在最近的一次數(shù)據(jù)泄露事件中，領(lǐng)先的藍(lán)牙定位跟蹤設(shè)備供應(yīng)商之一 Tile 的數(shù)百萬用戶的個人信息可能被暴露，并引發(fā)了贖金要求。

據(jù) 404 Media 報道，黑客利用竊取的一名前 Tile 公司員工的憑證進(jìn)入了公司內(nèi)部工具，并訪問了多個 Tile 系統(tǒng)，以竊取敏感數(shù)據(jù)。

這些數(shù)據(jù)包括用于轉(zhuǎn)移 Tile 追蹤器所有權(quán)、創(chuàng)建管理員賬戶和發(fā)送用戶通知的工具，如黑客提供的截圖所示。

黑客在數(shù)據(jù)泄露事件中可以訪問的內(nèi)容（圖片來源：404 Media）

2024 年 6 月 11 日，Tile 的母公司、專注于定位數(shù)據(jù)的 Life360 表示，檢測到有人未經(jīng)授權(quán)訪問其客戶支持平臺。根據(jù)該公司的新聞稿，Tile 成為了 "犯罪勒索企圖 "的目標(biāo)，一名身份不明的行為者告知他們擁有 Tile 的客戶信息。

公司立即展開調(diào)查，發(fā)現(xiàn)有人未經(jīng)授權(quán)訪問了 Tile 客戶支持平臺，但沒有訪問 Tile 服務(wù)平臺。該公司向用戶保證，沒有財務(wù)數(shù)據(jù)、密碼或位置信息被泄露，因為該平臺從未存儲過這些數(shù)據(jù)。但用戶的敏感數(shù)據(jù)可能會被暴露，包括姓名、實(shí)際地址、電子郵件地址、電話號碼和 Tile 設(shè)備識別碼。

Life360 首席執(zhí)行官 Chris Hulls 表示："我們認(rèn)為，此次事件僅限于上述特定的 Tile 客戶支持?jǐn)?shù)據(jù)，并不具有更大的普遍性。”他重申了該公司保護(hù)客戶信息的承諾，并采取措施保護(hù)其系統(tǒng)免受惡意行為者的侵害。

值得注意的是，該新聞稿不適用于美國以外的用戶，截圖如下：

該公司已經(jīng)向執(zhí)法部門報告了這一事件和勒索企圖。然而，此次事件凸顯了用戶位置追蹤公司的脆弱性，以及它們是如何成為黑客攻擊目標(biāo)的。

由于電子郵件地址被曝光，Tile 用戶應(yīng)謹(jǐn)防網(wǎng)絡(luò)釣魚，對要求提供個人信息或登錄憑據(jù)的電子郵件保持警惕，并監(jiān)控與 Tile 帳戶相關(guān)的電子郵件和銀行帳戶上的可疑活動。

專家評論

總部位于新澤西州弗萊明頓的身份和訪問安全提供商 Pathlock 首席執(zhí)行官 Piyush Pandey 就數(shù)據(jù)泄露事件發(fā)表了評論，指出其中涉及多種因素，包括前員工或心懷不滿的員工實(shí)施的潛在威脅以及缺乏安全認(rèn)證。

“在這種情況下，訪問權(quán)限似乎是使用 Tile 前員工的管理憑證授予的，這表明身份安全的一個關(guān)鍵要素——在身份生命周期的加入、移動和離開整個過程中，能夠主動了解用戶的訪問和權(quán)限?！?/p>

此外，多因素身份驗證也可能導(dǎo)致僅憑用戶名和密碼就能訪問的情況不復(fù)存在。Piyush 補(bǔ)充說：這一漏洞還表明，除了保護(hù)主要業(yè)務(wù)線應(yīng)用程序外，確保服務(wù)賬戶訪問的安全性也至關(guān)重要。

Critical Start 網(wǎng)絡(luò)威脅研究高級經(jīng)理 Callie Guenther 強(qiáng)調(diào)了數(shù)據(jù)泄露事件后的重大威脅情報影響，包括有針對性的勒索、供應(yīng)鏈漏洞、數(shù)據(jù)敏感性、事件響應(yīng)等。Callie 建議采取以下措施保護(hù)管理員賬戶：

1. 多因素身份驗證（MFA）： 要求所有管理員賬戶使用多因素身份驗證（MFA），以增加額外的安全層。
2. 強(qiáng)密碼策略： 強(qiáng)制使用強(qiáng)大、唯一的密碼，并定期更改密碼。
3. 最小特權(quán)原則： 只向需要的用戶授予管理權(quán)限，盡量減少擁有高級訪問權(quán)限的用戶數(shù)量。
4. 定期審計和監(jiān)控： 持續(xù)監(jiān)控和審計管理員賬戶活動，及時發(fā)現(xiàn)和應(yīng)對可疑行為。
5. 安全意識培訓(xùn)： 教育員工識別網(wǎng)絡(luò)釣魚企圖，以及保護(hù)憑證的重要性。

參考來源：https://hackread.com/location-tracker-tile-data-breach-hackers/