Eksperymentalne zamrożenie kredytu może zostać naruszone przy użyciu podstawowych informacji o użytkowniku

Biorąc pod uwagę liczbę przecieków i włamań w dzisiejszych czasach, atakujący w Internecie już widzą świat w swojej ostrydze. Ostatnie odkrycia sugerują, że zamrożenie bezpieczeństwa Experiana w raporcie kredytowym może zostać naruszone, jeśli dostępnych jest tylko kilka informacji o użytkowniku.

Wszyscy atakujący, którzy potrzebują dostępu do raportu kredytowego, to imię i nazwisko posiadacza karty, adres, data urodzenia i numer ubezpieczenia społecznego. Biorąc pod uwagę rosnącą liczbę naruszeń danych, te podstawowe informacje nie są trudne do znalezienia na targowiskach w ciemnej sieci, jak zauważył Brian Krebs.

Po tych czterech informacjach należy podać adres e-mail, a wszystkie informacje muszą zostać potwierdzone. Następnie zostanie zażądany kod PIN zamrożenia kredytu.

Ostatnia strona autoryzacji w Experian wymaga od użytkownika odpowiedzi na cztery pytania związane z uwierzytelnianiem opartym na wiedzy (KBA).

Więcej w wiadomościach: Naruszenie danych Equifax: jak się dowiedzieć, czy Twoje konto zostało zhakowane

„Problem polegający na poleganiu na pytaniach KBA w celu uwierzytelnienia konsumentów w Internecie polega na tym, że tak wiele informacji potrzebnych do pomyślnego odgadnięcia odpowiedzi na te pytania wielokrotnego wyboru jest teraz indeksowanych lub udostępnianych przez wyszukiwarki, sieci społecznościowe i usługi innych firm online - zarówno kryminalna, jak i komercyjna - pisze Brian Krebs.

Ponieważ odpowiedzi na te pytania KBA są dostępne online, podobnie jak inne parametry informacyjne wymagane do naruszenia zamrożenia kredytu Experian, takie środki bezpieczeństwa są niewątpliwie niewystarczające.

Experian to kolejna duża agencja raportująca kredyty konsumenckie, podobna do Equifax. Kwestie związane z bezpieczeństwem w Equifax na początku tego miesiąca dały jasno do zrozumienia, że ​​firmy muszą zwiększyć swoje ramy bezpieczeństwa. W przeciwnym razie po prostu umieszczają dane użytkownika na ryzyko narażenia i potencjalnego nadużycia.

Jak uniknąć niebezpieczeństwa?

Byłoby pomocne, gdyby informacje dotyczące odzyskiwania kodu PIN były wysyłane na adres e-mail, który został wstępnie zdefiniowany przez użytkownika w jego zgłoszeniach kredytowych, a nie na dowolny losowy adres e-mail podany podczas odzyskiwania.

Ponieważ organizacje takie jak Experian i Equifax, które zostały niedawno naruszone, nadal nie znają zabezpieczeń online, ma sens, jeśli zamrozisz swoje pliki kredytowe.

Więcej w wiadomościach: Urządzenia nie działające pod kontrolą systemu Android 8.0 Oreo są podatne na ten atak złośliwego oprogramowania