Securitywatch: faça com que as empresas, não os clientes, sofram por violações de dados | max eddy

Em 29 de março, a Earl Enterprises anunciou que os visitantes de suas cadeias de restaurantes podem ter suas informações de cartão de crédito roubadas. Como sempre, quando esse tipo de coisa acontece, fui solicitado a reunir alguns conselhos para os consumidores sobre o que eles poderiam fazer para se proteger. É um assunto desgastado de anos de histórias semelhantes, mas desta vez foi diferente. Isso se deve em parte à natureza exclusiva do ataque, mas também porque nossa prática de colocar a responsabilidade de limpar a bagunça dos consumidores não está funcionando. Chegou a hora de colocar o ônus aonde pertencem, às empresas que permitiram que os dados fossem comprometidos em primeiro lugar.

Até a Violação

Se você comeu em Buca di Beppo, Chicken Guy !, Conde de Sandwich, Mixology, Planet Hollywood ou Tequila Taqueria, pode ter suas informações de cartão de crédito ou débito roubadas. De acordo com a Earl Enterprises, isso poderia incluir quase tudo o que era necessário para cometer fraudes: número do cartão, datas de validade e alguns nomes de portadores de cartão. O número de pessoas afetadas é de cerca de 2 milhões.

Um fato interessante sobre essa violação específica é que ela não era uma violação propriamente dita . Em vez disso, os hackers conseguiram acessar remotamente máquinas de ponto de venda ou POS (sim, esse é o verdadeiro acrônimo) em vários restaurantes e instalar malwares que rasparam os dados do cliente. Essas informações foram agrupadas e vendidas em sites do mercado negro.

O que você pode fazer para se manter seguro?

Além do pouco sobre malware nas máquinas POS, a violação / ataque da Earl Enterprises é bastante típica. Como é o conselho que eu daria sobre o que os consumidores (que é você) podem fazer para permanecerem seguros.

Primeiro, eu costumo dizer, use um cartão de crédito e não um cartão de débito. As transações com cartão de crédito são facilmente revertidas e as empresas de cartão de crédito são muito boas em detectar fraudes antes de você. É importante ressaltar que você não é responsável por cobranças fraudulentas de cartão de crédito. Usar um cartão de débito é essencialmente uma transação em dinheiro. Você pode ser reembolsado por isso, mas às vezes leva mais tempo e, na pior das hipóteses, pode levar a algumas disputas com o banco ou o FDIC.

Uma vez que está fora do caminho, eu entro nos problemas com as transações de tarja magnética. As tarjas magnéticas são estupidamente simples. Você pode conectar um leitor de tarja magnética USB, executar um cartão e o computador inserirá as informações em um arquivo de texto para você. Um cartão com chip (cartão EMV) usa um processo diferente que é muito mais seguro e mais difícil de interceptar.

Isso leva a uma discussão natural sobre como essas informações são geralmente roubadas com pequenos dispositivos chamados skimmers ou shimmers. Eu tenho uma história inteira sobre como identificá-los, para que você possa ler. O essencial é que é uma boa idéia inspecionar as máquinas de PDV antes de usá-las, em todos os contextos em que você as encontra, principalmente nas bombas de gasolina e nos caixas eletrônicos externos. Você salvou um clique (mas clique de qualquer maneira, isso me ajuda a ser pago).

Depois disso, falarei sobre soluções de alta tecnologia para pagamentos. O Android Pay, o Apple Pay e o Samsung Pay usam um sistema de tokenização que nunca revela as informações reais do seu cartão de crédito. Pode parecer menos seguro usá-los, pois as informações são transmitidas sem fio, mas na verdade são muito boas.

Às vezes, vou falar um pouco sobre como você pode usar o Abine Blur para criar cartões de crédito pré-pagos e endereços de e-mail falsos em tempo real. Talvez eu mencione como os cartões de crédito pré-pagos e em dinheiro são as formas mais seguras e conscientes de privacidade para fazer negócios. Definitivamente, não aprovarei os serviços de proteção contra roubo de identidade porque não tenho certeza de que eles realmente funcionem e não falarei muito sobre monitoramento de crédito porque acho que você não deve pagar pelas suas próprias informações financeiras que estão sendo compiladas sem o seu consentimento.

Eu nunca endosso o Bitcoin porque estrague esses caras, sério.

Não importa o quão cuidadoso você é

Escrevemos esse tipo de história o tempo todo no PCMag e são úteis para ilustrar as pequenas coisas que podem fazer a diferença na vida das pessoas. As pessoas devem conhecer maneiras mais inteligentes de pagar e ser aconselhadas a usar gerenciadores de senhas e 2FA, ou pelo menos saber o que são essas coisas para que possam fazer escolhas informadas em suas vidas. Mas a violação da Earl Enterprises realmente me afetou, porque quase nada os clientes poderiam ter feito para realmente se proteger.

No ataque da Earl Enterprises, os bandidos tinham acesso remoto às máquinas de PDV. Isso significa que, por mais que um cliente investigasse os leitores de cartões, eles não encontrariam um escumadeira porque a ameaça estava dentro da máquina. Além disso, em restaurantes nos EUA, os clientes nem sempre têm a opção de se envolver com o terminal de PDV. Entregamos nosso pagamento ao servidor, que administra o cartão e retorna com um recibo. Isso significa que os clientes não podem usar o sistema de pagamento de dispositivos móveis mais novo e mais seguro. Também não há garantia de que qualquer comerciante suporte chips EMV ou pagamentos móveis, ou que a equipe seja treinada em como usá-lo.

Isso sem mencionar que foi relatado que a Earl Enterprises levou 10 meses para responder à violação. Tampouco isso porque essas informações foram vendidas a granel, o que é padrão para esse tipo de operação, e as vítimas podem sofrer consequências de segunda e terceira ordem nos próximos anos.

De todos os conselhos que tenho para dar sobre esse tópico, resta apenas uma opção: usar dinheiro ou cartões pré-pagos. Essa é uma situação ridícula no ano de nosso senhor de 2019, quando posso usar um telefone para comprar um drone e entregá-lo em minha casa antes de eu chegar em casa, durante o vídeo de um amigo na Tailândia.

A primeira grande violação de dados que parecia mudar as coisas ocorreu em 2013, quando algo como 110 milhões de compradores da Target descobriram que havia uma luz azul especial em suas informações privadas. Como o ataque da Earl Enterprises, havia pouco que os clientes poderiam ter feito para se proteger. Na época, havia a preocupação de que a reação dos consumidores afundasse a empresa.

Isso não aconteceu, e não ocorreu em nenhuma das outras violações subsequentes que apareceram nas manchetes. A Target sofreu um golpe e pagou algum dinheiro, mas permaneceu nos negócios. Também não houve consequências devastadoras para nenhuma das outras violações subseqüentes que apareceram nas manchetes, nem vimos uma verdadeira dor financeira quando uma empresa se comporta mal e abusa das informações privadas de seus clientes (olhando para você, Facebook !). De fato, esse tipo de traição aos clientes se tornou tão comum que não fazia sentido para a PCMag cobrir o ataque da Earl Enterprises. Simplesmente não merecia a atenção.

Nenhuma quantidade de autodefesa do consumidor interromperá esse tipo de fraude e, aparentemente, nenhuma quantidade de má imprensa por violações de segurança danificará uma corporação o suficiente para proteger adequadamente as informações dos clientes. Na minha opinião, isso deixa uma opção: regulamentação.

Proteções ao consumidor Protegem os consumidores

• Os melhores gerenciadores de senhas de 2019 Os melhores gerenciadores de senhas de 2019
• Alvo Hack afetado até 70 milhões de compradores Alvo Hack afetado até 70 milhões de compradores
• Autenticação de dois fatores: quem o possui e como configurá-lo Autenticação de dois fatores: quem o possui e como configurá-lo

As empresas devem ser responsabilizadas legal e financeiramente pelas violações de segurança que afetam os clientes. É preciso haver multas, investigações e consequências ordenadas pelo tribunal. O dinheiro precisa ser gasto com advogados - muito dinheiro . O modelo atual em que os clientes precisam gastar seu próprio dinheiro e energia para levar os processos a julgamento não é razoável. Assim como a energia necessária para nos protegermos de fraudes insignificantes ou, pior ainda, de tentar recompor nossas vidas após roubo de identidade.

As empresas também precisam levar as ameaças a sério e planejar ataques. O mínimo mínimo de dados do cliente deve ser armazenado, e o que for armazenado deve ser mantido criptografado ou de alguma outra forma para torná-lo inútil, caso seja roubado. Os criadores de sistemas de pagamento também precisam começar a levar as ameaças a sério, o que tenho certeza de que fariam se houvesse uma demanda dos comerciantes por dispositivos mais seguros.

Por um bom tempo, suspeitei que o grande volume de informações privadas expostas na última década signifique que todos tenham sofrido ou sofrerão algum dano. Isso não pode ser aceitável. Falando por mim, estou no meu segundo cartão de débito de 2019, porque os dois primeiros tiveram seus números comprometidos. É abril.