Säkerhetsklocka: få företag, inte kunder, att drabbas av dataöverträdelser | max virvel

Den 29 mars tillkännagav Earl Enterprises att besökare på dess kedjorestauranger kan ha fått sin kreditkortsinformation stulen. Som vanligt när den här typen händer, blev jag ombedd att sätta ihop råd för konsumenterna om vad de kunde göra för att skydda sig. Det är ett välslitet ämne från år av liknande berättelser, men den här gången kändes det annorlunda. Detta beror delvis på attackens unika karaktär, men också för att vår praxis att sätta ansvaret för att rensa besväret på konsumenterna inte fungerar. Det är dags att sätta upp företaget där det hör hemma, på de företag som tillät att informationen komprometterades i första hand.

Unto the Breach

Om du ätit ute på specifika Buca di Beppo, Chicken Guy !, Earl of Sandwich, Mixology, Planet Hollywood eller Tequila Taqueria, kan du ha fått din kredit- eller betalkortsinformation stulen. Enligt Earl Enterprises kunde detta ha inkluderat nästan allt som behövs för att begå bedrägeri: kortnummer, utgångsdatum och några kortinnehavarnamn. Antalet påverkade personer rapporteras vara cirka 2 miljoner.

Ett intressant faktum om just detta brott är att det inte var ett brott i sig . Istället lyckades hackare fjärråtkomst till försäljningsstället eller POS-maskiner (ja, det är den riktiga akronymen) på olika restauranger och installera skadlig programvara som skrapade kunddata. Denna information klumpades samman och såldes på webbplatser för svarta marknaden.

Vad kan du göra för att hålla dig säker?

Bortsett från lite om skadlig programvara på POS-maskiner är Earl Enterprises överträdelse / attack ganska typisk. Liksom det råd jag skulle ge om vad konsumenter (det är du) kan göra för att hålla sig säkra.

För det första brukar jag säga att jag använder ett kreditkort och inte ett betalkort. Kreditkortstransaktioner vänder sig lätt och kreditkortsföretag är mycket bra på att fånga bedrägerier innan du gör det. Det är viktigt att du inte ansvarar för bedrägliga kreditkortsavgifter. Att använda ett betalkort är i huvudsak en kontanttransaktion. Du kan få ersättning för dessa, men det tar ibland längre tid och i värsta fall kan scenarier leda till viss krångling med banken eller FDIC.

När det väl är ur vägen går jag in i problemen med magstripe-transaktioner. Magstripes är dumt enkla. Du kan ansluta en USB-magstripe-läsare, köra ett kort och datorn matar in informationen i en textfil för dig. Ett chipkort (EMV-kort) använder en annan process som är mycket säkrare och svårare att fånga upp.

Det leder till en naturlig diskussion om hur denna information vanligtvis blir stulen med små enheter som kallas skimmers eller shimmers. Jag har en hel historia om hur man ser dem, så att du bara kan läsa den. Det viktigaste är att det är en bra idé att inspektera POS-maskiner innan du använder dem, i alla sammanhang möter du dem, men särskilt vid bensinpumpar och utomhusautomater. Sparat ett klick (men klicka ändå, det hjälper mig att få betalt).

Efter det kommer jag att lansera en hel sak om högteknologiska lösningar för betalningar. Android Pay, Apple Pay och Samsung Pay använder ett tokeniseringssystem som aldrig avslöjar din faktiska kreditkortsinformation. Det kan tyckas mindre säkert att använda dem eftersom informationen överförs trådlöst, men det är faktiskt mycket bra.

Då kommer jag ibland att handla lite om hur du kan använda Abine Blur för att skapa förbetalda kreditkort och falska e-postadresser. Jag kanske nämner hur kontanter och kontantkort är de säkraste och sekretessmedvetna sätten att göra affärer på. Jag stöder definitivt inte identitetsstöldskyddstjänster eftersom jag inte är säker på att de faktiskt fungerar, och jag kommer inte säga för mycket om kreditövervakning eftersom jag inte tror att du borde behöva betala för din egen finansiella information som sammanställs utan ditt samtycke.

Jag stöder aldrig Bitcoin för att skruva dessa killar på allvar.

Det betyder inte hur försiktig du är

Vi skriver denna typ av historier hela tiden på PCMag, och de är användbara för att illustrera de små sakerna som kan göra en skillnad i människors liv. Människor borde veta smartare sätt att betala och rådas att använda lösenordshanterare och 2FA, eller åtminstone veta vad dessa saker är så de kan göra välgrundade val i livet. Men överträdelsen av Earl Enterprises kom verkligen till mig, för det finns nästan inget kunder kunde ha gjort för att verkligen skydda sig.

I attacken mot Earl Enterprises hade skurkarna fjärråtkomst till POS-maskinerna. Det betyder oavsett hur mycket en kund undersökte kortläsarna, de tänkte inte hitta en berättigad skimmer eftersom hotet var inne i maskinen. Vid amerikanska restauranger har kunder inte alltid möjlighet att ens engagera sig med POS-terminalen. Vi överlämnar vår betalning till servern, som kör kortet och returnerar med ett kvitto. Det betyder att kunder inte kan använda det nyare och säkrare betalningssystemet för mobilenheter. Det finns inte heller någon garanti för att en viss handlare stöder EMV-chips eller mobilbetalningar, eller att personalen skulle utbildas i hur man använder den.

Det är för att inte nämna att det rapporterades att Earl Enterprises tog 10 månader att svara på överträdelsen. Inte heller att eftersom denna information såldes i bulk, vilket är standard för denna typ av operationer, kan offren få andra- och tredje ordningens konsekvenser under de kommande åren.

Av alla råd jag har att ge om detta ämne, som bara lämnar ett alternativ: använd kontanter eller förbetalda kort. Det är en ganska löjlig situation under vår herre 2019 när jag kan använda en telefon för att köpa en drone och få den levererad till mitt hus innan jag kommer hem, allt medan jag ringer till en vän i Thailand.

Det första massiva dataöverträdet som verkade som om det kunde förändra saker var 2013, då något liknande 110 miljoner målköpare upptäckte att det fanns en specialblå ljus på deras privata information. Precis som Earl Enterprises-attacken var det lite som kunder kunde ha gjort för att skydda sig. Vid den tiden var det oro för att konsumenternas bakslag skulle kunna sjunka företaget.

Det hände inte, och det hände inte för någon av de andra efterföljande överträdelser som gjorde rubrikerna. Målet tog en hit och betalade ut lite kontanter, men det har stannat kvar i branschen. Det fanns inte heller förödande konsekvenser för någon av de andra efterföljande överträdelser som gjorde rubriker, och vi har inte heller sett riktiga ekonomiska smärta när ett företag uppför sig dåligt och missbrukar sina privata uppgifter (tittar på dig, Facebook !). I själva verket har denna typ av förråd mot kunder blivit så vanligt att det inte var vettigt för PCMag att täcka attacken Earl Enterprises. Det garanterade helt enkelt inte uppmärksamheten.

Inget antal konsumenters självförsvar kommer att stoppa denna typ av bedrägeri, och uppenbarligen kommer ingen mängd dålig press över säkerhetsöverträdelser att skada ett företag tillräckligt för att de ska kunna skydda kundinformation på ett adekvat sätt. Enligt min mening lämnar det ett alternativ: reglering.

Konsumentskydd skydda konsumenterna

• De bästa lösenordshanterarna för 2019 De bästa lösenordshanterarna för 2019
• Målhack som påverkas upp till 70M-shoppare. Målhack som påverkas upp till 70M-shoppare
• Tvåfaktorautentisering: Vem har det och hur man ställer in det Tvåfaktorsautentisering: Vem har det och hur man ställer in det

Företag måste hållas juridiskt och ekonomiskt ansvariga för säkerhetsöverträdelser som påverkar kunderna. Det måste finnas böter, utredningar och domstolsordnade konsekvenser. Pengar måste spenderas på advokater - mycket pengar . Den nuvarande modellen där kunder måste spendera sina egna pengar och energi för att föra rättegångar är orimliga. Liksom den energi som krävs för att skydda oss mot småbedrägerier eller, ännu värre, försöka sätta tillbaka våra liv efter identitetsstöld.

Företag måste också ta hot på allvar och planera för attacker. Det minsta kunduppgifterna bör lagras, och vad som helst lagras bör förvaras krypterat eller på annat sätt för att göra det värdelöst om det stulits. Skaparna av betalningssystem måste också börja ta hoten på allvar, vilket jag är säker på att de skulle göra om det fanns en efterfrågan från köpmännen om säkrare enheter.

Under ganska länge nu har jag misstänkt att den stora mängden privat information som har blivit utsatt under det senaste decenniet innebär att alla har varit eller kommer att skada på något sätt. Det kan inte vara acceptabelt. Jag talar för mig själv, jag är på mitt andra betalkort 2019, eftersom de två första hade deras nummer komprometterade. Det är april.