Η αμερικανική εταιρεία Marquis, που παρέχει υπηρεσίες marketing και compliance σε τράπεζες και πιστωτικές ενώσεις, έπεσε θύμα ransomware τον Αύγουστο του 2024. Τα δεδομένα τουλάχιστον 400.000 πελατών — ονόματα, αριθμοί λογαριασμών, κάρτες, ακόμα και αριθμοί κοινωνικής ασφάλισης — βρέθηκαν στα χέρια των επιτιθέμενων.
Όταν μια εταιρεία που δεν ξέρεις ότι υπάρχει παραβιάζεται, μπορεί να σημαίνει ότι τα δικά σου δεδομένα έχουν ήδη φύγει. Αυτό ακριβώς συνέβη με την Marquis, μια εταιρεία με έδρα το Τέξας που λειτουργεί στο παρασκήνιο του αμερικανικού τραπεζικού συστήματος — συγκεντρώνει και οπτικοποιεί δεδομένα πελατών για πάνω από 700 τράπεζες και πιστωτικές ενώσεις. Τον Αύγουστο του 2024, χάκερς εκμεταλλεύτηκαν μια ευπάθεια στο firewall SonicWall της εταιρείας και απέκτησαν πρόσβαση σε ένα από τα πιο ευαίσθητα αρχεία που μπορεί να φανταστεί κανείς: ονόματα, ημερομηνίες γέννησης, διευθύνσεις, αριθμούς τραπεζικών λογαριασμών, χρεωστικές και πιστωτικές κάρτες, και αριθμούς κοινωνικής ασφάλισης.
Η Marquis άρχισε να κοινοποιεί την παραβίαση σε πολλές αμερικανικές πολιτείες, όπως απαιτεί ο νόμος. Μέχρι στιγμής, τουλάχιστον 400.000 άτομα επιβεβαιώνεται ότι επηρεάστηκαν — με το Τέξας να συγκεντρώνει τη μερίδα του λέοντος, περίπου 354.000 κατοίκους. Στο Maine, η πλειονότητα των θυμάτων ήταν μέλη της Maine State Credit Union. Ο αριθμός αναμένεται να αυξηθεί καθώς περισσότερες πολιτείες λαμβάνουν τις σχετικές γνωστοποιήσεις.
Η επίθεση αποδίδεται σε ransomware, δηλαδή κακόβουλο λογισμικό που κρυπτογραφεί τα δεδομένα ενός οργανισμού και απαιτεί λύτρα για την αποκατάστασή τους. Η ευπάθεια που εκμεταλλεύτηκαν οι επιτιθέμενοι εντοπίστηκε στο SonicWall firewall της Marquis — ένα σύστημα ασφαλείας που, ειρωνικά, υπάρχει για να αποτρέπει ακριβώς τέτοιες εισβολές. Η Marquis δεν κατονόμασε τους υπεύθυνους, αλλά σύμφωνα με πληροφορίες, η ομάδα Akira βρισκόταν εκείνη την περίοδο πίσω από μαζικές επιθέσεις σε πελάτες του SonicWall.
Αυτή η υπόθεση αναδεικνύει ένα από τα πιο ανησυχητικά χαρακτηριστικά της σύγχρονης ψηφιακής οικονομίας: η αλυσίδα εμπιστοσύνης επεκτείνεται πολύ πέρα από την τράπεζα ή την υπηρεσία που χρησιμοποιεί ο καταναλωτής. Οι fintech εταιρείες που λειτουργούν ως ενδιάμεσοι — συλλέγοντας, επεξεργαζόμενοι και αποθηκεύοντας δεδομένα εκ μέρους χρηματοπιστωτικών ιδρυμάτων — αποτελούν ολοένα και πιο ελκυστικούς στόχους. Ένα μόνο σημείο αποτυχίας μπορεί να εκθέσει εκατοντάδες οργανισμούς και εκατομμύρια ανθρώπους ταυτόχρονα.
Η Marquis δεν απάντησε σε ερωτήματα σχετικά με το αν πλήρωσε λύτρα ή αν επικοινώνησαν μαζί της οι επιτιθέμενοι. Αυτή η σιωπή, σε συνδυασμό με τον αριθμό των θυμάτων που συνεχίζει να αυξάνεται, θέτει ένα ερώτημα που δεν αφορά μόνο μια εταιρεία: πόσο καλά γνωρίζουμε ποιος έχει πρόσβαση στα δεδομένα μας, και τι γίνεται όταν αυτός ο κάποιος δεν είναι αρκετά προστατευμένος;
