Jak bezpieczny jest Twój operator telefonii komórkowej?

Jest rok 2016 i masz telefon komórkowy. Prawdopodobnie płacisz również rachunek za telefon komórkowy online lub za pośrednictwem aplikacji. Firmy telekomunikacyjne zajmują się komunikacją na całym świecie, a częścią tego jest zabezpieczenie tej komunikacji, aby zagwarantować prywatność i integralność swoim klientom. W UpGuard przeskanowaliśmy dziesięć dużych korporacji telekomunikacyjnych za pomocą naszego zewnętrznego narzędzia do oceny ryzyka, aby zobaczyć, jak mierzy się ich bezpieczeństwo sieci i poczty e-mail. Są to firmy o dużych pieniądzach z wieloma ruchomymi elementami, ale skupiamy się na podstawowej obecności w sieci, którą dana osoba mogłaby rozważyć, na przykład www.att.com. Okazuje się, że są dobre i złe wieści... w zależności od operatora, z którego korzystasz.

Średni wynik dla dziesięciu przeskanowanych przez nas firm wyniósł 533 na 950. Mierzymy takie rzeczy, jak siła SSL, mechanizmy weryfikacji wiadomości e-mail, SPF i DMARC, historia naruszeń i oceny CEO/firmy, aby określić ogólną odporność zewnętrzną organizacji i wyrazić to w jednym wyniku zwanym CSTAR, podobnie jak w przypadku ratingu kredytowego. W przypadku wielu firm z niskimi wynikami, takich jak Verizon, NTT i CenturyLink, brak SSL w całej witrynie sprawił, że ich główna obecność w sieci jest otwarta na nieszyfrowany ruch. Wyższe wyniki, takie jak top of the pack Sprint, AT&T lub australijska Telstra, wynikają z połączenia różnych praktyk bezpieczeństwa, które szczegółowo omówimy z każdą firmą. Kliknij dowolny obraz CSTAR, aby samodzielnie uruchomić skanowanie na żywo w witrynie.

Podział witryny

AT&T - www.att.com - 689 z 950

AT&T jest największą korporacją telekomunikacyjną na świecie pod względem przychodów i zatrudnia prawie 250 000 osób na całym świecie. Jego wynik 689 mieści się w średnim zakresie, choć znajduje się na wysokim końcu zeskanowanej przez nas grupy. Po pierwsze i najważniejsze, AT&T korzysta z SSL obejmującego całą witrynę, utrzymując dość wysoki wynik witryny. AT&T nie zabezpieczyło jeszcze swoich plików cookie i nie ma włączonego SPF dla poczty e-mail, co jest wysoce zalecane. Wreszcie, powinien umożliwić DNSSEC, aby zapewnić ochronę przed podszywaniem się DNS. To powiedziawszy, AT&T jest stosunkowo bezpieczne jak na firmę telekomunikacyjną, a 73% aprobata ich prezesa, choć nie jest rewelacyjna, powstrzymuje biznesową część wyniku przed spadkiem. AT&T oczywiście doświadczyło naruszeń w przeszłości, w szczególności w 2015 roku, kiedy pracownicy niektórych centrów obsługi telefonicznej AT&T uzyskali dostęp do informacji o klientach bez autoryzacji i sprzedali je stronie trzeciej, narażając na szwank około 280 000 rekordów i kosztując AT&T 25 milionów dolarów za naruszenie prywatności. Ochrona przed wewnętrznymi naruszeniami to temat na inny artykuł, ale zewnętrzne bezpieczeństwo AT&T nie było winne temu.

Podsumowanie: AT&T ma większość podstawowych środków bezpieczeństwa, ale wciąż jest miejsce na poprawę.

Sprint - www.sprint.com - 731 z 950

Sprint jest czwartą co do wielkości siecią bezprzewodową w Ameryce i ma najlepszy wynik ze wszystkich przeskanowanych przez nas witryn telekomunikacyjnych. Z wynikiem 731 na 950 możliwych, Sprint był jedynym dostawcą, który mieścił się w dobrym zakresie wyników. Podobnie jak w przypadku AT&T, wszystko zaczyna się od dobrej, obejmującej całą witrynę konfiguracji SSL. Jednak w przeciwieństwie do AT&T, Sprint ma skonfigurowany SPF dla swojej domeny e-mail, co pomaga chronić przed fałszywymi wiadomościami e-mail. Historia naruszeń w firmie Sprint jest stosunkowo łagodna, a incydent naruszenia poufności miał miejsce w 2010 roku.

Podsumowanie: Sprint ma najlepszy ogólny wynik i jedną z najlepszych historii bezpieczeństwa spośród badanych przez nas firm. Podobnie jak AT&T, może jeszcze bardziej zaostrzyć sytuację, zabezpieczając pliki cookie i wykorzystując DNSSEC.

Verizon - www.verizon.com - 386 z 950

Verizon to kolejny duży gracz w branży telekomunikacyjnej, świadczący usługi telefonii bezprzewodowej i szerokopasmowego dostępu do Internetu milionom ludzi. Ponadto Verizon ma swoje ręce w bezpieczeństwie, wydając coroczny raport o naruszeniu danych Verizon (DBIR). Jak na ironię, Verizon ma nasz drugi najniższy wynik na poziomie 386, co plasuje ich prosto w kategorii ostrzeżeń. Ważne jest, aby zwrócić uwagę na rozkład wyniku. Wynik komunikacji Verizon (bezpieczeństwo poczty e-mail i DNS) jest dość wysoki i wynosi 922, ale wynik witryny to żałosne 282. Jak do tego doszło? Proste: Verizon nie ma SSL dla całej witryny. Oznacza to, że strony mogą być ładowane bez szyfrowania SSL, a jeśli te strony zawierają formularze, wprowadzone na nich dane (nazwy użytkowników, hasła, numery kart kredytowych - co tylko chcesz) są przesyłane w postaci zwykłego tekstu przez Internet. Przychody Verizon w 2015 roku wyniosły około 130 miliardów dolarów, więcej niż PKB wielu krajów. Wdrożenie SSL w całej witrynie i innych środków bezpieczeństwa na jej głównej stronie internetowej wydaje się skromną inwestycją w stosunku do korzyści, jakie zapewnia. Nie trzeba dodawać, że jest to oczywiste, biorąc pod uwagę potencjalnie ogromne naruszenie danych, które Verizon ujawnił na początku tego roku, po tym, jak półtora miliona rekordów klientów zostało wystawionych na sprzedaż w ciemnej sieci. W przeciwieństwie do wspomnianych przez nas naruszeń AT&T i Sprint, to nastąpiło w wyniku luki w witrynie Verizon.

Podsumowanie: Gdyby Verizon naprawił swój SSL, jego wynik byłby prawdopodobnie wyższy niż Sprint. Dopóki jednak tak się nie stanie, jeśli korzystasz z witryny Verizon, sprawdź, czy w przeglądarce nie ma kłódki, aby upewnić się, że połączenie jest szyfrowane przed wysłaniem lub otrzymaniem poufnych danych.

T-Mobile (Deutsche Telekom) - www.t-mobile.com - 522 z 950

T-Mobile to angielska nazwa Deutsche Telekom, niemieckiej firmy telekomunikacyjnej działającej w Bonn. Chociaż znaczna część jej działalności ma charakter europejski, posiada również trzecią co do wielkości sieć bezprzewodową w Ameryce, z ponad 65 milionami klientów. T-Mobile osiągnął średni wynik 522, głównie ze względu na fakt, że również nie ma SSL w całej witrynie. SSL to najbardziej podstawowa forma bezpieczeństwa w Internecie. To właśnie ona szyfruje dane między klientem a serwerem, czyniąc je niedostępnymi dla osób trzecich. Jest dość łatwy i tani do wdrożenia, a korzyści, które zapewnia, jest wiele. Może to zabrzmieć znajomo, ale T-Mobile doznał naruszenia danych pod koniec 2015 roku w ramach włamania do Experian, które dotknęło ponad 15 milionów klientów. Był to przykład naruszenia bezpieczeństwa przez stronę trzecią, w którym bezpieczeństwo zaufanego partnera lub dostawcy zostaje naruszone, co prowadzi do naruszenia poufnych danych należących do głównej firmy.

Podsumowanie: Podobnie jak Verizon, T-Mobile musi jak najszybciej uporządkować swoją sytuację z SSL. Wymaganie szyfrowanych połączeń powinno być standardową praktyką we wszystkich dziedzinach. Do tego czasu na klientach spoczywa obowiązek zachowania ostrożności podczas przekazywania ważnych informacji.

CenturyLink - www.centurylink.com - 347 z 950

Centurylink to amerykańska firma zajmująca się telefonią stacjonarną i szerokopasmowym dostępem do Internetu, trzecia co do wielkości za AT&T i Verizon. Uzyskała również najniższy wynik spośród przeskanowanych przez nas firm, z wynikiem 347. Druga strona, centurylink.net, była mniej więcej taka sama, zdobywając 482 punkty. Brak SSL i SPF obniża wyniki strony internetowej i komunikacji CenturyLink, podczas gdy 60% aprobata dyrektora generalnego i słaba ogólna ocena firmy przez pracowników również obniżają wynik biznesowy. Powodem, dla którego uwzględniamy te oceny jako część zewnętrznego profilu zabezpieczeń firmy, jest to, że im bardziej pracownicy są niezadowoleni ze swojej firmy, tym większe jest prawdopodobieństwo wewnętrznego naruszenia.

Podsumowanie: Nie wygląda to dobrze dla CenturyLink, który ma problemy w każdej kategorii. Musi ponownie ocenić swoją odporność zewnętrzną i zastosować wspólne mechanizmy bezpieczeństwa, aby ulepszyć swoją witrynę.

Frontier - www.frontier.com - 587 z 950

Podobnie jak CenturyLink, Frontier działa na rynku usług szerokopasmowych/stacjonarnych. W przeciwieństwie do CenturyLink, jego wynik jest średni i wynosi 587, z silnymi sekcjami komunikacyjnymi i biznesowymi. Interesujące w wyniku Frontier jest to, że chociaż ma włączony SSL w całej witrynie, nie ma prawie żadnych innych środków bezpieczeństwa, takich jak zabezpieczanie plików cookie lub ukrywanie nagłówków. Jednak przynajmniej komunikacja na stronie internetowej Frontier jest poprawnie szyfrowana i używa SPF do poczty e-mail. Chociaż operatorzy telefonii stacjonarnej, tacy jak Frontier i CenturyLink, mogą wydawać się mniejszym zagrożeniem dla bezpieczeństwa niż operatorzy sieci bezprzewodowych, w rzeczywistości wszyscy mają poufne informacje o klientach i muszą o nie dbać.

Podsumowanie: Frontier jest w środku stawki, z przyzwoitymi zabezpieczeniami i dużą przestrzenią do rozwoju, ale ma SSL, więc wiesz, że Twoje transmisje są szyfrowane.

Vodafone - www.vodafone.co.uk - 527 z 950

Przyjrzeliśmy się również czterem dostawcom usług telekomunikacyjnych spoza USA, zaczynając od angielskiego Vodafone. Vodafone jest drugim co do wielkości operatorem telefonii komórkowej na świecie po China Mobile i zatrudnia ponad 100 000 pracowników na całym świecie. Podczas gdy jego ogólny wynik wynosił średnio 527, część jego wyniku na stronie internetowej była niebezpiecznie niska i wyniosła 296. Jeśli zgadłeś, że Vodafone nie ma SSL w całej witrynie, dobrze dla Ciebie, ponieważ brak SSL drogo ich kosztował. Istnieje stare przekonanie, że tylko niektóre strony lub formularze muszą być szyfrowane, a reszta witryny powinna być obsługiwana w postaci niezaszyfrowanej. Problem z tym sposobem myślenia polega na tym, że przeskakiwanie między połączeniami SSL i non-SSL nakłada ciężar prawidłowego zarządzania SSL na dział IT. Za każdym razem, gdy pojawia się nowa strona, ktoś musi upewnić się, że znajduje się ona w "sekcji SSL" witryny, jeśli zawiera poufne informacje. Biorąc pod uwagę sposób, w jaki konfiguracje się zmieniają, a systemy i ludzie są wymieniani w czasie, łatwo jest dostrzec, w jaki sposób może dojść do przeoczenia. Wiele z nich to robi, a niektóre z nich prowadzą do przechwycenia danych uwierzytelniających, danych osobowych (PII) lub informacji o karcie kredytowej przez złośliwe strony trzecie. Vodafone trafił na pierwsze strony gazet pod koniec 2015 roku, kiedy wyciek danych naruszył dane finansowe ponad 2000 klientów.

Podsumowanie: Brak SSL w całej witrynie oznacza duże wgniecenie w wyniku. Silne bezpieczeństwo komunikacji i profil biznesowy Vodafone pomagają utrzymać ogólny wynik na średnim poziomie, ale jego strona internetowa wymaga trochę uwagi.

Telstra - www.telstra.com.au - 680 z 950

Telstra jest największą australijską firmą telekomunikacyjną, świadczącą usługi w wielu sferach, w tym telefonii stacjonarnej, komórkowej, szerokopasmowej i telewizyjnej. Z trzecim najwyższym wynikiem, nieco za AT&T, Telstra ma kilka świetnych środków bezpieczeństwa. Wynik witryny wynoszący 826 plasuje ją znacznie powyżej większości innych firm, które przeskanowaliśmy w tej sekcji. Implementacja SSL firmy Telstra jest dokładna i dobrze skonfigurowana. To, co obniża jego wynik, to brak SPF i DMARC dla ich poczty e-mail. Istnieją mechanizmy takie jak SPF, DKIM i DMARC, które mają na celu zwalczanie prób spoofingu, niezależnie od tego, czy są to ataki phishingowe (spear-) phishingowe, czy dostarczanie złośliwego oprogramowania. Sprawdzają, czy poczta pochodzi od osoby, od której twierdzi, że pochodzi. Brak tych środków znacznie ułatwia wykorzystywanie pracowników i klientów za pośrednictwem poczty elektronicznej.

Podsumowanie: Strona internetowa Telstra jest prawie idealna, ale potrzebuje pewnych mechanizmów bezpieczeństwa wokół swojej domeny e-mail, aby pomóc chronić przed atakami z tego wektora. Ogólnie rzecz biorąc, Telstra jest powyżej średniej, mimo że ma mniejsze przychody niż wielu jej konkurentów z niższymi wynikami.

China Mobile - www.chinamobileltd.com - 475 z 950

China Mobile jest największym dostawcą usług bezprzewodowych na świecie. Jest własnością państwa, które przynajmniej odcina pośrednika między prywatną komunikacją a krajową inwigilacją państwową. Przychody China Mobile są ogromne, baza klientów jest ogromna, a bezpieczeństwo zewnętrzne jest bardzo słabe. Jego wynik 475 plasuje go w kategorii ostrzeżeń, a tylko jego wynik biznesowy w ogóle go utrzymuje. Nie ma SSL, nie ma SPF, nie ma DMARC, nie ma DNSSEC. Ich strona internetowa i wyniki komunikacji są poważnie dotknięte brakiem tych podstawowych protokołów. China Mobile prowadzi również portal klienta pod adresem hk.chinamobile.com, ale ta strona została oceniona jeszcze niżej, bo na 389. W niektórych częściach witryny występuje protokół SSL, ale elementy inne niż SSL na stronie i zwykłych stronach http sprawiają, że witryna jest mieszanką zaszyfrowanych i niezaszyfrowanych elementów, co zawsze ostatecznie kończy się lukami w zabezpieczeniach.

Podsumowanie: Słabe zabezpieczenia dookoła, w wielu witrynach. China Mobile powinna przemyśleć swoją politykę SSL i wdrożyć bezpieczne protokoły poczty e-mail.

NTT (Nippon Telegraph & Phone) - www.ntt.co.jp - 390 z 950

Japońska firma NTT jest trzecim co do wielkości dostawcą usług bezprzewodowych na świecie i zatrudnia blisko 250 000 osób. Podobnie jak China Mobile, jego zewnętrzny profil bezpieczeństwa jest dość słaby, a jego wynik komunikacyjny osiąga niebezpieczny poziom 226, przy prawie całkowitym braku mechanizmów weryfikacji. Wynik witryny NTT odzwierciedla brak SSL i odpowiedniej konfiguracji ochrony, co jest niebezpieczne, ponieważ NTT obsługuje portal klienta bezpośrednio przez tę domenę. Nie wróży to dobrze, że giganci komunikacyjni, tacy jak NTT i China Mobile, nie traktują cyberbezpieczeństwa jako priorytetu. Charakter ich działalności stawia ich w awangardzie ochrony informacji, a jeśli nie są przygotowani, to ich klienci zapłacą za to cenę.

Konkluzja: NTT musi ponownie ocenić swoją strategię cyberbezpieczeństwa i podjąć kroki w celu poprawy odporności zewnętrznej.

Streszczenie

Biorąc pod uwagę ilość informacji, z którymi mają do czynienia korporacje telekomunikacyjne, bezpieczeństwo powinno być jednym z ich głównych priorytetów. Jednak dane pokazują stosunkowo luźne podejście do bezpieczeństwa ze strony większości dostawców, a niektórzy z nich w ogóle nie zapewniają odpowiedniej ochrony. Nic dziwnego, że liczba naruszeń danych rośnie, wraz ze wzrostem wyrafinowanych cyberataków i brakiem równej reakcji ze strony ich celów. Przynajmniej należy oczekiwać, że firmy zapewnią swoim klientom SSL w całej witrynie, a jeśli tego nie zrobią, dlaczego nie? Nawyk bezpieczeństwa musi być praktykowany, aby pozostać skutecznym. Zmienią się ataki, a wraz z nimi niezbędna obrona. Prowadzenie biznesu w erze Internetu oznacza radzenie sobie z zagrożeniami związanymi z erą Internetu. Brak ochrony przed tymi zagrożeniami naraża zarówno firmy, jak i klientów na kosztowne, kłopotliwe naruszenia danych.

Przeskanuj dowolną witrynę za pomocą zewnętrznego narzędzia do oceny ryzyka UpGuard, aby zobaczyć, jak wypada jej bezpieczeństwo.