Den koreanska smartphone- och TV-jätten Samsung förlorade en okänd mängd data som rör ett okänt antal kunder – och höll tyst om det i nästan en månad.
Så vad hände? Vem drabbades? Och är Samsung-användare säkra?
Vad hände i Samsungs dataintrång?
Det korta svaret är att Samsung inte vet hur dataintrånget inträffade – eller åtminstone, det sägs inte den 2 september pressmeddelande, som helt enkelt säger att "I slutet av juli 2022 skaffade en obehörig tredje part information från några av Samsungs amerikanska system".
Uttalandet fortsätter:
"Vi vill försäkra våra kunder att problemet inte påverkade personnummer eller kredit- och betalkortsnummer, men i vissa fall, kan ha påverkat information som namn, kontaktinformation och demografisk information, födelsedatum och produktregistrering information. Den information som påverkas för varje relevant kund kan variera."
Kontaktuppgifter inkluderar troligen hemadress, telefonnummer och e-post. Ytterligare information som samlas in under produktregistreringen inkluderar kön, exakta geolokaliseringsdata, Samsung-kontoprofil-ID, användarnamn och mer. Till och med bara
din e-postadress kan vara värdefull för brottslingar.Samsungs halvhjärtade försäkran kan trösta vissa kunder med att brottslingarna inte använder sina kreditkortsuppgifter för att till exempel köpa ospårbar kryptovaluta. Men mängden information som företaget medger Maj har tagits är häpnadsväckande, och inte något så lätt framstår som oväsentligt.
Med denna detaljnivå borde det vara relativt trivialt för angripare att konstruera precision spearphishing attacker, konstruera SIM-byten och ta krediter och lån i ett offers namn.
Kanske är det därför som Samsungs släpp anstränger sig för att notera att, även om det inte erbjuder gratis kreditövervakning till offer, " har enligt amerikansk lag rätt till en gratis kreditupplysning årligen från var och en av de tre stora rikstäckande kreditupplysningarna byråer."
Samsung upptäckte intrånget den 4 augusti 2022 och släppte denna begränsade information hela 30 dagar senare. Lagstiftningen om avslöjande av dataintrång varierar i USA, men det är en vanlig bestämmelse att anmälan om ett sådant brott görs så snabbt som möjligt och utan orimligt dröjsmål. Den maximala tillåtna tidsramen för avslöjande är mellan 30 dagar (Colorado, Florida) och 90 dagar (Connecticut). Genom att skjuta upp avslöjandet så länge kan Samsung utsätta sig själva för en viss fara.
Vem drabbades av Samsungs dataintrång?
När det gäller vem som drabbades ger Samsung inte ens ut ungefärliga siffror. Det kan vara varje kund som någonsin har ägt en Samsung-enhet, eller det kan vara en handfull. Vi vet inte än. Samsung har försökt lugna berörda användare genom att säga:
"Vi värdesätter våra kunders förtroende och om vi genom vår utredning skulle fastställa att händelsen kräver ytterligare meddelande kommer vi att kontakta dig i enlighet med detta."
Android-polisen rapporterar att hackergruppen, Lapsus$, tidigare i år påstod sig ha exfiltrerat 190 GB känslig data från Samsung, inklusive algoritmer för alla biometriska upplåsningsoperationer, källkod för starthanteraren för nyare Samsung-produkter och all källkod bakom processen att auktorisera och autentisera Samsung konton.
Vad kan du göra åt det?
Okej, så vad kan du egentligen göra åt det här brottet? När denna informationsnivå avslöjas bör du anlita en kreditövervakningstjänst för att hålla ett öga på eventuella nya kort- eller låneansökningar i ditt namn. Ännu bättre, frys din kredit tills du är säker på att du är säker. Det är förmodligen en bra idé att byta telefonnummer också.
Och om du är orolig och vill ha trygghet eller ytterligare råd, kontakta Samsung direkt. Du kan också uttrycka ditt missnöje, så att om något sådant här händer igen, de inte behandlar din information på ett så till synes slarvigt sätt.
