Rapport: Freedom Mobiles dataöverträdelse utsätter upp till 1,5 miljoner kunder

vpnMentors forskningsteam upptäckte nyligen att Freedom Mobile gick igenom en enorm dataöverträdelse.

vpnMentors forskare, ledda av hacktivisterna Noam Rotem och Ran Locar, upptäckte en dataöverträdelse som läckte upp till 1,5 miljoner aktiva Freedom Mobile-användares personliga data. Freedom Mobile (tidigare Wind Mobile) är Kanadas fjärde största leverantör av trådlös kommunikation.

Databasen var helt oskyddad och okrypterad. Datan inkluderar kreditkorts- och CVV-nummer.

Tidslinje för dataöverträdelsens upptäckt och reaktioner

• 17 april: Vi upptäckte ett läckage i Freedom Mobiles databas.
• 18 april: Vi mejlade Freedom Mobile för att informera företaget om en allvarlig dataöverträdelse. Vi får inget svar
• 23 april: Vi försöker kontakta Freedom Mobile igen.
• 24 april: Freedom Mobile svarar slutligen på meddelanden.
• 24 april: Freedom Mobile stänger dataöverträdelsen.

Exempel på poster i databasen

Likt Gearbests oskyddade Elasticsearch-databas var Freedom Mobiles databas helt okrypterad. Vi hade full tillgång till över 5 miljoner poster för upp till 1,5 miljoner användare.

Detta verkar reflektera allt som hänt i kundernas konton, vilket gör det möjligt att det finns flera poster per kund.

De personliga data som exponerats inkluderar:

• e-postadress
• hem- och mobilnummer
• hemadresser
• födelsedatum
• kundtyp
• IP-adress kopplad till betalningsmetoden
• okrypterade kreditkorts- och CVV-nummer
• kreditvärderingssvar från Equifax och andra företag, med skälen för godkännande/avslag

Vi kunde också få tillgång till kontonummer, abonnemangsdatum, faktureringsdatum och kundtjänstsposter, inklusive deras platser.

Vissa poster inkluderar också data från en av Equifax databaser. Detta innehöll information om kreditvärderingspoäng, kreditklass och kreditkortskonton.

Dataöverträdelsens effekter

Ironiskt nog är Freedom Mobile stolta över att erbjuda en hög nivå av integritet. Det är till och med i deras Twitter-biografi:

Men det är tydligt att de delade sina kunders data.

Efter att ha upptäckt dataöverträdelsen varnade vi snabbt Freedom Mobile om problemet. När de inte svarade omedelbart frågade vi kontakter på en annan säkerhetssajt för att hjälpa oss att nå dem, i fall att våra mejl gick till skräpposten. Då de så småningom svarade så vet vi att detta inte är fallet.

Av etiska skäl laddade vi inte ner databasen, så vi vet inte exakt hur många personer som påverkades.

Vi kunde dock komma åt minst 5 miljoner oskyddade poster. Freedom Mobile har minst 1,5 miljoner abonnenter, och moderbolaget ägs av Shaw Communications, som har mer än 3,2 miljoner kunder över hela Kanada. Detta kan vara den största överträdelsen av ett kanadensiskt företag någonsin.

Det är sällsynt att hitta en läcka med både kreditkortsuppgifter och CVV-nummer tillsammans, särskilt i en så stor dataöverträdelse.

Eftersom denna dataläcka innehåller okrypterade kreditkortsuppgifter är Freedom Mobile potentiellt i strid med PCI:s (Payment Card Industry) regler. Detta kan leda till allvarliga konsekvenser för företaget och deras användare.

Faran med hackning

En databas full av kreditkortsuppgifter, födelsedatum, fullständiga namn, adresser och telefonnummer gör också kreditkortbedrägerier och identitetsstöld en möjlighet. Detta kan kosta användare - och deras banker och försäkringsbolag - hundratusentals dollar.

En okrypterad databas med personlig information är en värdefull resurs för hackare. Tillgång till adresser, e-postadresser, telefonnummer och kreditdata kan hjälpa skadliga aktörer att genomföra phishing-attacker.

Kreditinformationen gör också riktade ransomware-attacker till en verklighet, då dåliga aktörer vet var de kan kräva höga priser.

Även de mest försiktiga användarna kan inte försvara sig mot ett företag som sparar sin data på en osäker databas. Det bästa sättet vi kom på är att använda ett tillfälligt kort, konto eller CVV-nummer kopplat till ditt konto. Se vår fullständiga guide för mer information.

Om oss och tidigare rapporter:

vpnMentor är världens största VPN-recensionshemsida. Vårt forskningslabb är en gratis tjänst som strävar efter att hjälpa internetgemenskapen försvara sig mot cyberhot och utbilda organisationer för att skydda sina användares data.

Vi upptäckte nyligen en stor dataöverträdelse som påverkar 80 miljoner amerikanska hushåll. Vi avslöjade också att Gearbest upplevde en enorm dataöverträdelse. Du kan också vilja läsa vår VPN-läckagerapport och dataintegritetsstatistikrapport.

Var god och dela denna rapport på Facebook eller tweeta den.