۱۷۶ میلیون رکورد AT&T با شماره‌های SSN رمزگشایی‌شده بازگشت

ماجرا چه بود؟

در ۲ فوریه ۲۰۲۶، یک dump جدید از داده‌های AT&T در فروم‌های underground منتشر شد. حجم: حدود ۱۷۶ میلیون رکورد، شامل مشترکین فعلی و سابق.

این داده‌ها در اصل در یک نقض ۲۰۲۴ سرقت شده بودند، اما در آن زمان شماره‌های SSN رمزنگاری بودند. تفاوت dump جدید: SSN ها حالا رمزگشایی شده‌اند و به‌صورت plaintext در dump قرار دارند.

جزئیات فنی

داده‌های متأثر:

• نام، آدرس، DOB، email، شماره‌ی تلفن (فعلی و سابق).
• شماره‌ی SSN (رمزگشایی‌شده) — موضوع اصلی نگرانی.
• billing info و account passwords.

تحلیل متخصصین در مورد چگونگی decryption دو نظریه دارد:

1. کلید لیک شده: مهاجمان از طریق breach بعدی یا insider به کلید encryption دسترسی پیدا کرده‌اند.
2. encryption ضعیف: تیم AT&T یک derived key از داده‌ی به‌نسبت پیش‌بینی‌پذیر استفاده کرده بوده — مثلاً hash شده‌ی DOB، که با brute force قابل breaking است.

AT&T public statement واضحی نداده، اما در پاسخ به regulator ها اعلام کرده encryption «در سطح standard صنعت» بوده.

تأثیر و واکنش

این پرونده دو پیامد دارد:

1. برای مشتریان AT&T: حالا با ریسک identity theft دائمی روبه‌رو هستند. SSN قابل تغییر نیست — leak دائمی.
2. برای صنعت: نشان داد که encryption-at-rest کافی نیست اگر کلیدها به همان سیستم متصل باشند.

FCC و چندین Attorneys General ایالتی تحقیقات را adjusted کردند تا پرسش‌های دقیق درباره‌ی encryption practices AT&T را شامل کنند. شکایت class action که قبلاً وجود داشت، دامنه‌ی خود را گسترش داد.

نکات برای مشتریان AT&T

• credit freeze روی هر سه bureau — fundamental.
• IRS Identity Protection PIN — درخواست از IRS برای جلوگیری از tax fraud.
• monitoring credit reports هفتگی (نه ماهانه) برای آینده‌ی نزدیک.
• در صورت call از کسی که خود را AT&T معرفی می‌کند، تماس مستقیم با شماره‌ی رسمی برای تأیید.
• اگر امکان دارد، carrier را change کنید — این یک message قوی به industry است.

نکات برای سازمان‌ها

• کلید encryption باید جدا از داده‌ی encrypted باشد — HSM (Hardware Security Module) یا KMS اختصاصی.
• key rotation منظم — حتی اگر کلید leak شد، فقط بخشی از داده‌ها در معرض خطر است.
• encryption client-side: اگر ممکن است، داده‌ها قبل از رسیدن به database باید encrypted باشد، با کلیدهای کنترل‌شده توسط مشتری.
• bezig minimum data: آیا واقعاً نیاز است که SSN در database «ready to use» باشد؟ یا می‌تواند فقط hash آن نگه‌داری شود؟
• rotation تابع غیرتکنیکی: SSN قابل rotation نیست — این یک محدودیت inherent است که نشان می‌دهد چرا data minimization حیاتی است.

منابع

• BleepingComputer