı FBI'a da bildirdi ve artık Oracle tarafından sömürülen güvenlik yamalarını da uyguladı.

The Princeton Breach:

The University’s response to the attack:

Bu yılki ihlal gelecek yılın taklitçisi olabilir.

Hiçbir zaman sahip oldukları şeyle ilgili değildir; Her zaman tüm bu verilerle ne yapabilecekleriyle ilgilidir. Yarın için tehlikeli bir şey inşa etmek için bunu nasıl kullandıklarıyla ilgili.

Çalınan veriler ya satılabilir ya da fidye için tutulabilir ve bu, gerçekte ortaya çıkabileceklerin yüzeysel bir kısmına göz atmaktır.

Bir hacker bir eğitim kurumuna saldırdığında, sadece veri almayı düşünmüyorlar. Koz istiyorlar. Veri çalıyorlar çünkü çok amaçlı bir varlık. Bu veriler kullanılabilir, satılabilir, taklit için kullanılabilir, fidye olarak tutulabilir veya daha kötüsü, silahlandırılıp otomatikleştirilebilir.

Özellikle Ivy League üniversiteleri odaklanırken, kullanılan öğrenci ve öğretim üyeleri verileri çok değerli. Ve bunun nedeni, bu öğrencilerin veya öğretim üyelerinin sıradan bireyler olmamasıdır. Veriler ayrıca yüksek sosyal ve finansal sermayeye sahip bağışçılar, mezunlar, profesörler, araştırmacılar ve bağışçılar hakkında bilgi içermektedir.

Bugün, tek bir oltalama e-postası veya çekici bilgiler içeren bir e-posta, ister iş hesabı, ister kişisel ya da ortak hesap olsun, tüm banka hesabınızı açığa çıkarabilir. Bu, giriş talebinizi manipüle edebilir ya da yarın dijital kimlikleri ele geçirebilir.

İşte bu yüzden why encryption is important.

Şifrelemede, bir ihlal olsa bile, en fazla sadece dosyalarınızı görürler, ancak asla açıp bilgileri değiştiremezler.

Akademik veriler veya herhangi bir veri ortaya çıktıktan veya ele geçirildiğinde, siber pazarlara rehin alınır ve orada ya satılır, kopyalanır, çoğaltılır veya süresiz olarak çoğaltılır. Bu da sızdırılan verilerin asla gerçekten kaybolmadığı anlamına gelir.

Kesinlikle zararsız görünse de, bu sadece hedefli siber suçlar ve kişiselleştirilmiş taciz için top yemidir. Hackerlar için asıl eğlence, oynadıkları şeyin sadece ham verilerle sınırlı olmamasıdır. Buna bağlı güvenilirlikle oynuyorlar.

Üniversite tabanlı veri ihlallerinde saldırganlar, üniversitenin sistemindeki güvenilir kişilerin kimliğiyle oltalama girişimleri yapıyor ve sosyal açıdan zenginleştirilmiş taktikler kullanarak çok ikna edici görünmek istiyor.

Bu sayede en büyük risk, bilginin açığa çıkması değildir. Güveni bir silah olarak, aşinalığı mükemmel bir boşluk olarak kullanmak, bağlantıyı erişimi ve finansları manipüle etmek için kullanmak ve içeriden tanıdık olan basit bir profesyonel ilişkiyi kullanarak tam kontrolü ele almaktır.

Tüm bunlar ve daha fazlası meşru bir akademik bağlantı kılığında.

Şifreleme artık bir seçenek değil ve kesinlikle ara sıra yapılan bir yangın tatbikatı değil. Ciddi ihlalleri önlemek için kuruluşlar arasında günlük bir uygulama olmalı.

İster iş için ya da sadece kişisel encryption for business olsun, bu sizin huzurunuza bir yatırım ve kimliğiniz için mükemmel bir korumadır.

Şifreleme, doğru uygulandığında, birisi cihazınıza veya sürücünüze erişse bile, geriye sadece okunamaz ve işe yaramaz şifreli metin kalacağı anlamına gelir. Örneğin, AES-256-bit şifreleme, mevcut en güçlü, yenilmez ve güvenilir types of encryption biridir. Ve en güzel yanı? AxCrypt bunu sunar, password protection ve data breach prevention gibi katmanlı güvenlik hizmetleri de sunar.

İster mülk belgeleriniz, hukuki belgeleriniz, araştırma materyalleri ve diğer belgeler secure file sharing seçenekleri isteyin, bu şifreleme gizliliğinizi ve huzurunuzu koruyan sessiz ama yüksek sesli bir kalkandır.

Her saldırı dijital bir boşluk olmak zorunda değil. Bazıları sadece takımda saf bir kişiye ya da hattın diğer ucunda tanıdık bir sese ihtiyaç duyar.

İşte vishing saldırısının sizi ele geçirdiğini fark etmek için basit bir kural.

İş yerinde rastgele bir çağrı mı aldınız? Oldukça tanıdık geliyor ama bir şeyler ters mi geliyor? Sadece bu aramayı basit, zararsız ve kişisel bir soruyla doğrulayın; bu soru sadece sizin ve taklit edilen diğer kişinin bildiği bir sorudur.

For example...

Impersonator pretending to be Mr David: Hey Jane... Laptopumu açıp bana hemen "ABC" dosyasını göndermeni istiyorum.

This is EXACTLY where the breach unfolds.

Ya hesaplardan Jane, sahteye dosyayı verip şirketi iflas ettirebilir, YA da Vishing saldırısını önleyip bu hamle için çok iyi bir zam ile terfi edebilir.

Jane: Tabii. Ben yaparım. Ama bak, dişçi randevun nasıl geçti? Dişi çıkardılar mı?

Şimdi taklitçi cevap veriyor, aradığı şeyi ele geçirene kadar oyuna devam ediyor. Ama Jane daha zeki. Hemen telefonu kapatır ve ailesiyle birlikte Bora Bora'da tatilde olan Bay David'e haber verir.

Şimdi bu, içgüdülerinizin ve zero-knowledge encryption yazılımının sizi bir sonraki ihlal başlığı olmaktan nasıl kurtarabileceğine dair sadece bir örnek.