Kommer du ihåg i början av åttiotalet när AT&T:s slogan var "Räck ut och rör någon"? Tydligen tog cyberbrottslingar det bokstavligt i april i år när de nådde ut och rörde samtalsloggdata för över en miljon AT&T-kunder.

Den 19 april fick AT&T veta att inkräktare påstod sig ha tillgång till dess data. Inkräktarna stal sedan AT&T-loggdata relaterade till trådlösa samtal och sms mellan 1 maj och 31 oktober 2022. Logginformationen var metadata, innehållande telefonnummer som trådlösa användare ringde, hur många samtal de ringde och hur länge samtalen varade sammanlagt. Det inkluderade också mobilplatsidentifikationsnummer för några av dessa samtal.

De stulna uppgifterna inkluderade inte PII som samtal eller textinnehåll, personnummer eller födelsedatum. Men som AT&T noterar i sin SEC-arkivering för incidenten, "Även om uppgifterna inte inkluderar kundnamn, finns det ofta sätt, med hjälp av allmänt tillgängliga onlineverktyg, att hitta namnet som är kopplat till ett specifikt telefonnummer." Inkluderandet av mobilwebbplats-ID:n gör det också möjligt för människor att använda denna datamängd för att analysera platsen för några av dessa samtal – och därför numrens ägare.

Sex månaders samtalsloggar innehåller en stor mängd data. AT&T har uppgett att de kommer att informera 110 miljoner kunder vars samtalsdata var inblandad i dataintrånget. I sin ansökan sa den att den inte trodde att uppgifterna hade gjorts allmänt tillgängliga.

AT&T lämnade in SEC-ansökan för intrånget den 12 juli, långt utanför fyradagarsfönstret. Det försenade inlämnandet i enlighet med justitiedepartementets begäran, eftersom DOJ beslutade att det skulle vara potentiellt farligt att lämna in rapporten inom den normala fyradagarsperioden som SEC begärde. Det är vettigt med tanke på att intrånget uppenbarligen pågick efter att telekombolaget först fick veta om hotaktörernas intrång. Samtalsloggdata stals dagar efter att AT&T sa att de hörde om intrånget.

Intrånget inträffade inte alls i AT&T:s system. Istället skedde det genom en tredjepartsmolnleverantör som företaget i pressen identifierade som ett molnbaserat datalagerföretag Snowflake. Detta var inte den enda sådan datastöld från Snowflake; enligt Mandiant fick 165 kunder sin data stöld från företagets lagringssystem. Detta verkade dock inte vara en kodningssårbarhet i Snowflakes programvara. Kunderna som blev offer för dessa stölder, som inkluderade varumärken som Ticketmaster, hade en sak gemensamt: deras kontouppgifter hade stulits via skadlig programvara och de använde inte multifaktorautentisering.

Vad kan vi lära oss av AT&T/Snowflake Breach?

Vi kan alla lära oss av misstagen hos kunder som drabbats av Snowball-överträdelsen, säger experter. "Organisationer bör ha en tydlig förståelse för modellen för delat säkerhetsansvar som kommer med leverantörsrelationer och implementera robusta identitets- och åtkomsthanteringskontroller på molnplattformar", säger Milda Petraityte, forskare på cybersäkerhetskonsultföretaget S-RM.

Snowflake vidtog några egna åtgärder och introducerade en ny funktion för kundernas administratörer genomdriva obligatorisk UD den 9 juli, nästan tre månader efter att mängden obehöriga inloggningar till dess system började. Det är en början, men man undrar varför den här funktionen inte redan var på plats – eller varför det, i en anda av sann cybersäkerhet, skulle finnas någon annan verksamhetsmodell än obligatorisk MFA.

Företagen släpar fortfarande långt efter i användningen av MFA. Enligt CompTIAs 2024 State of Cybersecurity rapporterar att bara 41 % av företagen inkluderar användningen av MFA i sina cybersäkerhetsstrategier. Endast 38 % använder någon form av arbetsbelastningsstyrning i molnet.

Det andra problemet som fick företag i problem var att misslyckas med att upptäcka och mildra legitimationsstölden. "Flera företag var inte medvetna om att de hade blivit komprometterade med infostealers, så deras referenser var tillgängliga på den mörka webben", påpekar Stephanie Schneider, en cyberhotsunderrättelseanalytiker på lösenordshanterarföretaget LastPass. Detektering är ett kritiskt steg i alla incidentresponsplaner. Eftersom företag misslyckades med att upptäcka infektionen med skadlig programvara som ledde till identitetsstöld och sedan inte implementerade extra åtkomstskydd, lämnade de sig själva sårbara.

Företag kan lära sig om säkra metoder som dessa i vanliga cybersäkerhetsstandarder. Till exempel nämner ISO 270001 uttryckligen säkra autentiseringsmetoder som extern enhetsautentisering i sin Bilaga A 8.5 dokumentation. Den nämner också åtgärder som att leta efter och förhindra användning av otillåten programvara, djupgående skydd mot skadlig programvara över flera infrastrukturella punkter och utbildning av anställda att vara medvetna om social ingenjörskonst och installera skadlig programvara i Kontroll 8.7 – Skydd mot skadlig programvara.

Att implementera sådana åtgärder effektivt kan ha hjälpt till att förhindra AT&T:s Snowflake-katastrof, tillsammans med många andra företags intrång via den molnbaserade tjänsten. Telekom har dock haft andra cybersäkerhetsincidenter att brottas med.

I mars i år uppgav AT&T att PII från 73 miljoner kunder svävade runt på den mörka webben, och de visste inte var informationen hade kommit ifrån. Dessa data, som kom från en kompromiss 2021, var tillräckligt för att utlösa en klagomål från frustrerade kunder.

I januari 2023 rapporterade telekom att PII från nio miljoner kundkonton hade äventyrats via en av dess tredjepartsmarknadsföringspartner. Detta understryker behovet av robusta leverantörsbedömningar och pågående säkerhetsrevisioner från tredje part för att hjälpa till att säkra inte bara företagets eget nätverk utan hela dess dataekosystem.

Att hantera den typen av ekosystem är en utmaning för ett företag som är så spretigt som AT&T, särskilt med tanke på att det också sålde kunders geolokaliseringsdata till tredje part utan deras medgivande. Detta är också ett tecken på att vi behöver mer reglerande åtgärder för att tvinga dessa företag att implementera robusta säkerhets- och integritetskontroller.