Rapport: Freedom Mobile Data Breach avslöjar kanadensiska kunders fullständiga kreditinformation


vpnMentors forskargrupp upptäckte nyligen det Freedom Mobile upplevde ett stort dataintrång.

Ledd av hacktivisterna Noam Rotem och Ran Locar upptäckte vpnMentors forskare en överträdelse som exponerar upp till 1,5 miljoner aktiva användare av Freedom Mobile-användare. Freedom Mobile (tidigare Wind Mobile) är Kanadas fjärde största leverantör av trådlös kommunikation.

Vårt team upptäckte 5 miljoner okrypterade poster, men av etiska skäl laddade inte ned databasen så det kan inte ange exakta nummer. Företaget har sedan påstått att ”bara” 15 000 poster exponerades.

Databasen var helt oskyddad och okrypterad. Uppgifterna inkluderar kreditkorts- och CVV-nummer.

Tidslinjen för Breach Discovery and Reaction

  • 17 april: Vi upptäcker läckage i Freedom Mobils databas.
  • 18 april: Vi skickar e-post till Freedom Mobile för att informera företaget om allvarliga dataöverträdelser. Erhåller inget svar.
  • 23 april: Vi försöker kontakta Freedom Mobile igen.
  • 24 april: Freedom Mobile svarar äntligen på meddelanden.
  • 24 april: Freedom Mobile stänger dataintrång.

Exempel på poster i databasen

Liknar Gearbests oskyddade Elasticsearch-databas, Freedom Mobils databas var helt okrypterad. Vi hade full tillgång till mer än 5 miljoner poster, vilket speglar upp till 1,5 miljoner användare.

Dessa poster verkar återspegla alla åtgärder som vidtas inom ett användarkonto, vilket möjliggör flera poster per kund.

De personuppgifter som exponeras inkluderar:

  • e-postadress
  • hem- och mobiltelefonnummer
  • hemadresser
  • födelsedatum
  • kundtyp
  • IP-adress ansluten till betalningsmetod
  • okrypterade kreditkort- och CVV-nummer
  • kreditresultatsvar från Equifax och andra företag, med skäl för godkännande / avslag

Vi kan också komma åt kontonummer, prenumerationsdatum, faktureringscykeldatum och kundserviceposter inklusive platser.

Vissa poster inkluderade också data från en Equifax-databas. Detta inkluderade information om kreditpoäng, kreditklass och kreditkortkonton.

Rapport: Freedom Mobile Data Breach avslöjar kanadensiska kunders fullständiga kreditinformation

Effekt av dataöverträdelse

Ironiskt nog är Freedom Mobile stolt över att erbjuda höga integritetsnivåer. Det finns även i deras Twitter-bio:

Rapport: Freedom Mobile Data Breach avslöjar kanadensiska kunders fullständiga kreditinformation

De delade emellertid tydligt - och delade över sina kunders data.

Efter att ha upptäckt dataöverträdelsen varnade vi snabbt Freedom Mobile för problemet. När de inte svarade omedelbart, vi frågade kontakter på en annan säkerhetssajt som hjälper oss att nå dem om våra e-postmeddelanden gick till skräppost. Som de så småningom svarade, vet vi att detta inte är fallet.

Av etiska skäl laddade vi inte ner databasen, så vi vet inte exakt hur många människor som drabbades.

dock, vi kunde få åtkomst till minst 5 miljoner oskyddade poster. Freedom Mobile har minst 1,5 miljoner prenumeranter och moderbolaget ägs av Shaw Communications som har mer än 3,2 miljoner kunder i hela Kanada. Detta kan vara den största överträdelsen som ett kanadensiskt företag upplever.

Det är sällsynt att hitta en läcka som beskriver båda kreditkortsinformation och CVV-nummer tillsammans, särskilt i ett så stort överträdelse.

Eftersom denna dataläckage innehåller okrypterad kreditkortsinformation, Freedom Mobile bryter potentiellt överensstämmelse med PCI (Payment Card Industry). Detta kan leda till allvarliga verkliga effekter för företaget och dess användare.

Faror med hackor

En databas full av kreditkortsdata, födelsedatum, fullständiga namn, adresser och telefonnummer tillåter också kreditkortsbedrägeri och identitetsstöld. Detta kan kosta användare - och deras banker och försäkringsbolag - hundratusentals dollar.

En okrypterad databas med personlig information är en värdefull resurs för hackare. Tillgång till adresser, e-postadresser, telefonnummer och kreditdata kan hjälpa skadliga aktörer köra sofistikerade phishing-scheman.

Kreditinformation tillåter också mycket riktade ransomware-attacker, som dåliga aktörer vet var de kan kräva höga priser.

Även den mest försiktiga användaren kan inte försvara sig mot ett företag som sparar sina uppgifter i en osäker databas. Det bästa sättet vi hittade är att använd ett tillfälligt kort, konto eller CVV-nummer ansluten till ditt konto. Se vår kompletta guide för mer information.

Om oss och tidigare rapporter:

vpnMentor är världens största webbplats för VPN-granskning. Vårt forskningslaboratorium är en pro bono-tjänst som strävar efter hjälpa onlinemiljön att försvara sig mot cyberhot samtidigt som man utbildar organisationer om att skydda sina användares data.

Vi upptäckte nyligen ett stort dataintrång som påverkade 80 miljoner amerikanska hushåll. Vi avslöjade också att Gearbest upplevde ett stort dataintrång. Du kanske också vill läsa vår VPN-läckrapport och statistikrapport för personuppgifter.

Snälla du dela denna rapport på Facebook eller tweet det.

Brayan Jackson
Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me