Sikkerhedsvagter: få virksomheder, ikke kunder, til at lide for dataovertrædelser | max virvel

Den 29. marts meddelte Earl Enterprises, at besøgende på kæderestauranterne måske har fået stjålet deres kreditkortoplysninger. Som sædvanlig når denne type ting sker, blev jeg bedt om at sammensætte nogle råd til forbrugerne om, hvad de kunne gøre for at beskytte sig selv. Det er et godt slidt emne fra mange års lignende historier, men denne gang føltes det anderledes. Dette er delvis på grund af angrebets unikke natur, men også fordi vores praksis med at lægge ansvaret for at rydde op på forbrugerne ikke fungerer. Det er tid til at sætte arbejdet, hvor det hører hjemme, på de virksomheder, der tillader, at dataene kompromitteres i første omgang.

Undgå bruddet

Hvis du spiste ude på bestemte Buca di Beppo, Chicken Guy !, Earl of Sandwich, Mixology, Planet Hollywood eller Tequila Taqueria, kan du have stjålet dine kredit- eller betalingskortsinformation. Ifølge Earl Enterprises kunne dette have inkluderet næsten alt det, der var nødvendigt for at begå svig: kortnummer, udløbsdatoer og nogle kortindehaverens navne. Antallet af påvirkede personer rapporteres at være omkring 2 millioner.

En interessant kendsgerning ved denne særlige overtrædelse er, at det ikke i sig selv var et brud. I stedet lykkedes det hackere at få fjernadgang til salgssted eller POS-maskiner (ja, det er det rigtige akronym) på forskellige restauranter og installere malware, der skrabede kundedata. Disse oplysninger blev samlet sammen og solgt på websteder på det sorte marked.

Hvad kan du gøre for at være sikker?

Bortset fra bit om malware på POS-maskiner er Earl Enterprises brud / angreb temmelig typisk. Som det råd jeg giver om, hvad forbrugere (det er dig) kan gøre for at forblive i sikkerhed.

Først siger jeg normalt et kreditkort og ikke et betalingskort. Kreditkorttransaktioner kan let vendes, og kreditkortselskaber er meget gode til at fange svig, før du gør det. Det er vigtigt, at du ikke er ansvarlig for falske kreditkortomkostninger. Brug af et betalingskort er hovedsageligt en kontanttransaktion. Du kan få godtgjort dette, men det tager til tider længere tid, og i værste fald kan scenarier føre til en vis krangel med banken eller FDIC.

Når det er ude af vejen, går jeg ind på problemerne med magstripe-transaktioner. Magstripes er dumt enkle. Du kan tilslutte en USB magstripe-læser, køre et kort, og computeren indtaster oplysningerne i en tekstfil for dig. Et chipkort (EMV-kort) bruger en anden proces, der er langt mere sikker og sværere at opfange.

Det fører til en naturlig diskussion om, hvordan denne information normalt stjæles med små enheder, der kaldes skimmere eller skimmer. Jeg har en hel historie om, hvordan man finder dem, så du bare kan læse den. Grundlæggende er, at det er en god ide at inspicere POS-maskiner, før du bruger dem, i enhver sammenhæng, du støder på dem, men især ved gaspumper og udendørs pengeautomater. Gemte dig et klik (men klik alligevel, det hjælper mig med at få betalt).

Derefter vil jeg starte med en hel ting om højteknologiske løsninger til betalinger. Android Pay, Apple Pay og Samsung Pay bruger et tokeniseringssystem, der aldrig afslører dine faktiske kreditkortoplysninger. Det kan virke mindre sikkert at bruge dem, da informationen transmitteres trådløst, men det er faktisk meget godt.

Derefter vil jeg nogle gange tackle lidt om, hvordan du kan bruge Abine Blur til at oprette forudbetalte kreditkort og falske e-mail-adresser på farten. Måske vil jeg nævne, hvordan kontanter og forudbetalte kreditkort er de mest sikre og fortrolige bevidste måder at gøre forretninger på. Jeg vil bestemt ikke tilslutte mig beskyttelse af identitetstyveri, fordi jeg ikke er sikker på, at de rent faktisk fungerer, og jeg vil ikke sige for meget om kreditovervågning, fordi jeg ikke synes, du skal betale for dine egne økonomiske oplysninger, der bliver udarbejdet uden dit samtykke.

Jeg støtter aldrig Bitcoin, fordi skrue disse fyre alvorligt.

Det betyder ikke, hvor omhyggelig du er

Vi skriver denne slags historier hele tiden på PCMag, og de er nyttige til at illustrere de små ting, der kan gøre en forskel i folks liv. Folk skal kende smartere måder at betale på og rådes til at bruge passwordadministratorer og 2FA eller i det mindste vide, hvad disse ting er, så de kan træffe informerede valg i deres liv. Men overtrædelsen af ​​Earl Enterprises kom virkelig til mig, fordi der næsten ikke var noget, kunderne kunne have gjort for at virkelig beskytte sig selv.

I Earl Enterprises-angrebet havde de onde fjernadgang til POS-maskinerne. Det betyder uanset hvor meget en kunde undersøgte kortlæserne, de ville ikke finde en fortæller-skimmer, fordi truslen var inde i maskinen. På amerikanske restauranter får kunder ikke altid muligheden for endda at engagere sig med POS-terminalen. Vi overleverer vores betaling til serveren, der kører kortet og vender tilbage med en kvittering. Det betyder, at kunder ikke kan bruge det nyere og mere sikre betalingssystem for mobilenheder. Der er heller ingen garanti for, at en given købmand understøtter EMV-chips eller mobilbetalinger, eller at personalet vil blive uddannet i, hvordan man bruger det.

Det er ikke at nævne, at det blev rapporteret, at det tog 10 måneder at Earl Enterprises reagerede på overtrædelsen. Heller ikke, at fordi disse oplysninger blev solgt i bulk, hvilket er standard for denne form for operationer, kunne ofrene opleve konsekvenser af anden og anden orden i de kommende år.

Af alle de råd, jeg har at give om dette emne, der kun lader en mulighed: Brug kontante eller forudbetalte kort. Det er en temmelig latterlig situation i året med vores herre 2019, hvor jeg kan bruge en telefon til at købe en drone og få den leveret til mit hus, inden jeg kommer hjem, alt sammen med video, der ringer til en ven i Thailand.

Det første massive dataovertrædelse, der syntes som om det kunne ændre ting, var i 2013, da noget i retning af 110 millioner Target-shoppere opdagede, at der var et specielt blålys på deres private oplysninger. Ligesom Earl Enterprises-angrebet var der kun lidt, som kunderne kunne have gjort for at beskytte sig selv. På det tidspunkt var der bekymring for, at forbrugernes tilbageslag kunne synke virksomheden.

Det skete ikke, og det skete ikke for nogen af ​​de efterfølgende overtrædelser, der gav overskrifter. Target fik et hit og udbetalte nogle kontanter, men det har været i forretning. Der var heller ikke ødelæggende konsekvenser for nogen af ​​de efterfølgende overtrædelser, der gjorde overskrifter, og vi har heller ikke set ægte økonomiske smerter, når et firma opfører sig dårligt og misbruger sine kunders private oplysninger (ser på dig, Facebook !). Faktisk er denne slags forræderi med kunder blevet så almindelig, at det ikke var fornuftigt for PCMag at dække Earl Enterprises-angrebet. Det berettigede simpelthen ikke opmærksomheden.

Intet beløb af forbrugeres selvforsvar vil stoppe denne form for svindel, og tilsyneladende er der ingen mængde dårlig presse over sikkerhedsbrud, der skader et selskab nok til, at de kan beskytte kundeinformationen tilstrækkeligt. Efter min mening er det en mulighed: regulering.

Forbrugerbeskyttelse Beskytter forbrugerne

• De bedste adgangskodeadministratorer for 2019 De bedste adgangskodeadministratorer for 2019
• Target hack påvirket op til 70M shoppere Target hack påvirket op til 70M shoppere
• To-faktorautentisering: Hvem har det, og hvordan man opsætter det To-faktor autentificering: Hvem har det og hvordan man opsætter det

Virksomheder skal holdes juridisk og økonomisk ansvarlige for sikkerhedsbrud, der påvirker kunderne. Der skal være bøder, efterforskning og retskendte konsekvenser. Penge skal bruges på advokater - en masse penge . Den nuværende model, hvor kunderne skal bruge deres egne penge og energi på at bringe retssager til at bære er urimelig. Som det kræver den energi, der kræves for at beskytte os mod småbedrageri eller, værre, forsøge at sætte vores liv sammen efter identitetstyveri.

Virksomheder skal også tage trusler alvorligt og planlægge for angreb. Det bareste minimum af kundedata skal opbevares, og hvad som helst, der opbevares, skal opbevares krypteret eller på anden måde for at gøre det nytteløst, hvis det blev stjålet. Oprettelsen af ​​betalingssystemer er også nødt til at begynde at tage truslerne alvorligt, hvilket jeg er sikker på, at de ville gøre, hvis der var et krav fra købmænd om mere sikre enheder.

I ganske lang tid har jeg mistanke om, at den store mængde privat information, der er blevet udsat i det sidste årti, betyder, at alle har været eller vil skade på en eller anden måde. Det kan ikke være acceptabelt. Når jeg taler for mig selv, er jeg på mit andet betalingskort i 2019, fordi de to første havde deres numre kompromitteret. Det er april.