Digest sulla Sicurezza dei Database – Settembre 2018
Si prega di dare un’occhiata ai più grandi incidenti di sicurezza dei database di settembre 2018.
British Airways Hackata
Per più di due settimane, presumibilmente dal 21 agosto al 5 settembre, gli hacker hanno avuto accesso ai dettagli di oltre 380.000 transazioni di clienti che hanno effettuato o modificato prenotazioni sul sito ufficiale della compagnia aerea e sull’app. Gli hacker hanno ottenuto le seguenti informazioni finanziarie: nomi, indirizzi e-mail e informazioni sulle carte di credito (numeri di carte di credito, date di scadenza e codici CVC che vengono utilizzati per approvare i pagamenti). L’Ufficio del Commissario per le Informazioni sta conducendo un’indagine sulle radici di questo attacco hacker di successo. È molto probabile che British Airways dovrà pagare una multa per non essere riuscita a mantenere al sicuro le informazioni sensibili dei clienti.
I rappresentanti della compagnia aerea affermano che l’attacco è stato condotto da un gruppo di cybercriminali molto “sofisticato”. Ora, la compagnia aerea raccomanda ai clienti colpiti di contattare le proprie banche per prendere tutte le misure necessarie per prevenire il furto di denaro e di identità.
Gli esperti affermano che i dati rubati potrebbero valere più di 20 milioni di sterline nel lato oscuro di Internet, in base al prezzo medio per tali informazioni.
Più di 6 milioni di clienti colpiti in una violazione dei dati di un rivenditore statunitense
SHEIN è una compagnia multinazionale che vende vestiti. Ha iniziato a North Brunswick, New Jersey, nel 2008. Tuttavia, i cybercriminali non si preoccupano davvero di quale azienda hackare, sono interessati solo a ottenere i database aziendali e venderli.
La compagnia ha ammesso di essere stata hackerata e di aver divulgato dati personali di oltre sei milioni di clienti. Inoltre la compagnia ha informato che era stata bersaglio di un “attacco informatico criminale concertato” e ha dovuto ricorrere a una società di cybersicurezza forense e a un’azienda legale per condurre un’indagine. La compagnia non ha fornito molti dettagli, ma sembra che i suoi server abbiano scaricato del malware. Nel comunicato stampa della compagnia è stato dichiarato che i dati personali illegalmente acquisiti dagli hacker includevano indirizzi e-mail e password criptate dei clienti che hanno visitato il sito della compagnia.
14 milioni di record esposti dal servizio di pagamento del governo
Una piattaforma popolare utilizzata da molti americani per pagare bollette, multe, tasse di licenza e altro a oltre 2000 enti e agenzie governative in 35 stati stava divulgando inavvertitamente dati personali attraverso un errore di sito web. Le ricevute online emesse dopo un pagamento erano numerate in sequenza. Digitando semplicemente nuovi numeri nella barra degli indirizzi, chiunque poteva guardare attraverso i record di altre persone. In questo modo, oltre 14 milioni di record erano facilmente accessibili risalenti all’anno 2012. Le informazioni esposte includevano nomi, indirizzi, numeri di telefono e le ultime quattro cifre delle carte bancarie. Queste informazioni sono teoricamente sufficienti per un attacco di phishing molto realistico. Il servizio di pagamento governativo gestito da GovPayNet è stato molto rapido nell’eliminare questo bug.
Aggiornamenti di sicurezza per i database
Oracle
https://nvd.nist.gov/vuln/detail/CVE-2018-16959https://nvd.nist.gov/vuln/detail/CVE-2018-16958
https://nvd.nist.gov/vuln/detail/CVE-2018-16957
https://nvd.nist.gov/vuln/detail/CVE-2018-16956
https://nvd.nist.gov/vuln/detail/CVE-2018-16955
https://nvd.nist.gov/vuln/detail/CVE-2018-16954
https://nvd.nist.gov/vuln/detail/CVE-2018-16953
https://nvd.nist.gov/vuln/detail/CVE-2018-16952
MS SQL Server
https://nvd.nist.gov/vuln/detail/CVE-2018-16659PostgreSQL
https://nvd.nist.gov/vuln/detail/CVE-2016-7070MySQL
https://nvd.nist.gov/vuln/detail/CVE-2018-17034https://nvd.nist.gov/vuln/detail/CVE-2018-17035
IBM DB2
https://nvd.nist.gov/vuln/detail/CVE-2018-1711https://nvd.nist.gov/vuln/detail/CVE-2018-1710
https://nvd.nist.gov/vuln/detail/CVE-2018-1685
