Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Data

Data

WhatsApp Ditampar Karena Memproses Data Tanpa Dasar Hukum di Bawah GDPR UE

by

Whatsapp

Tagihan lain telah masuk untuk Meta karena gagal mematuhi Peraturan Perlindungan Data Umum (GDPR) Uni Eropa – tetapi yang ini adalah tiddler! Platform perpesanan milik Meta, WhatsApp didenda €5,5 juta

Kembali pada bulan Desember, kepala regulator Meta, Komisi Perlindungan Data Irlandia (DPC), diberi perintah untuk mengeluarkan keputusan akhir atas keluhan ini (yang dimulai pada Mei 2018).

Kedua keputusan akhir tersebut muncul dari DPC awal bulan ini, ketika DPC mengumumkan denda sebesar €310 juta dan memberi Meta waktu tiga bulan untuk menemukan dasar hukum yang valid untuk pemrosesan iklan tersebut.

Di sini Meta (sama) berusaha mengandalkan klaim kebutuhan kontraktual.DPC telah memberi waktu enam bulan kepada WhatsApp untuk memperbaiki caranya untuk keperluan pemrosesan data ini.

mengutip instruksi EDPB untuk itu — untuk melakukan investigasi baru terhadap “operasi pemrosesan WhatsApp IE [Irlandia] dalam layanannya untuk menentukan apakah ia memproses kategori khusus data pribadi (Pasal 9 GDPR), memproses data untuk tujuan periklanan perilaku , untuk tujuan pemasaran,

Meta sekarang telah menanggapi keputusan DPC — mengirimkan pernyataan ini kepada kami, dikaitkan dengan juru bicara WhatsApp, yang menegaskan akan mengajukan banding:

WhatsApp telah memimpin industri perpesanan pribadi dengan menyediakan enkripsi end-to-end dan lapisan privasi yang melindungi orang. Kami sangat percaya bahwa cara layanan beroperasi sesuai dengan teknis dan hukum.

sumber : techcrunch

Apple Menghadapi Gugatan Gugatan Kelompok Ketiga Atas Pengumpulan Data Setelah Cerita Gizmodo

by

Sekarang Apple menghadapi gugatan class action ketiga atas masalah tersebut, kali ini di New York, menandai tindakan hukum ketiga terhadap perusahaan atas dilema data ini. Kasus ini e=meminta gantu rugi sebesar $5 juta.

Namun sejauh ini, perusahaan tersebut menolak untuk membela diri terhadap Gizmodo, atau outlet media lainnya. Kami telah bertanya kepada Apple tentang masalah tersebut pada enam kesempatan terpisah sejak Gizmodo secara eksklusif melaporkan masalah tersebut November lalu. Apple tidak menanggapi, dan masih belum mengatakan apa pun secara terbuka tentang masalah tersebut.

Pengaturan privasi iPhone Analytics mengatakan bahwa itu akan “menonaktifkan berbagi Analisis Perangkat sama sekali” saat Anda mematikannya. Kebijakan privasi analitik Apple mengatakan bahwa “tidak ada informasi yang dikumpulkan yang mengidentifikasi Anda secara pribadi.” Tetapi ketika peneliti dari perusahaan pengembangan perangkat lunak Mysk menguji klaim tersebut, mereka menemukan bahwa keduanya tidak benar.

Terlepas dari klaim Apple bahwa informasi tersebut tidak dapat diidentifikasi, data tersebut dikirimkan dengan nomor ID permanen yang terkait dengan akun iCloud, yang menautkan data ke nama, alamat email, dan nomor telepon Anda.

Belum lagi kampanye iklan privasi ucapan selamat diri Apple selama bertahun-tahun. Perusahaan telah menghiasi papan reklame raksasa di seluruh negeri dengan frasa bernas seperti “iPhone Anda tahu banyak tentang Anda. Tapi kami tidak.” Menurut trio tuntutan hukum, bukan itu masalahnya.

sumber : gizmodo

Pelanggaran Data Nissan Amerika Utara Disebabkan oleh Database Vendor-Exposed

by

Nissan North America telah mulai mengirimkan pemberitahuan pelanggaran data yang memberitahu pelanggan tentang pelanggaran di penyedia layanan pihak ketiga yang mengungkap informasi pelanggan.

Insiden yang membuat 17.998 pelanggan Nisan terkena dampak ini dilaporkan ke Kantor Kejaksaan Agung Maine pada Senin lalu.

Pihak ketiga telah menerima data pelanggan dari Nissan untuk digunakan dalam mengembangkan dan menguji solusi perangkat lunak untuk pembuat mobil tersebut, yang secara tidak sengaja terekspos karena database yang tidak terkonfigurasi dengan baik.

Nissan memastikan database yang terbuka telah diamankan dan meluncurkan penyelidikan internal. Kemudian, pada 26 September 2022 diverifikasi bahwa orang yang tidak berwenang kemungkinan telah mengakses data tersebut, berupa nama lengkap, tanggal lahir, dan nomor akun NMAC (akun keuangan Nissan), namun tidak menyertakan detail kartu kredit atau nomor Jaminan Sosial.

Nissan menawarkan keanggotaan satu tahun untuk layanan perlindungan melalui Experian bagi penerima pemberitahuan pelanggaran.

Pada Oktober 2022, Toyota mengalami insiden keamanan data serupa yang menyebabkan sejumlah 296.019 informasi pribadi pelanggan terungkap.

Insiden tersebut terjadi karena repositori GitHub yang berisi kunci akses ke database perusahaan dibiarkan terbuka untuk akses publik selama lima tahun.

Rupanya Nissan dan perusahaan mobil lainnya terbukti mengikuti praktik keamanan API yang buruk di aplikasi seluler dan portal online mereka, yang berpotensi menyebabkan pengambilalihan akun dan pemaparan informasi sensitif.

Selengkapnya: BleepingComputer

14 sekolah Inggris menderita serangan siber, dokumen yang sangat rahasia bocor

by

Lebih dari selusin sekolah di Inggris telah mengalami serangan dunia maya yang menyebabkan dokumen yang sangat rahasia dibocorkan secara online oleh penjahat dunia maya.

Menurut laporan dari BBC, informasi SEN anak-anak, pindaian paspor anak, skala gaji staf, dan detail kontrak telah dicuri oleh kelompok kejahatan dunia maya terkenal Vice Society, yang dikenal secara tidak proporsional menargetkan sektor pendidikan dengan serangan ransomware di Inggris dan lainnya. negara.

Sekolah Tata Bahasa Pates di Gloucestershire adalah salah satu dari 14 yang terkena dampak pelanggaran data, BBC melaporkan, dengan peretas Vice Society menggunakan istilah pencarian umum untuk mencuri dokumen.

“Satu folder bertanda ‘paspor’ berisi pindaian paspor untuk siswa dan orang tua dalam perjalanan sekolah sejak 2011, sedangkan ‘kontrak’ bertanda lain berisi penawaran kontrak yang dibuat untuk staf di samping dokumen pengajaran tentang kontraksi otot.

Folder lain bertanda ‘rahasia’ berisi dokumen gaji kepala sekolah dan penerima dana beasiswa,” tulis BBC. Peretasan di Pates diperkirakan terjadi pada 28 September sebelum data dipublikasikan di web gelap.

Kantor Komisi Informasi Inggris (ICO) dan Polisi Gloucestershire mengonfirmasi bahwa mereka sedang menyelidiki dugaan pelanggaran pada tahun 2022.

Selengkapnya: CSO

NortonLifeLock warns that hackers breached Password Manager accounts

by

Gen Digital, sebelumnya Symantec Corporation dan NortonLifeLock, mengirimkan pemberitahuan pelanggaran data kepada pelanggan, memberi tahu mereka bahwa peretas telah berhasil menembus akun Norton Password Manager dalam serangan isian kredensial.

Menurut contoh surat yang dibagikan dengan Kantor Kejaksaan Agung Vermont, serangan tersebut tidak diakibatkan oleh pelanggaran pada perusahaan tetapi dari kompromi akun pada platform lain.

Lebih khusus lagi, pemberitahuan tersebut menjelaskan bahwa sekitar 1 Desember 2022, penyerang menggunakan pasangan nama pengguna dan kata sandi yang mereka beli dari web gelap untuk mencoba masuk ke akun pelanggan Norton.

Perusahaan mendeteksi “volume yang luar biasa besar” dari upaya login yang gagal pada 12 Desember 2022, menunjukkan serangan isian kredensial di mana pelaku ancaman mencoba kredensial secara massal.

Pada 22 Desember 2022, perusahaan telah menyelesaikan penyelidikan internalnya, yang mengungkapkan bahwa serangan isian kredensial telah berhasil meretas sejumlah akun pelanggan yang dirahasiakan.

Untuk pelanggan yang menggunakan fitur Norton Password Manager, pemberitahuan tersebut memperingatkan bahwa penyerang mungkin telah memperoleh detail yang disimpan di brankas pribadi.

Bergantung pada apa yang disimpan pengguna di akun mereka, ini dapat menyebabkan penyusupan akun online lainnya, kehilangan aset digital, terungkapnya rahasia, dan banyak lagi.

NortonLifeLock menggarisbawahi bahwa risikonya sangat besar bagi mereka yang menggunakan kata sandi akun Norton dan kunci utama Pengelola Kata Sandi yang serupa, memungkinkan penyerang untuk melakukan pivot dengan lebih mudah.

Perusahaan mengatakan telah mengatur ulang kata sandi Norton pada akun yang terkena dampak untuk mencegah penyerang mendapatkan akses lagi di masa depan dan juga menerapkan langkah-langkah tambahan untuk melawan upaya jahat.

Selengkapnya: Bleeping Computer

LastPass Pertama, sekarang Slack dan CircleCI. Peretasan terus berlanjut

by

Dalam 24 jam terakhir, dunia telah mengetahui tentang pelanggaran serius yang menimpa layanan obrolan Slack dan perusahaan pengiriman dan pengujian perangkat lunak CircleCI, meskipun masing-masing memberikan kata-kata buram perusahaan— “masalah keamanan” dan “insiden keamanan”—Anda akan dimaafkan karena mengira peristiwa ini kecil.

Kurangnya transparansi
CircleCI masih bungkam tentang apa yang sebenarnya terjadi. Penasihatnya tidak pernah menggunakan kata “pelanggaran”, “kompromi”, atau “intrusi”, tetapi hampir pasti itulah yang terjadi. Exhibit A adalah pernyataan: “Pada titik ini, kami yakin bahwa tidak ada aktor yang tidak sah yang aktif di sistem kami,” menunjukkan bahwa penyusup jaringan telah aktif sebelumnya. Bukti B: saran agar pelanggan memeriksa log internal untuk akses tidak sah antara 21 Desember dan 4 Januari.

Meretas rantai pasokan

Mungkin juga, beberapa atau semua pelanggaran ini terkait. Internet bergantung pada ekosistem besar jaringan pengiriman konten, layanan otentikasi, pembuat alat pengembangan perangkat lunak, dan perusahaan lain. Pelaku ancaman sering meretas satu perusahaan dan menggunakan data atau akses yang mereka peroleh untuk melanggar pelanggan atau mitra perusahaan tersebut.

Itulah yang terjadi pada pelanggaran Agustus terhadap penyedia keamanan Twilio. Pelaku ancaman yang sama menargetkan 136 perusahaan lain.

Untuk saat ini, orang harus mempersiapkan diri untuk pengungkapan tambahan dari perusahaan yang mereka andalkan. Memeriksa log sistem internal untuk entri yang mencurigakan, mengaktifkan autentikasi multifaktor, dan menambal sistem jaringan selalu merupakan ide bagus, tetapi mengingat peristiwa terkini, tindakan pencegahan tersebut harus dipercepat. Ada baiknya juga memeriksa log untuk setiap kontak dengan alamat IP 54.145.167.181, yang menurut seorang praktisi keamanan terhubung ke pelanggaran CircleCI.

sumber : arstechnica

Pencuri Identitas Melewati Keamanan Experian untuk Melihat Laporan Kredit

by

Pencuri identitas telah mengeksploitasi kelemahan keamanan yang mencolok di situs web Experian, salah satu dari tiga biro pelaporan kredit konsumen. Biasanya, Experian mengharuskan mereka yang mencari salinan laporan kredit mereka berhasil menjawab beberapa pertanyaan pilihan ganda tentang riwayat keuangan mereka. Namun hingga akhir tahun 2022, situs web Experian memungkinkan siapapun untuk mengabaikan pertanyaan ini dan langsung membuka laporan konsumen.

Pada bulan Desember, Jenya Kushnir, peneliti keamanan yang tinggal di Ukraina Menemukan metode yang digunakan oleh pencuri identitas setelah menghabiskan waktu di Telegram yang didedikasikan untuk menguangkan identitas yang disusupi.

Penjahat mengetahui bahwa mereka dapat menipu Experian agar memberi mereka akses ke laporan kredit siapapun hanya dengan mengedit alamat yang ditampilkan di URL browser pada titik tertentu dalam proses verifikasi identitas Experian.

Pada tahun 2021 KrebsOnSecurity mengungkapkan bagaimana pencuri identitas mengeksploitasi lemahnya autentikasi pada halaman pengambilan PIN Experian untuk mencairkan file kredit konsumen dan disampaikan kabar bahwa API Experian mengungkap skor kredit kebanyakan orang Amerika.

Yang Bisa Anda Lakukan
Pertama adalah kesadaran mengenai apa yang dikatakan perusahaan dibelakang konsumen, kemudian dokumentasi dan ajukan perselisihan dengan biro kredit.

Jika Anda belum melakukannya, pertimbangkan menjadikan tahun 2023 sebagai tahun membekukan file kredit di tiga biro pelaporan utama, termasuk Experian, Equifax, dan TransUnion.

Pembekuan dapat dicairkan kapanpun saat ingin mengajukan kredit baru atau pekerjaan baru. Namun harap berhati-hati, biro bisa saja mengarahkan pembekuan ke layanan “kunci kredit”.

Selengkapnya: KrebsonSecurity

Mac Diserang Oleh Malware Windows

by

Dridex adalah malware pencuri informasi yang dikaitkan dengan kelompok penjahat dunia maya Evil Corp yang digunakan untuk mengambil data sensitif dari mesin yang terinfeksi, tetapi juga dapat menjalankan modul berbahaya. Di masa lalu, ini telah digunakan untuk menargetkan PC Windows melalui spreadsheet Microsoft Excel berkemampuan makro yang didistribusikan melalui email phishing.

Dridex, juga disebut Bugat dan Cridex, adalah pencuri informasi yang dikenal mengambil data sensitif dari mesin yang terinfeksi dan mengirim serta menjalankan modul berbahaya.

Cara tetap aman dari malware Mac
Bagaimana agar tetap aman dari malware MacDalam hal ini, malware itu sendiri tidak dapat menginfeksi Mac yang ditargetkan karena terkandung dalam file Windows yang dapat dieksekusi. Namun, jika pengguna mengunduh file Mach-O dan memiliki file mereka sendiri yang ditimpa dengan yang berbahaya, lalu mencoba membagikannya secara online, tanpa disadari mereka dapat menginfeksi keluarga, teman, dan rekan kerja mereka dengan malware.

Meskipun Apple menyertakan pemindai malware bawaan yang disebut Gatekeeper dan perangkat lunak antivirus XProtect miliknya sendiri dengan setiap Mac yang dijualnya, Anda mungkin ingin mempertimbangkan untuk mengambil salah satu solusi perangkat lunak antivirus Mac terbaik untuk perangkat Anda untuk perlindungan tambahan.

selangkapnya : tomsguide