Securitywatch: membuat perusahaan, bukan pelanggan, menderita karena pelanggaran data | max eddy

Pada tanggal 29 Maret, Earl Enterprises mengumumkan bahwa pengunjung restoran rantainya mungkin telah mencuri informasi kartu kredit mereka. Seperti biasa ketika hal semacam ini terjadi, saya diminta untuk mengumpulkan beberapa saran bagi konsumen tentang apa yang bisa mereka lakukan untuk melindungi diri mereka sendiri. Ini adalah subjek usang dari cerita-cerita serupa bertahun-tahun, tetapi kali ini rasanya berbeda. Ini sebagian karena sifat unik dari serangan itu, tetapi juga karena praktik kami menempatkan tanggung jawab untuk membersihkan kekacauan pada konsumen tidak berfungsi. Sudah waktunya untuk meletakkan tanggung jawab di tempatnya, pada perusahaan yang memungkinkan data untuk dikompromikan di tempat pertama.

Terhadap Pelanggaran

Jika Anda makan di Buca di Beppo, Chicken Guy !, Earl of Sandwich, Mixology, Planet Hollywood, atau Tequila Taqueria tertentu, Anda mungkin dicuri informasi kartu kredit atau debit Anda. Menurut Earl Enterprises, ini dapat mencakup hampir semua yang diperlukan untuk melakukan penipuan: nomor kartu, tanggal kedaluwarsa, dan beberapa nama pemegang kartu. Jumlah orang yang terkena dampak dilaporkan sekitar 2 juta.

Fakta menarik tentang pelanggaran khusus ini adalah bahwa itu bukan pelanggaran per se . Alih-alih, peretas berhasil mengakses mesin point-of-sale atau POS (ya, itu akronim sebenarnya) dari jarak jauh di berbagai restoran dan memasang malware yang mengorek data pelanggan. Informasi itu disatukan dan dijual di situs web pasar gelap.

Apa Yang Dapat Anda Lakukan agar Tetap Aman?

Selain dari sedikit tentang malware di mesin POS, pelanggaran / serangan Earl Enterprises cukup khas. Seperti saran yang akan saya berikan pada apa yang konsumen (yaitu Anda) dapat lakukan untuk tetap aman.

Pertama, saya biasanya mengatakan, gunakan kartu kredit dan bukan kartu debit. Transaksi kartu kredit mudah dibatalkan dan perusahaan kartu kredit sangat pandai dalam menangkap penipuan sebelum Anda melakukannya. Yang penting, Anda tidak bertanggung jawab atas tuduhan penipuan dengan kartu kredit. Menggunakan kartu debit pada dasarnya adalah transaksi tunai. Anda bisa mendapatkan penggantian untuk ini, tetapi kadang-kadang membutuhkan waktu lebih lama dan dalam skenario terburuk dapat menyebabkan perselisihan dengan bank atau FDIC.

Setelah itu keluar dari jalan, saya pergi ke masalah dengan transaksi magstripe. Magstrip itu sangat sederhana. Anda dapat menghubungkan pembaca magstripe USB, menjalankan kartu, dan komputer akan memasukkan informasi ke dalam file teks untuk Anda. Kartu chip (kartu EMV) menggunakan proses berbeda yang jauh lebih aman dan lebih sulit untuk dicegat.

Itu mengarah ke diskusi alami tentang bagaimana informasi ini biasanya dicuri dengan perangkat kecil yang disebut skimmers atau shimmers. Saya punya cerita lengkap tentang cara mengenali mereka, jadi Anda bisa membacanya saja. Intinya adalah bahwa ide yang baik untuk memeriksa mesin POS sebelum Anda menggunakannya, dalam setiap konteks yang Anda temui tetapi terutama di pompa bensin dan ATM luar ruangan. Menyelamatkan Anda satu klik (tetapi klik pula, itu membantu saya dibayar).

Setelah itu saya akan memulai ke semua tentang solusi teknologi tinggi untuk pembayaran. Android Pay, Apple Pay, dan Samsung Pay menggunakan sistem tokenization yang tidak pernah mengungkapkan informasi kartu kredit Anda yang sebenarnya. Mungkin terasa kurang aman untuk menggunakannya karena informasi tersebut dikirim secara nirkabel, tetapi sebenarnya sangat bagus.

Kemudian saya terkadang akan membahas sedikit tentang bagaimana Anda dapat menggunakan Abine Blur untuk membuat kartu kredit prabayar dan alamat email palsu dengan cepat. Mungkin saya akan menyebutkan bagaimana uang tunai dan kartu kredit prabayar adalah cara paling aman dan privasi untuk melakukan bisnis. Saya pasti tidak akan mendukung layanan perlindungan pencurian identitas karena saya tidak yakin mereka benar-benar berfungsi, dan saya tidak akan mengatakan terlalu banyak tentang pemantauan kredit karena saya tidak berpikir Anda harus membayar untuk informasi keuangan Anda sendiri yang sedang disusun tanpa persetujuan Anda.

Saya tidak pernah mendukung Bitcoin karena mengacaukan orang-orang itu, serius.

Tidak Masalah Seberapa Hati-Hati Anda

Kami menulis kisah-kisah semacam ini sepanjang waktu di PCMag, dan itu berguna untuk menggambarkan hal-hal kecil yang dapat membuat perbedaan dalam kehidupan orang-orang. Orang-orang harus tahu cara pembayaran yang lebih cerdas, dan disarankan untuk menggunakan pengelola kata sandi dan 2FA, atau setidaknya tahu apa saja hal-hal ini sehingga mereka dapat membuat pilihan berdasarkan informasi dalam hidup mereka. Tetapi pelanggaran Earl Enterprises benar-benar menimpa saya, karena hampir tidak ada yang bisa dilakukan pelanggan untuk benar-benar melindungi diri mereka sendiri.

Dalam serangan Earl Enterprises, orang jahat memiliki akses jarak jauh ke mesin POS. Itu berarti tidak peduli berapa banyak pelanggan yang menginvestigasi pembaca kartu, mereka tidak akan menemukan cerita skimmer karena ancaman ada di dalam mesin. Selain itu, di restoran AS, pelanggan tidak selalu mendapatkan opsi untuk bahkan terlibat dengan terminal POS. Kami menyerahkan pembayaran kami ke server, yang menjalankan kartu dan mengembalikannya dengan tanda terima. Itu berarti pelanggan tidak dapat menggunakan sistem pembayaran perangkat seluler yang lebih baru dan lebih aman. Juga tidak ada jaminan bahwa pedagang mana pun mendukung chip EMV atau pembayaran seluler, atau bahwa staf akan dilatih tentang cara menggunakannya.

Belum lagi bahwa dilaporkan Earl Enterprises membutuhkan waktu 10 bulan untuk merespons pelanggaran tersebut. Juga bukan karena informasi ini dijual dalam jumlah besar, yang merupakan standar untuk operasi semacam ini, korban dapat mengalami konsekuensi urutan kedua dan ketiga untuk tahun-tahun mendatang.

Dari semua saran yang harus saya berikan tentang topik ini, hanya ada satu opsi: gunakan uang tunai atau kartu prabayar. Itu adalah keadaan yang cukup konyol di tahun tuan kita tahun 2019 ketika saya dapat menggunakan telepon untuk membeli pesawat tanpa awak dan mengirimkannya ke rumah saya sebelum saya pulang, semuanya sambil video call seorang teman di Thailand.

Pelanggaran data besar-besaran pertama yang tampaknya dapat mengubah keadaan adalah pada tahun 2013, ketika sekitar 110 juta pembeli Target menemukan bahwa ada informasi yang sangat istimewa tentang informasi pribadi mereka. Seperti serangan Earl Enterprises, hanya sedikit yang bisa dilakukan pelanggan untuk melindungi diri mereka sendiri. Pada saat itu, ada kekhawatiran bahwa reaksi konsumen mungkin menenggelamkan perusahaan.

Itu tidak terjadi, dan itu tidak terjadi untuk setiap pelanggaran berikutnya yang menjadi berita utama. Target terpukul dan membayar sejumlah uang, tetapi tetap bertahan dalam bisnis. Juga tidak ada konsekuensi yang menghancurkan bagi pelanggaran berikutnya yang menjadi berita utama, juga kami tidak melihat kesulitan keuangan yang sebenarnya ketika perusahaan berperilaku buruk dan menyalahgunakan informasi pribadi pelanggannya (melihat Anda, Facebook !). Bahkan, pengkhianatan pelanggan semacam ini sudah menjadi hal biasa, tidak masuk akal bagi PCMag untuk menutupi serangan Earl Enterprises. Itu sama sekali tidak menjamin perhatian.

Tidak ada jumlah pembelaan diri konsumen yang akan menghentikan penipuan semacam ini, dan tampaknya tidak ada jumlah pers yang buruk atas pelanggaran keamanan yang akan merusak sebuah perusahaan yang cukup bagi mereka untuk melindungi informasi pelanggan secara memadai. Menurut saya, itu meninggalkan satu pilihan: regulasi.

Perlindungan Konsumen Melindungi Konsumen

• Pengelola Kata Sandi Terbaik untuk 2019 Manajer Kata Sandi Terbaik untuk 2019
• Target Hack Terkena Hingga 70 Juta Pembeli Target Hack Terkena Hingga 70 Juta Pembeli
• Otentikasi Dua Faktor: Siapa yang Memiliki dan Cara Mengaturnya Otentikasi Dua Faktor: Siapa yang Memiliki dan Cara Mengaturnya

Perusahaan harus dimintai pertanggungjawaban secara hukum dan finansial atas pelanggaran keamanan yang memengaruhi pelanggan. Perlu ada denda, investigasi, dan konsekuensi yang diperintahkan pengadilan. Uang perlu dihabiskan untuk pengacara - banyak uang . Model saat ini di mana pelanggan harus menghabiskan uang dan energi mereka sendiri untuk membawa tuntutan hukum tidak masuk akal. Seperti halnya energi yang dibutuhkan untuk melindungi diri kita dari penipuan kecil-kecilan, atau, lebih buruk lagi, mencoba menyatukan kembali hidup kita setelah pencurian identitas.

Perusahaan juga perlu menanggapi ancaman dengan serius dan merencanakan serangan. Minimal data pelanggan yang paling sederhana harus disimpan, dan apa pun yang disimpan harus disimpan terenkripsi atau dengan cara lain untuk menjadikannya tidak berguna jika dicuri. Pembuat sistem pembayaran juga harus mulai menanggapi ancaman dengan serius, dan saya yakin mereka akan melakukannya jika ada permintaan dari pedagang untuk perangkat yang lebih aman.

Untuk beberapa waktu sekarang, saya telah curiga bahwa banyaknya informasi pribadi yang telah terungkap dalam dekade terakhir berarti bahwa setiap orang telah atau akan terluka dalam beberapa cara. Itu tidak bisa diterima. Berbicara untuk diri saya sendiri, saya menggunakan kartu debit kedua saya pada tahun 2019, karena dua kartu pertama telah dikompromikan. Ini bulan April.