نقض امنیتی ADT داده‌های ۵.۵ میلیون نفر را افشا کرد

ADT می‌گوید مهاجمان در رخدادی که در ۲۰ آوریل شناسایی شد به اطلاعات شخصی مرتبط با ۵.۵ میلیون نفر دسترسی پیدا کرده‌اند. این برآورد بر اساس گزارش BleepingComputer و سرویس Have I Been Pwned مطرح شده است. به گفته شرکت، داده‌های افشاشده شامل نام، شماره تلفن و نشانی بوده و برای بخش کوچکی از افراد، تاریخ تولد و چهار رقم آخر شماره تأمین اجتماعی یا شناسه مالیاتی نیز در معرض قرار گرفته است.

اهمیت این خبر فقط به بزرگی نشت داده برنمی‌گردد. ADT یک برند امنیت خانگی است و کاربران چنین شرکت‌هایی فقط یک ایمیل ساده در اختیارشان نمی‌گذارند. آن‌ها اطلاعاتی را می‌سپارند که به محل زندگی و شیوه محافظت از خانه‌شان گره خورده است. به همین دلیل، حتی اگر اطلاعات پرداختی و سامانه‌های امنیتی مشتریان دست‌نخورده مانده باشند، تبعات اعتباری این رخداد سنگین است.

طبق گزارش BleepingComputer، مهاجمان مدعی شده‌اند با یک حمله vishing به حساب Okta یکی از کارکنان دسترسی پیدا کرده و سپس از همان مسیر به یک نمونه Salesforce رسیده‌اند. این الگو حالا در بسیاری از حملات سازمانی تکرار می‌شود: سرقت هویت، حرکت جانبی در سرویس‌های SaaS و استخراج انبوه داده بدون نفوذ مستقیم به محصول اصلی.

پیام بزرگ‌تر این ماجرا روشن است: امنیت هویت هنوز یکی از آسیب‌پذیرترین لایه‌های شرکت‌های بزرگ است. اگر جزئیات گزارش‌شده تأیید شود، این رخداد بیشتر از آنکه یک نفوذ پیچیده به سامانه‌های امنیتی ADT باشد، هشداری درباره Help Desk، فرایندهای SSO و مدیریت SaaS است. همان‌طور که BleepingComputer نخستین بار گزارش داد، این پرونده به گروه ShinyHunters نیز نسبت داده شده است.