یک قاضی فدرال در ایالات متحده، توافق شرکت AT&T برای پرداخت ۱۷۷ میلیون دلار جهت تسویه دعاوی حقوقی مربوط به دو نشت داده (Data Breach) گسترده در سال ۲۰۲۴ را تایید کرد. این توافق شامل دو حادثه مجزا است که منجر به افشای جزئیات شخصی و سوابق تماس میلیون‌ها مشتری فعلی و سابق این شرکت شده و ریسک‌های حریم خصوصی بلندمدتی ایجاد کرده است.
جزئیات دو حادثه نشت داده
این توافقیه شامل دو صندوق پرداخت مجزا است: ۱۴۹ میلیون دلار برای حادثه اول و ۲۸ میلیون دلار برای حادثه دوم که هزینه‌های حقوقی و اداری نیز از همین مبالغ تامین می‌شود. شرکت AT&T این تسویه را بدون پذیرش مسئولیت یا تقصیر انجام داده است.
حادثه اول: افشای اطلاعات هویتی (PII)
اولین مورد در ۳۰ مارس ۲۰۲۴ اعلام شد، زمانی که اطلاعات مشتریان در Dark Web مشاهده شد. طبق ارزیابی‌های اولیه، حدود ۷۳ میلیون کاربر (شامل ۷.۶ میلیون حساب فعال و ۶۵.۴ میلیون حساب غیرفعال) تحت تاثیر قرار گرفتند. داده‌های افشا شده مربوط به سال ۲۰۱۹ یا قبل از آن بود و شامل موارد زیر می‌شد:
- نام، آدرس و ایمیل
- شماره تلفن و تاریخ تولد
- رمز عبور حساب (Passcodes) و شماره‌های صورت‌حساب
- شماره‌های تامین اجتماعی (Social Security numbers)
شرکت AT&T در ابتدا اعلام کرد که شواهدی مبنی بر دسترسی غیرمجاز به سیستم‌های داخلی خود ندارد و در حال بررسی است که آیا این نشت از طریق خود شرکت یا یک تامین‌کننده (Vendor) رخ داده است.
حادثه دوم: نشت از پلتفرم ابری Snowflake
حادثه دوم در ۱۲ جولای ۲۰۲۴ اعلام شد و مربوط به سرقت داده‌ها از فضای کاری AT&T در پلتفرم ابری Snowflake بود. مهاجمان بین ۱۴ تا ۲۵ آوریل ۲۰۲۴ به این محیط دسترسی پیدا کردند که تقریباً تمامی مشتریان تلفن همراه AT&T را تحت تاثیر قرار داد.
این نشت شامل سوابق تماس‌ها و پیامک‌ها (Call Records) بین می تا اکتبر ۲۰۲۲ و بخشی از ژانویه ۲۰۲۳ بود. داده‌های سرقتی شامل شماره تلفن‌ها، تعداد تعاملات، مدت زمان تماس‌ها و شناسه‌های دکل‌های مخابراتی بود. اگرچه محتوای پیام‌ها و تماس‌ها افشا نشد، اما تحلیلگران هشدار دادند که این متادیتاها (Metadata) می‌تواند روابط بین افراد را حتی بدون داشتن محتوای پیام‌ها فاش کند.
پیامدهای حقوقی و توصیه‌ها
بر اساس شرایط تسویه، متقاضیان واجد شرایط بسته به نوع خسارت و نوع داده‌های افشا شده، مبالغی تا سقف ۵,۰۰۰ دلار دریافت خواهند کرد. با این حال، پرداخت‌های نقدی استاندارد برای اکثر کاربران بسیار ناچیز تخمین زده شده است.
کارشناسان امنیتی توصیه می‌کنند مشتریانی که تحت تاثیر این حوادث بوده‌اند، حساب‌های خود را به دقت رصد کرده و در برابر پیام‌های Phishing که از اطلاعات لو رفته برای فریب کاربران استفاده می‌کنند، هوشیار باشند.
