به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، در بیانیه‌ای در روز جمعه، شرکت نشنال پابلیک دیتا (National Public Data) اعلام کرد که در اواخر دسامبر فعالیت مشکوکی در شبکه خود شناسایی کرده و پس از آن یک هکر بخش‌هایی از داده‌ها را در آوریل و طی تابستان افشا کرده است.
این شرکت مستقر در فلوریدا بیان کرد:
گمان می‌رود این حادثه شامل یک هکر شخص ثالث بوده که در اواخر دسامبر ۲۰۲۳ تلاش کرده به داده‌ها نفوذ کند و احتمالاً در آوریل و تابستان ۲۰۲۴ برخی از داده‌ها درز کرده است. ما تحقیقات انجام دادیم و اطلاعات جدیدی به دست آمده است.
اطلاعاتی که احتمالاً در این رخنه فاش شده شامل نام، آدرس ایمیل، شماره تلفن، شماره تأمین اجتماعی و آدرس‌های پستی است.
شرکت نشنال پابلیک دیتا اعلام کرد که با مراجع قانونی و بازرسان دولتی همکاری کرده و بازبینی داده‌های احتمالی تحت تأثیر را انجام داده است.
این شرکت قصد دارد در صورت به‌روزرسانی‌های دیگر، به افراد تحت تأثیر اطلاع‌رسانی کند.
مشخص نیست افراد چگونه متوجه خواهند شد که در این رخنه تحت تأثیر قرار گرفته‌اند، اما شرکت از مردم خواست حساب‌های مالی خود را برای فعالیت‌های غیرمجاز نظارت کنند.
کارشناسان امنیت سایبری از آوریل درباره این نشت اطلاعاتی آگاه بودند، اما از آن زمان تاکنون شرکت به این موضوع واکنشی نشان نداده بود.
تا این هفته، هنگامی که نگرانی در مورد شماره‌های تأمین اجتماعی افشا شده در شبکه‌های اجتماعی فراگیر شد، شرکت درباره این حادثه سکوت اختیار کرده بود.
شرکت‌ها و محققان خصوصی به نشنال پابلیک دیتا برای دریافت سوابق جنایی، بررسی پیشینه و موارد دیگر پول می‌پردازند و این شرکت به آن‌ها اجازه می‌دهد تا به میلیاردها رکورد به صورت فوری دسترسی داشته باشند.
در ۷ آوریل، هکری معروف با نام یو اس دی او دی (USDoD) یک پایگاه داده را در بازار مجرمانه بریچد (Breached) منتشر کرد که ادعا می‌کرد حاوی ۲.۹ میلیارد رکورد از شهروندان آمریکایی است.
این مجرم سایبری که بیشتر برای افشای داده‌های سرقت‌شده از غول هوافضای اروپایی ایرباس شناخته شده است، عنوان کرد که داده‌ها از هکری دیگر با نام اس ایکس یو ال (SXUL) به دست آمده و اطلاعات را با قیمت ۳.۵ میلیون دلار ارائه کرد.
در حالی که مشخص نیست آیا کسی برای این اطلاعات پول پرداخت کرده یا نه، هکر در ژوئن شروع به افشای بخش‌هایی از پایگاه داده کرد و دیگران نیز در طول تابستان به فروش آن ادامه دادند.
چندین کارشناس امنیت سایبری، از جمله کارشناس مشهور نشت داده، تروی هانت، تأیید کردند که اگرچه پایگاه داده شامل موارد تکراری است، اما بیشتر اطلاعات دقیق است.
این داده‌ها شامل نام و نام خانوادگی افراد، سه دهه سابقه آدرس و شماره تأمین اجتماعی است.
برخی از کارشناسان همچنین توانستند والدین، خواهران و برادران و بستگان نزدیک فرد را پیدا کنند.
این پایگاه داده شامل افراد زنده و فوت شده است.
برخی اشاره کرده‌اند که افرادی که از خدمات حذف داده استفاده کرده‌اند، در این پایگاه داده گنجانده نشده‌اند.
در حالی که برخی رسانه‌ها و شبکه‌های اجتماعی به اشتباه گزارش داده‌اند که اطلاعات ۲.۹ میلیارد نفر در این رخنه افشا شده، هانت تخمین زده که پایگاه داده شامل حدود ۸۹۹ میلیون شماره تأمین اجتماعی منحصربه‌فرد است.
اف‌بی‌آی و دیگر نهادهای امنیت سایبری ایالات متحده به این موضوع واکنشی نشان نداده‌اند.
نشنال پابلیک دیتا در حال حاضر با شکایت‌هایی در ارتباط با این رخنه مواجه است.
دو هفته پیش، شکایتی در دادگاه منطقه‌ای ایالات متحده برای ناحیه جنوبی فلوریدا توسط یک ساکن کالیفرنیا مطرح شد، پس از اینکه او در ماه ژوئیه از ارائه‌دهنده خدمات حفاظت از هویت خود اخطاری در مورد این رخنه دریافت کرد.
کریس دیبلر، معاون شرکت دیتا گریل (DataGrail)، تاکید کرد:
این رخنه نشان می‌دهد که ما به مرزهای توانایی فردی برای محافظت از خود در این محیط رسیده‌ایم. تعادل قدرت در حال حاضر به نفع افراد نیست. قوانین مختلفی مانند GDPR اتحادیه اروپا و مقررات ملی و ایالتی گام‌های خوبی هستند، اما مدل‌های پیشگیری و مجازات فعلی به وضوح از انباشت گسترده داده‌ها جلوگیری نمی‌کنند.
اخیل میتال از گروه نرم افزاری سیناپسیس (Synopsys Software Integrity) اضافه کرد که تعداد رکوردها توجه‌ها را جلب می‌کند، اما اثرات طولانی‌مدت آن بر افراد ممکن است سال‌ها ادامه داشته باشد.
او همچنین گفت که میلیون‌ها نفر واقعی به دلیل این رخنه با سرقت هویت، کلاهبرداری و مشکلات دیگر برای سال‌ها روبرو خواهند بود.
میتال اظهارات دیبلر را تکرار کرد و تصریح کرد که باید بحث بزرگ‌تری درباره حریم خصوصی داده‌ها و حفاظت از آن آغاز شود.
او افزود:
زمان آن رسیده است که مقررات سخت‌گیرانه‌تر و اجرای بهتری وضع شود تا اطمینان حاصل شود که شرکت‌ها واقعاً از اطلاعات ما محافظت می‌کنند.
