Garminin äskettäinen sähkökatkos paljasti aukkoja sen tietoturvassa ja viestinnässä

Appelsiinit

Viime viikolla Gamin kärsi massiivisesta katkoksesta, joka ei vain estänyt sen moniurheiluurheilijoita lataamasta aktiviteetteja palvelimilleen, vaan myös tuhosi sen puhelinkeskuksen, sähköpostijärjestelmän, online-chatin ja jopa sen flyGarmin-lentopalvelun. Huhujen mukaan katkos johtui kiristysohjelmahyökkäyksestä, mutta Garminilta kesti viisi päivää ymmärtää, että kyseessä oli todellakin kyberhyökkäys.

Kun käyttökatkos alkoi aamulla 23. heinäkuuta, Garmin Connectin käyttäjiä tervehdittiin "Anteeksi, olemme poissa huoltotöiden vuoksi. Palaa pian takaisin." -viesti, kun yrität käyttää palvelua verkossa tai Connect-mobiilisovellusten kautta. Virallinen Garmin-tili twiittasi myös epämääräisen ja periaatteessa hyödyttömän viestin:

Sen jälkeen toinen yleinen "olemme pahoillamme" twiitti sekä hyvin lyhyt FAQ 25. heinäkuuta:

Kaiken kaikkiaan tästä ei ole paljon jaettavaa, ja se on huono paikka olla, jos olet Garmin-käyttäjä, varsinkin koska yritys oli yhtä epämääräinen seuraavat neljä päivää.

Mitä tapahtui?

Ah, se on miljoonan dollarin kysymys, eikö? Totuus on, ettemme ole vieläkään varmoja. Siellä liikkuu paljon spekulaatioita ja huhuja, ja luotettavin (mutta vahvistamaton) lähde on peräisin ZDnetistä. Kirjailija Catalin Cimpanun mukaan Garmin joutui WastedLocker-nimisen kiristysohjelman hyökkäykseen.

Muut lähteet väittävät, että kun hyökkäys havaittiin, Garmin käski kaikkia työntekijöitä – jotka näyttävät työskentelevän etänä COVID-19-pandemian vuoksi – sulkemaan kaikki järjestelmät, mukaan lukien yrityksen palvelimet (siksi puhelinkeskus, sähköposti ja chat-palvelut olivat myös poissa). Tällä pyrittiin estämään hakkereita kaappaamasta palvelimia ja salaamasta lisää tietoja, mikä sulki myös Garminin tehokkaasti pois omasta järjestelmästään.

Raportit jatkoivat pintaan viiden päivän katkoksen aikana, ja monet väittivät, että hyökkäys tuli venäläiseltä hakkeriryhmältä Evil Corpilta 10 miljoonan dollarin vaatimuksella. Mutta se on myös vahvistamaton.

Lopulta 27. heinäkuuta Garmin tunnusti virallisesti katkon syyn ja ilmoitti, että se oli "kyberhyökkäyksen uhri, joka salasi jotkin järjestelmämme 23. heinäkuuta 2020". Yksityiskohdat ovat edelleen paljon niukemmat kuin uskon, että asiakkaat ansaitsevat, mutta se näyttää ainakin jossain määrin tukevan "ransomware" -huhuja.

Garmin odottaa käyttäjien luottavan siihen paljon tietoja – terveydentilaa, sijaintia, yhteystietoja, seurantaa ja paljon muuta. Yrityksen avoimuuden puute saa jokaisen Garminin käyttäjän tuntemaan olonsa levottomaksi suhteen jatkamisesta eteenpäin.

Mitä Garmin teki oikein

Appelsiinit

Vaikka en olekaan tyytyväinen siihen, miten Garmin on käsitellyt tilannetta, on syytä mainita, että jotkut asiat hoidettiin ainakin tavallaan oikein.

Ensinnäkin, heti kun havaittiin, että jokin oli vialla, Garmin sulki järjestelmänsä. Huhun mukaan puhumme kaikista, joilla oli etäyhteys järjestelmään sekä kaikkiin palvelimiin. Tästä syystä synkronointi ei toiminut – ei ollut mitään synkronoitavaa.

Tämä ensimmäinen askel oli ratkaiseva käyttäjätietojen suojaamisen kannalta, sillä Garmin poisti fyysisesti pääsyn kaikille palvelimille, joihin hyökkäys ei vielä ollut vaikuttanut tai kaapattu.

Sen jälkeen ei kuitenkaan ole paljoa kehumista Garminille siitä, miten se käsitteli tilanteen.

Missä Garmin pudotti pallon

Jos yrityksen, jolla on yksityisiä ja/tai henkilötietojasi, pitäisi ymmärtää, se on avoimuus. Jos jokin menee pieleen, kerro siitä käyttäjille. Meillä on oikeus tietää, mitä tiedoillemme tapahtuu – tai jopa mitä tiedoillemme voi tapahtua – tällaisessa tilanteessa.

Toki Garmin lisäsi epämääräisen lausunnon Katkos UKKiin:

Onko katkos vaikuttanut tietoihini?
Garminilla ei ole viitteitä siitä, että tämä katkos olisi vaikuttanut tietoihisi, mukaan lukien toimintaasi, maksuihin tai muihin henkilötietoihisi.

Luulen, että se on jotain, mutta se ei riitä. Katsotaanpa muutamia tapauksia, joissa yritykset menivät yli ja kertoivat käyttäjilleen, mitä tapahtui tapahtuman aikana.

Viime joulukuussa Wyze koki tietomurron testipalvelimella. Tämä oli yrityksen vika, ja se tunnustettiin selvästi. Wyze kertoi selkeästi ja selkeästi, mitä tapahtui, miten se tapahtui ja mitkä tiedot paljastettiin. Koko tilanne oli huono, mutta tapa, jolla Wyze käsitteli sen, oli esimerkillistä.

Toinen esimerkki on viimeaikainen Twitter-hakkerointi. Vaikka koko asiaa voidaan kuvata vain katastrofiksi, Twitter teki hyvää työtä kertoessaan tapahtuneesta ja seuratessaan lisätietoja, kun ne tulivat saataville.

Appelsiinit

Ja siinä Garmin sotki koko asian – on kulunut päiviä siitä, kun palvelu alun perin lakkautettiin. Noin viiden päivän jälkeen palvelu alkoi hiljalleen elpyä. Ja Garminin lausunto on siro sanatanssi, jolla ei ole todellista selitystä sanan "oli kyberhyökkäys" lisäksi.

Helvetti, Garmin ei edes vaivautunut lähettämään asiakkaille sähköpostia katkosta – Twitterin kautta tapahtuneen epämääräisen viestinnän lisäksi yhtiö ei tehnyt mitään varmistaakseen, että asiakkaat tiesivät, mitä oli tapahtumassa. Se on ikävää, koska jos et tiennyt mistä etsiä, olit ulkona kylmässä. Tai vielä pahempaa: mahdollisesti virheellisten spekulaatioiden ja kuulopuheiden lukeminen perusteettomista lähteistä sattumanvaraisilta verkkosivustoilta.

Mitä Garmin aikoo tehdä tälle etenemiselle?

Ei ole sanaakaan siitä, mitä todella tapahtui. Jos kyseessä oli todellakin kiristysohjelmahyökkäys, maksoiko Garmin lunnaat kaapattujen tietojen palauttamisesta? Jos ei, miten tilanne hoidettiin? Mihin toimiin ryhdytään tämän tyyppisten tilanteiden estämiseksi tulevaisuudessa?

Tämä viimeinen kohta on ratkaiseva yksityiskohta. Aina kun yritys joutuu tietoturvaloukkauksen kohteeksi, sen tulee kertoa asiakkailleen, mitä se aikoo tehdä estääkseen tällaisen hyökkäyksen tulevaisuudessa. Mutta Garmin ei sanonut sanaakaan siitä, mitä se aikoo tehdä. Emme voi tietää, muuttaako yritys mitään. Lisää työntekijöiden koulutusta? Turvallisuusneuvonta hyvämaineisesta yrityksestä? Ei mitään? Kuka tietää.

Nämä ovat kaikki asioita, jotka Garminin asiakkaiden kannattaa tietää. Luotamme niihin pitämään tietomme turvassa, ja ansaitsemme tietää kaikki yksityiskohdat, kun jotain tapahtuu.

Mutta hei, he ainakin lisäsivät tämän paskan lehdistötiedotteen loppuun:

Garminin tuotteet on suunniteltu sisältämään elämää ulkopuolelta, ja ne ovat mullistaneet ilmailun, autoteollisuuden, kuntoilun, merenkulun ja ulkoilun elämäntavat. Garmin on omistautunut auttamaan ihmisiä saamaan kaiken irti ajastaan, jonka he viettävät intohimoinsa, ja uskoo, että jokainen päivä on mahdollisuus innovoida ja mahdollisuus voittaa eilinen.

En tiedä, miltä sinusta tuntuu, mutta pitkäaikaisena Garmin-asiakkaana tämä tuntuu minusta iskuilta. Tämä ei ole myyntipuheen aika.

Minulla on idea, Garmin: mitä jos voittaisit eilisen parantamalla turvallisuuttasi ja viestintääsi?

Joten, mitä voit tehdä?

Monet Garmin Connectin osat eivät edelleenkään lataudu kunnolla. Cam

Se on pahin osa tällaisessa skenaariossa – olet melkein voimaton tekemään mitään. Et voi pakottaa Garminia luopumaan tapahtuneesta tai siitä, mitä se aikoo tehdä estääkseen sen toistumisen.

Mutta voit tehdä sen, mitä tällaisissa tilanteissa niin usein suositellaan: äänestää lompakollasi. Siirry uudelle alustalle. Poista tietosi Garminista ja siirry johonkin toivottavasti luotettavampaan tai luotettavampaan. Siellä on monia muita yrityksiä – kuten Wahoo, Polar, Hammerhead ja muita – jotka valmistavat kilpailevia tuotteita Garminin kanssa.

Suurin ongelma tässä on, että yksikään näistä kilpailevista yrityksistä ei ole käsitellyt samanlaista tilannetta, jota voin ajatella. Tämä tarkoittaa, että meillä ei ole aavistustakaan, kumpi itse asiassa hoitaisi sen paremmin.

Aika näyttää varmaan.