Capital One varnade myndigheterna om ett dataintrång som drabbade mer än 100 miljoner kunder, som resulterade i arresteringen av en mjukvaruutvecklare på västkusten
Det massiva dataintrånget på Capital One verkade vara en osofistikerad attack från en enda hackare, väcker frågor om säkerheten i det finansiella systemet och insiderhot mot molnet.
Motivet bakom intrånget och omfattningen av dess påverkan förblev oklart på tisdagen, en dag efter att FBI-agenter grep den 33-åriga före detta webbingenjören Paige Thompson och anklagade henne för att ha stulit data från mer än 100 miljoner kreditkortsansökningar från den 10:e största amerikanska banken.
"Den största överraskningen är attackens amatörkaraktär, " sa John Dickson på säkerhetskonsultföretaget Denim Group.
Dickson sa att det var "absolut omvälvande" att en enskild angripare kunde få tillgång till så mycket data hos en av de största amerikanska finansinstituten.
"Detta kan ha en stor inverkan på förtroendet för banksystemet."
Capital One-hacket verkar skilja sig från större intrång hos kreditövervakningsföretaget Equifax, internetjätten Yahoo och andra större incidenter som har tillskrivits sofistikerade nationalstatliga enheter.
Amerikanska myndigheter sa Thompson, en före detta Amazon Web Services-anställd, greps på grund av ett tips efter att hon skröt med att ha tillgång till data på mjukvarudelningssajten GitHub samt på Twitter och Slack.
Darren Hayes, en professor i datavetenskap från Pace University som specialiserat sig på cybersäkerhet, sa att möjligheten att snabbt kunna arrestera och åtala en angripare i den här typen av fall är ovanlig.
"De flesta av dessa fall begås av hackare i andra länder, " han sa.
De värsta stölderna av personuppgifter efter antal offer
"Goda människor har blivit dåliga"
Hayes sa att incidenten belyser risken för "insider"-attacker när betrodda anställda vänder sig till stöld.
"Det är utmanande att fånga bra människor som blivit dåliga, så många banker letar efter det nu" med konstgjorda intelligensverktyg för att upptäcka anomalier i anställdas beteende, sa Hayes.
Capital One sa att incidenten påverkade cirka 100 miljoner amerikanska kunder och sex miljoner Kanada, med så många som 140, 000 amerikanska och en miljon kanadensiska personnummer äventyras.
Endast en del av datan var krypterad, men Capital One sa att det inte hade någon indikation på att någon av data överfördes eller såldes där det kunde vara skadligt för kunderna.
Fortfarande, Hayes sa att han ser en risk för dataförlust som kan sluta med att äventyra bankkunder.
"Min känsla är att vi kommer att se många grupptalan och företaget kan bli ansvarigt för en hel del skador, " han sa.
Nyheten om Capital One-intrånget kommer efter att den amerikanska kreditövervakningsbyrån Equifax förra veckan gick med på att betala upp till 700 miljoner dollar för att lösa en liknande incident som drabbade företaget 2017, påverkar nästan 150 miljoner kunder.
New York State justitieminister Letitia James sa att hennes kontor öppnade en egen utredning.
"Mitt kontor kommer att inleda en omedelbar utredning av Capital Ones intrång, och kommer att arbeta för att se till att New York-bor som blev offer för detta intrång får hjälp, " sa James.
Capital One sa att en hackare fick obehörig åtkomst till bankjättens kunddata från en felkonfigurerad brandvägg
"Lättare mål"
Dylan Gilbert från konsumentgruppen Public Knowledge sa att nyheten väcker frågor om säkerhetsprocedurer av den stora banken.
"Varför krypterade inte Capital One denna data fullständigt, och varför placerade inte företaget denna stora mängd personlig information bakom en korrekt konfigurerad brandvägg?" sa Gilbert.
"Säkerhet är utmanande och misstag händer, men tyvärr för konsumenterna, företag har inga incitament att engagera sig i bästa praxis för cybersäkerhet när straff kommer i form av ekonomiska påföljder som bara kan räknas in som en kostnad för att göra affärer."
Joseph Hall, chefsteknolog vid Centrum för demokrati &teknik, sa att incidenten belyser risken för att vara för mycket beroende av cloud computing, som lagrar stora mängder data på servrar.
"Det faktum att det finns så mycket mer data i molnet gör det till ett enklare mål, sa Hall.
"Om molntjänster är felkonfigurerade är det relativt lätt för någon som går förbi att dra nytta av det."
Thompsons online-cv visar att hon lämnade Amazon 2016, och det fanns ingen indikation på att AWS-molnet självt var skyldig till intrånget.
"AWS kompromissades inte på något sätt och fungerade som designat, ", sa Amazon i ett uttalande.
"Gärningsmannen fick tillgång genom en felaktig konfiguration av webbapplikationen och inte den underliggande molnbaserade infrastrukturen. Som Capital One tydligt förklarade i sitt avslöjande, den här typen av sårbarhet är inte specifik för molnet."
© 2019 AFP
