正しくパッチを適用できない場合既知の脆弱性そして個人データを暴露するEquifax は潜在的に 1 億 4,300 万人のアメリカ人をハッカーに攻撃した可能性があり、セキュリティに関する重大な大失敗を犯しました。しかし、同社はまだ始まったばかりのようです。
犯罪者に対してデジタルの扉を大きく開いたままにすることは、信用調査機関にとって明らかに十分ではなかった。現在、ハッキング被害者を未知のインターネットいたずら者の野放しの中に直接送り込んでいるからだ。
はい、Equifax は、データ侵害とその影響を懸念する人々を、同社自体を荒らすために設定された偽の Web サイトに誘導しています。そうです、Equifax の公式 Twitter アカウントは人々に、偽物サイト（別名フィッシングサイト）。
この規模のデータ侵害の後、公式ヘルプ ページを模倣した Web サイトが出現するのは珍しいことではありません。通常、これらのフィッシング サイトの目的は、心配している消費者をだまして個人情報を引き渡すことです。この場合、Equifax は非常に現実的なサイトを作成しました —https://www.equifaxsecurity2017.com- ユーザーは自分の姓と社会保障番号の下 6 桁を入力して、ハッキングの影響を受けたかどうかを確認できます。
当然のことながら、誰かがそのサイトのクローンを作成し、そのコピーを非常によく似た URL (https://securityequifax2017.com) でホストしました。本物と偽物の 2 つのサイトは、何気なく観察している人には同じように見えます。実際、これらは非常に混同されやすいため、Equifax 自体は違いを区別できないようです。
さあ、ティム。 クレジット:
上の写真の Twitter のやり取りをよく見ると、Tim という名前の Equifax アカウントを操作している誰かが偽の Web サイトにリンクしていることがわかります。ツイートのタイムスタンプは9月19日のもので、9月20日朝の時点でもツイートはまだ残っていた（記事執筆中に削除された）。
また、間違ったウェブサイトをリストしたツイートはこれだけではありません。それは少なくとも8回起こった。
ツイートは削除された可能性があります
ありがたいことに、なりすましサイトの作成者は、何も疑っていない被害者の個人情報を盗むことよりも、Equifax の無能さを非難することに興味があるようです。おそらく。
マッシュ可能な光の速度
偽サイトのヘッダーには「サイバーセキュリティ事件と重要な消費者情報はまったく偽物ですが、なぜ Equifax はフィッシング サイトになりすましやすいドメインを使用したのでしょうか」と書かれています。
「Equifaxは、信頼できる[EV] SSL証明書を使用してequifax.comでこれをホストするべきでした。代わりに、彼らは簡単に偽装できるドメインを選択し、どんなスクリプトキディでも20分で偽装できるジェリービーンSSL証明書を使用しました」と偽サイトは付け加えた。
リンクをクリックすると、実際の Equifax サイトと同じように、姓と SSN の下 6 桁を入力するよう求められますが、「続行」をクリックすると、複製された Web ページで警告が表示されます。 「あなたは騙されただけです」とポップアップウィンドウが表示されます。 「これは安全なサイトではありません [原文のまま]! 何千人もの人がフィッシング サイトに情報を漏らす前に、@equifax にツイートして equifax.com に変更してもらいます!」
偽のフィッシングサイト。 クレジット:
このサイトがだまされた消費者が入力したデータを捕捉したのか、それとも破棄したのかは明らかではない。このページには実際の連絡先情報はなく、リンクの多くは、YouTubeビデオリック・アストリーの「Never Gonna Give You Up」は、「リックローリング」として知られる古典的なインターネットのいたずらです。あWHOIS検索ドメインの作成日は 9 月 8 日であることが示されていますが、所有者は記載されていません。
しかし、セキュリティ研究者のニック・スウィーティング氏は、このサイトの功績を認め、入力されたデータは一切盗んでいないと主張した。
ツイートは削除された可能性があります
ツイートは削除された可能性があります
偽ページには「この事件に対する[Equifaxの]対応により、何百万人もの人々が模倣サイトでのフィッシング攻撃を受けやすくなる」と書かれている。 「これが、（Amazon SSL 証明書を使用した）詐欺に見えるドメインにセキュリティ インシデント Web サイトを置かない理由です。誰も本物とフィッシング サイトの違いを見分けることができません。」
前述の「誰も」に Equifax の Twitter アカウントを運営している人物が含まれていないことは、同社にとって良い兆候ではありません。あるいは、不運にも大規模でセキュリティが不十分なデータベースに個人情報が照合されている人物も含まれます。
Equifax はこれらすべてについて何と言っていますか?残念ながら、それほど多くはありません。
広報担当者は「間違ったリンクを使用した投稿はすべて削除された」と語った。マッシュ可能電子メール経由で。 「確認しますが、正しい Web サイトは https://www.equifaxsecurity2017.com です。混乱を招いて申し訳ありません。」
ティムが私たち全員に直接謝罪することになるかどうかについては、まだ何も発表されていない。