Marriott International soffre di violazione dei dati record di 500 milioni

Marriott Hotels ha annunciato una violazione della sicurezza a novembre 2018

Succede così tanto ogni mese nel mondo della cybersecurity, della privacy online e della protezione dei dati. È difficile da mantenere!

Il nostro mensile di sicurezza ti aiuterà a tenere d'occhio le più importanti notizie sulla sicurezza e sulla privacy ogni mese. Ecco cosa è successo a novembre.

1. Marriott International soffre di violazione dei dati record di 500 milioni

Come sempre, uno dei più grandi pezzi di notizie sulla sicurezza colpisce alla fine del mese.

Il mese di novembre si è concluso con il gruppo alberghiero Marriott International che ha rivelato un'enorme violazione dei dati. Si ritiene che siano interessati fino a 500 milioni di record di clienti, dal momento che l'aggressore ha avuto accesso alla rete della divisione Marriott International Starwood dal 2014.

Marriott International ha acquisito Starwood nel 2016 per creare la più grande catena alberghiera del mondo, con oltre 5.800 proprietà.

La perdita significa cose diverse per utenti diversi. Tuttavia, le informazioni per ciascun utente contengono una combinazione di:

  • Nome
  • Indirizzo
  • Numero di telefono
  • Indirizzo email
  • Numero di passaporto
  • Informazioni account
  • Data di nascita
  • Genere
  • Informazioni su arrivo e partenza

Forse la cosa più importante è la rivelazione di Marriott secondo cui alcuni documenti includevano informazioni cifrate sulle carte, ma non poteva escludere che anche le chiavi private fossero state rubate.

Il lungo e il corto è questo: se hai soggiornato in qualsiasi hotel Marriott Starwood, comprese le proprietà in multiproprietà, prima del 10 settembre 2018, le tue informazioni potrebbero essere state compromesse.

iscrizione al webwatcher internazionale del gruppo alberghiero marriott

Marriott sta adottando misure per proteggere gli utenti potenzialmente interessati offrendo l'abbonamento gratuito di un anno a WebWatcher. Anche i cittadini statunitensi riceveranno gratuitamente una consulenza per le frodi e una copertura per il rimborso. Al momento attuale, ci sono tre siti di iscrizione:

Altrimenti, dai un'occhiata a questi tre semplici modi per proteggere i tuoi dati dopo una grave violazione.

2. Libreria JavaScript Event-Stream iniettata con malware Crypto-Stealing

Una libreria JavaScript che riceve oltre 2 milioni di download a settimana è stata iniettata con codice maligno progettato per rubare criptovalute.

Il repository Event-Stream, un pacchetto JavaScript che semplifica il lavoro con i moduli di streaming Node.js, è stato trovato contenere codice offuscato. Quando i ricercatori hanno debianizzato il codice, è diventato chiaro che il suo obiettivo era il furto di bitcoin.

L'analisi suggerisce le librerie degli obiettivi del codice associati al portafoglio bitcoin di Copay per dispositivi mobili e desktop. Se il wallet di Copay è presente su un sistema, il codice dannoso tenta di rubare il contenuto del wallet. Quindi tenta di connettersi a un indirizzo IP malese.

Il codice dannoso è stato caricato nel repository di Event-Stream dopo che lo sviluppatore originale, Dominic Tarr, ha passato il controllo della libreria a un altro sviluppatore, right9ctrl.

Right9ctrl ha caricato una nuova versione della libreria quasi non appena il controllo è stato consegnato, la nuova versione contenente il portafoglio dannoso per il targeting dei portafogli Copay.

Tuttavia, da quel momento, right9ctrl ha caricato un'altra nuova versione della libreria, senza alcun codice dannoso. Il nuovo caricamento coincide anche con Copay che aggiorna i propri pacchetti di portafoglio mobile e desktop per rimuovere l'uso delle librerie JavaScript prese di mira dal codice dannoso.

3. Amazon subisce giorni di violazione dei dati prima del Black Friday

Solo pochi giorni prima della giornata di shopping più importante dell'anno (ovviamente il China's Single's Day, ovviamente), Amazon ha subito una violazione dei dati.

"Ti stiamo contattando per informarti che il nostro sito Web ha rivelato inavvertitamente il tuo nome e il tuo indirizzo email a causa di un errore tecnico. Il problema è stato risolto. Questo non è il risultato di nulla che tu abbia fatto, e non è necessario per te cambiare la tua password o fare qualsiasi altra azione. "

È difficile valutare i dettagli esatti della violazione perché, beh, Amazon non lo dice. Tuttavia, gli utenti di Amazon nel Regno Unito, negli Stati Uniti, nella Corea del Sud e nei Paesi Bassi hanno tutti segnalato di ricevere un'e-mail Amazon riguardante la violazione, quindi si è trattato di un problema abbastanza globale.

Gli utenti possono trarre qualche consolazione dal momento che si trattava di un problema tecnico di Amazon che portava alla violazione dei dati, piuttosto che a un attacco su Amazon. Il rilascio di informazioni non contiene alcuna informazione bancaria, neanche.

Tuttavia, il messaggio di Amazon secondo cui non è necessario che gli utenti interessati cambino la password è semplicemente sbagliato. Se sei stato colpito dalla violazione dei dati di Amazon, cambia la password del tuo account.

4. Vulnerabilità Samsung e Crucial SSD con crittografia automatica

I ricercatori di sicurezza hanno scoperto numerose vulnerabilità critiche in SSD Samsung e Crucial autocrittanti. Il team di ricerca ha testato tre SSD Crucial e quattro SSD Samsung, riscontrando problemi critici con ciascun modello testato.

Carlo Meijer e Bernard van Gastel, ricercatori della Radboud University in Olanda, hanno identificato le vulnerabilità [PDF] nell'implementazione delle unità di sicurezza ATA e TCG Opal, che sono due specifiche per l'implementazione della crittografia su SSD che utilizzano la crittografia basata su hardware.

vulnerabilità ssd self encrypting

C'è una varietà di problemi:

  • La mancanza di associazione crittografica tra password e chiave di crittografia dei dati indica che un utente malintenzionato può sbloccare le unità modificando il processo di convalida della password.
  • Il Crucial MX300 ha una password principale impostata dal produttore: questa password è una stringa vuota, ad esempio, non ce n'è una.
  • Ripristino delle chiavi di crittografia dei dati Samsung attraverso lo sfruttamento del livellamento dell'usura SSD.

In modo sconcertante, i ricercatori hanno affermato che queste vulnerabilità potrebbero benissimo essere applicate ad altri modelli e a diversi produttori di SSD.

Ti stai chiedendo come proteggere le tue unità? Ecco come proteggi i tuoi dati usando lo strumento di crittografia open-source, VeraCrypt .

5. La campagna malvertita Apple Pay si rivolge agli utenti iPhone

Gli utenti di iPhone sono l'obiettivo
di una campagna di malvertising in corso che coinvolge Apple Pay.

La campagna tenta di reindirizzare e truffare gli utenti delle loro credenziali Apple Pay utilizzando due popup di phishing, con l'attacco originato da una serie di giornali e riviste premium quando vi si accede tramite iOS.

Il malware, noto come PayLeak, fornisce agli utenti ignari iPhone che fanno clic sull'annuncio dannoso su un dominio registrato in cinese.

Quando l'utente arriva al dominio, il malware controlla una serie di credenziali, inclusi il movimento del dispositivo, il tipo di dispositivo (Android o iPhone) e se il browser del dispositivo è Linux x86_64, Win32 o MacIntel.

Inoltre, il malware controlla il dispositivo per eventuali applicazioni antivirus o antimalware.

aggiornamento di Apple fake aggiornamento pop-up malware

Se vengono soddisfatte le condizioni corrette, gli utenti Android vengono reindirizzati a un sito di phishing che afferma che l'utente ha vinto una carta regalo Amazon.

Tuttavia, gli utenti iPhone ricevono due popup. Il primo è un avviso che l'iPhone deve aggiornare, mentre il secondo informa l'utente che anche l'app Apple Pay deve essere aggiornata. Il secondo avviso condivide le informazioni sulla carta di credito Apple Pay con un server di comando e controllo remoto.

6. One Million Children's Tracker Watches vulnerabile

Almeno un milione di orologi tracker per bambini abilitati per GPS sono venduti a genitori pieni di vulnerabilità.

La ricerca dei partner di Pen Test ha dettagliato una litania di problemi di sicurezza con il famosissimo orologio per la sicurezza dei bambini MiSafe. Gli orologi dotati di GPS sono progettati per consentire a un genitore di tracciare la posizione del proprio bambino in ogni momento.

Tuttavia, i ricercatori di sicurezza hanno scoperto che era possibile accedere ai numeri ID del dispositivo e, di conseguenza, all'account utente.

L'accesso all'account ha permesso al team di sicurezza di individuare il bambino, visualizzare una foto del bambino, ascoltare conversazioni tra il bambino e il genitore, o effettuare una chiamata remota o inviare messaggi al bambino stesso.

"La nostra ricerca è stata condotta su orologi di marca" Misafes kids watcher "e sembra interessare fino a 30.000 orologi. Tuttavia, abbiamo scoperto almeno 53 altri marchi di tracker per bambini che sono affetti da problemi di sicurezza identici o quasi identici. "

Le vulnerabilità nei dispositivi intelligenti rivolte ai bambini non sono un problema nuovo . Rimane, tuttavia, preoccupante.

"Quindi come acquistate giocattoli intelligenti sicuri per i vostri bambini? Non lo fai ", afferma Aaron Zander, ingegnere informatico presso Hacker One. "Ma se è necessario, non cercare le opzioni più economiche e provare a minimizzare funzionalità come video, Wi-Fi e Bluetooth. Inoltre, se hai un dispositivo e ha un difetto di sicurezza, rivolgiti ai rappresentanti del tuo governo, scrivi i tuoi corpi regolatori, fai schifo, è l'unico modo per migliorare. "

Notizie sulla sicurezza di novembre

Quelle sono sei delle principali storie sulla sicurezza del novembre 2018. Ma molto di più è successo; semplicemente non abbiamo spazio per elencarlo in dettaglio. Ecco altre cinque storie di sicurezza interessanti che sono apparse il mese scorso:

Un altro vortice di notizie sulla sicurezza informatica. Il mondo della sicurezza informatica è in costante evoluzione e tenere il passo con le ultime violazioni, malware e problemi di privacy è una lotta.

Ecco perché raccogliamo le notizie più importanti e più interessanti per te ogni mese.

Torna all'inizio del prossimo mese, l'inizio di un nuovo anno, non meno, per il riepilogo della sicurezza del dicembre 2018. Il prossimo mese vedrà anche l'anno MakeUseOf 2018 in roundup di sicurezza. Nel frattempo, dai un'occhiata a questi cinque suggerimenti e trucchi per proteggere i tuoi dispositivi intelligenti .

Immagine di credito: Karlis Dambrans / Flickr

Leggi l'articolo completo: Marriott International soffre di violazione dei dati record di 500 m

Fonte: Utilizzare