Vigilancia de seguridad: hacer que las corporaciones, no los clientes, sufran por la violación de datos max eddy

El 29 de marzo, Earl Enterprises anunció que los visitantes de sus cadenas de restaurantes podrían haber robado la información de su tarjeta de crédito. Como es habitual cuando sucede este tipo de cosas, me pidieron que reuniera algunos consejos para los consumidores sobre lo que podían hacer para protegerse. Es un tema muy usado de años de historias similares, pero esta vez se sintió diferente. Esto se debe en parte a la naturaleza única del ataque, pero también a que nuestra práctica de responsabilizar a los consumidores no está funcionando. Es hora de poner la responsabilidad donde corresponde, en las corporaciones que permitieron comprometer los datos en primer lugar.

Unto the Breach

Si comiste en Buca di Beppo, Chicken Guy !, Earl of Sandwich, Mixology, Planet Hollywood o Tequila Taqueria específicos, es posible que te hayan robado la información de tu tarjeta de crédito o débito. Según Earl Enterprises, esto podría haber incluido casi todo lo necesario para cometer fraude: número de tarjeta, fechas de vencimiento y algunos nombres de titulares de tarjetas. Se informa que el número de personas afectadas es de alrededor de 2 millones.

Un hecho interesante sobre esta violación en particular es que no fue una violación per se . En cambio, los piratas informáticos lograron acceder de forma remota a máquinas de punto de venta o POS (sí, ese es el acrónimo real) en varios restaurantes e instalar malware que raspó los datos de los clientes. Esa información fue agrupada y vendida en los sitios web del mercado negro.

¿Qué puede hacer para mantenerse a salvo?

Aparte del bit sobre el malware en las máquinas de POS, la violación / ataque de Earl Enterprises es bastante típico. Como es el consejo que daría sobre lo que los consumidores (ese es usted) pueden hacer para mantenerse a salvo.

Primero, generalmente digo, use una tarjeta de crédito y no una tarjeta de débito. Las transacciones con tarjeta de crédito se revierten fácilmente y las compañías de tarjetas de crédito son muy buenas para detectar el fraude antes que usted. Es importante destacar que no es responsable de los cargos fraudulentos de la tarjeta de crédito. Usar una tarjeta de débito es esencialmente una transacción en efectivo. Puede obtener un reembolso por estos, pero a veces lleva más tiempo y, en el peor de los casos, puede provocar algunas disputas con el banco o la FDIC.

Una vez que está fuera del camino, entro en los problemas con las transacciones de banda magnética. Las rayas magnéticas son estúpidamente simples. Puede conectar un lector de banda magnética USB, ejecutar una tarjeta y la computadora ingresará la información en un archivo de texto para usted. Una tarjeta con chip (tarjeta EMV) utiliza un proceso diferente que es mucho más seguro y más difícil de interceptar.

Eso lleva a una discusión natural sobre cómo esta información es usualmente robada con dispositivos pequeños llamados skimmers o shimmers. Tengo una historia completa sobre cómo detectarlos, así que puedes leerlo. La esencia es que es una buena idea inspeccionar las máquinas de punto de venta antes de usarlas, en cada contexto que las encuentre, pero especialmente en las bombas de gas y los cajeros automáticos al aire libre. Le guardé un clic (pero haga clic de todos modos, me ayuda a que me paguen).

Después de eso, comenzaré a hablar sobre soluciones de alta tecnología para pagos. Android Pay, Apple Pay y Samsung Pay utilizan un sistema de tokenización que nunca revela la información real de su tarjeta de crédito. Puede parecer menos seguro usarlos ya que la información se transmite de forma inalámbrica, pero en realidad es muy buena.

Luego, a veces voy a hablar un poco sobre cómo puede usar Abine Blur para crear tarjetas de crédito prepagas y direcciones de correo electrónico falsas sobre la marcha. Quizás mencione cómo el efectivo y las tarjetas de crédito prepagas son las formas más seguras y conscientes de la privacidad de hacer negocios. Definitivamente no respaldaré los servicios de protección contra el robo de identidad porque no estoy seguro de que realmente funcionen, y no diré demasiado sobre el monitoreo de crédito porque no creo que deba pagar su propia información financiera que se está compilando sin su consentimiento

Nunca apruebo Bitcoin porque joder a esos tipos, en serio.

No importa lo cuidadoso que seas

Escribimos este tipo de historias todo el tiempo en PCMag, y son útiles para ilustrar las pequeñas cosas que pueden marcar la diferencia en la vida de las personas. Las personas deben conocer formas más inteligentes de pago, y se les debe recomendar usar administradores de contraseñas y 2FA, o al menos saber cuáles son estas cosas para que puedan tomar decisiones informadas en su vida. Pero la violación de Earl Enterprises realmente me atrapó, porque casi no hay nada que los clientes puedan haber hecho para protegerse realmente.

En el ataque de Earl Enterprises, los malos tenían acceso remoto a las máquinas POS. Eso significa que no importa cuánto investigue un cliente a los lectores de tarjetas, no van a encontrar un skimmer revelador porque la amenaza está dentro de la máquina. Además, en los restaurantes de EE. UU., Los clientes no siempre tienen la opción de participar incluso en la terminal POS. Entregamos nuestro pago al servidor, que ejecuta la tarjeta y regresa con un recibo. Eso significa que los clientes no pueden usar el sistema de pago de dispositivos móviles más nuevo y seguro. Tampoco hay garantía de que un comerciante determinado admita chips EMV o pagos móviles, o que el personal reciba capacitación sobre cómo usarlo.

Eso sin mencionar que se informó que Earl Enterprises tardó 10 meses en responder a la violación. Tampoco porque esta información se vendió a granel, lo cual es estándar para este tipo de operaciones, las víctimas podrían experimentar consecuencias de segundo y tercer orden en los años venideros.

De todos los consejos que tengo que dar sobre este tema, eso deja solo una opción: usar efectivo o tarjetas prepagas. Ese es un estado de cosas bastante ridículo en el año de nuestro señor 2019 cuando puedo usar un teléfono para comprar un dron y enviarlo a mi casa antes de llegar a casa, todo mientras llamo por video a un amigo en Tailandia.

La primera violación masiva de datos que parecía que podría cambiar las cosas fue en 2013, cuando algo así como 110 millones de compradores Target descubrieron que había una luz azul especial en su información privada. Al igual que el ataque de Earl Enterprises, había poco que los clientes pudieran haber hecho para protegerse. En ese momento, existía la preocupación de que la reacción del consumidor podría hundir a la empresa.

Eso no sucedió, y no sucedió en ninguna de las otras infracciones posteriores que llegaron a los titulares. Target recibió un golpe y pagó algo de efectivo, pero se ha mantenido en el negocio. Tampoco hubo consecuencias devastadoras para ninguna de las otras infracciones posteriores que llegaron a los titulares, ni hemos visto un verdadero dolor financiero cuando una empresa se porta mal y abusa de la información privada de sus clientes (mirándolo, Facebook !). De hecho, este tipo de traición a los clientes se ha vuelto tan común que no tenía sentido que PCMag cubriera el ataque de Earl Enterprises. Simplemente no garantizaba la atención.

Ninguna cantidad de autodefensa del consumidor detendrá este tipo de fraude, y aparentemente ninguna cantidad de mala prensa sobre violaciones de seguridad dañará a una corporación lo suficiente como para que proteja adecuadamente la información del cliente. En mi opinión, eso deja una opción: regulación.

Protecciones al consumidor Proteger a los consumidores

• Los mejores administradores de contraseñas para 2019 Los mejores administradores de contraseñas para 2019
• Target Hack afectado hasta 70 millones de compradores Target Hack afectado hasta 70 millones de compradores
• Autenticación de dos factores: quién lo tiene y cómo configurarlo Autenticación de dos factores: quién lo tiene y cómo configurarlo

Las corporaciones deben ser legal y financieramente responsables de las violaciones de seguridad que afectan a los clientes. Es necesario que haya multas, investigaciones y consecuencias ordenadas por el tribunal. Se necesita gastar dinero en abogados, mucho dinero . El modelo actual donde los clientes tienen que gastar su propio dinero y energía para entablar demandas judiciales no es razonable. Al igual que la energía necesaria para protegernos del fraude menor o, peor aún, tratar de reconstruir nuestras vidas después del robo de identidad.

Las empresas también deben tomarse en serio las amenazas y planificar los ataques. El mínimo mínimo de datos del cliente debe almacenarse, y lo que sea que esté almacenado debe mantenerse cifrado o de alguna otra manera para que sea inútil si se lo roban. Los creadores de los sistemas de pago también deben comenzar a tomarse en serio las amenazas, lo que estoy seguro que harían si hubiera una demanda de los comerciantes de dispositivos más seguros.

Desde hace bastante tiempo, sospecho que el gran volumen de información privada que se ha expuesto en la última década significa que todos han sido o serán perjudicados de alguna manera. Eso no puede ser aceptable. Hablando por mí mismo, estoy en mi segunda tarjeta de débito de 2019, porque los dos primeros tenían sus números comprometidos. Es abril.