هک یه فروشندهی مجوز شکار، اطلاعات ۳ میلیون تگزاسی رو لو داد
خلاصهٔ کاملتر
ادارهی پارکها و حیاتوحش تگزاس (TPWD) روز ۱۸ ژوئن اعلام کرد که هکرها به فروشندهی ثالثی که مجوزهای شکار و ماهیگیری این ایالت رو میفروشه نفوذ کردن و اطلاعات ۳٬۰۸۷٬۷۲۱ نفر لو رفته؛ شامل شماره گواهینامه رانندگی، شماره پاسپورت و اطلاعات تماس. مقامهای ایالتی این رو بزرگترین نشت اطلاعات دولتی تگزاس تو این سال میدونن. برخلاف رمز عبور یا شماره کارت که میشه تغییرشون داد، این شناسههای دولتی رو نمیشه ریست کرد؛ برای همین خطرش برای قربانیها دائمی و بلندمدته.
به گفتهی TPWD، Texas Cyber Command اول این نفوذ رو کشف کرد و اداره رو ۱۳ می آگاه کرد؛ اطلاعیهی رسمی نشت هم ۱۲ ژوئن منتشر شد و افشای عمومی ۱۸ ژوئن اتفاق افتاد. تحقیقات هنوز مشخص نکرده حمله دقیقاً کِی شروع شده، از چه راهی وارد شدن، یا چقدر طول کشیده. طبق اعلام اداره، شمارهی تأمین اجتماعی و اطلاعات مالی تو این حادثه لو نرفته، ولی گزارش رسانهی The Register از روی مدارک ارسالی به دادستان کل تگزاس میگه اسم و شماره تأمین اجتماعی هم تو فهرست بوده؛ یه تناقض که TPWD تا الان دربارش چیزی نگفته. اسم فروشندهی هکشده هم هنوز اعلام نشده.
شماره گواهینامه و پاسپورت با بقیهی دادههای لورفته فرق دارن، چون شناسههای دائمی دولتی هستن و نمیشه مثل کارت اعتباری لغوشون کرد یا دوباره صادرشون کرد. همین ترکیب اسم، آدرس و شمارهی گواهینامه به مجرمها اجازه میده یه هویت ساختگی قانعکننده بسازن و باهاش حساب اعتباری باز کنن یا اظهارنامهی مالیاتی جعلی بزنن. پژوهشگرهای امنیتی میگن همین اطلاعات، حتی بدون شماره تأمین اجتماعی، برای فیشینگ هدفمند و حملات سیمسواپ کافیه؛ چون خریدارهای مجوز شکار و ماهیگیری معمولاً بزرگسال و ساکن مناطق روستایی با هویت مشخص هستن، هدف جذابی محسوب میشن.
این ماجرا فقط مال تگزاس نیست. شرکت اطلاعات تهدید Brinztech میگه از ماه می، یعنی قبل از افشای رسمی TPWD، یه هکر با نام مستعار Wikkid داشته یه دیتاست ادعایی از مشتریهای TPWD رو تو فرومهای دارکوب میفروخته که مدعی بوده بیش از ۳.۱۹ میلیون رکورد شامل شماره تأمین اجتماعی و تاریخ تولد داره؛ یعنی شاید نشت خیلی زودتر از تاریخ اعلامشده اتفاق افتاده باشه. به گفتهی Brinztech همین هکر به یه هک مشابه تو ادارهی حیاتوحش ویرجینیا هم مرتبطه. چون سامانههای مجوز شکار و ماهیگیری تو خیلی از ایالتها رو شرکتهای محدودی مثل Aspira Connect، PayIt Outdoors و Tyler Technologies اداره میکنن، اگه یه پلتفرم مشترک آسیبپذیر باشه، همین حمله میتونه تو ایالتهای دیگه هم تکرار شده باشه؛ در حالی که هیچ استاندارد امنیتی فدرالی برای این پلتفرمها وجود نداره.
طبق قانون تجارت تگزاس، هر سازمانی که نشت اطلاعات ساکنین این ایالت رو کشف کنه باید ظرف ۶۰ روز به افراد آسیبدیده و در صورت تأثیر روی بیش از ۲۵۰ نفر، ظرف ۳۰ روز به دادستان کل اطلاع بده. با توجه به تاریخ ۱۳ می که TPWD این نشت رو تشخیص داده، مهلت گزارش به دادستان کل درست ۱۲ ژوئن بوده؛ یعنی همون روزی که اطلاعیهی رسمی هم منتشر شده. به نظر میرسه TPWD تعهدات قانونیشو رعایت کرده و تا الان جریمهای هم اعلام نشده.
برای کسایی که مجوز شکار یا ماهیگیری تگزاس داشتن، چند تا اقدام حفاظتی توصیه میشه: تا ۱۴ سپتامبر ۲۰۲۶ تو سرویس مانیتورینگ اعتباری رایگان Kroll ثبتنام کنن، حساب اعتباریشون رو تو هر سه بیوروی Equifax، Experian و TransUnion فریز کنن، و حسابهای دولتیشون تو IRS، سازمان تأمین اجتماعی و ادارهی راهنماییورانندگی رو زیر نظر بگیرن. TPWD هشدار داده هیچ تماس ناخواستهای که مدعی باشه از طرف این اداره یا Kroll هست، ازت اطلاعات یا پول نمیخواد؛ هر تماسی از این جنس کلاهبرداریه. کسایی هم که شماره پاسپورتشون لو رفته، چون پاسپورت رو نمیشه مثل کارت باطل کرد، باید در صورت شک به سوءاستفاده با وزارت خارجهی آمریکا تماس بگیرن.
این الگو مخصوص تگزاس نیست؛ طبق گزارش IBM از سال ۲۰۲۴، ۵۹ درصد سازمانها یه نشت اطلاعات ناشی از یه فروشنده یا شریک ثالث داشتن، و CISA هم بارها این اکوسیستم فروشندههای دولتی رو پرخطر دونسته. TPWD میگه «خیلی از کارکنانمون خودشون شکارچی و ماهیگیرن و تو این حادثه آسیب دیدن» و داره با همون فروشندهی ناشناس روی راهاندازی تدابیر امنیتی جدید کار میکنه. فروش مجوزهای فصل آگوست هم طبق برنامه ادامه پیدا میکنه.
نکات کلیدی:
- هک یه فروشندهی ثالث، اطلاعات ۳٬۰۸۷٬۷۲۱ تگزاسی از جمله شماره گواهینامه و پاسپورت رو لو داد
- برخلاف رمز عبور، این شناسههای دولتی رو نمیشه ریست کرد؛ خطرش دائمیه
- شواهدی از یه کمپین گستردهتر علیه سامانههای مجوز شکار تو ایالتهای دیگه هم وجود داره
- مهلت ثبتنام تو مانیتورینگ اعتباری رایگان Kroll: ۱۴ سپتامبر ۲۰۲۶
- اسم فروشندهی هکشده هنوز اعلام نشده و ابهام دربارهی افشای شماره تأمین اجتماعی باقیه
