播客：约会应用隐私和NASA网络攻击

除了本周常规的安全漏洞和补丁之外，还有一系列故事涉及从NASA到Tinder等不同主题。 Threatpost团队打破了本周最有趣的故事，包括：

• 由Threatpost编辑Tara Seals主持的勒索软件网络研讨会 ，其中包括来自Recorded Future，Malwarebytes和Moss Adams的专家。 该网络研讨会着眼于最高的勒索软件趋势和威胁，并概述了企业如何保护自己。
• 一个佛罗里达州的城市在三个星期前遭到勒索软件攻击，本周投票支付黑客支付60万美元的赎金。
• 一个Threatpost功能，查看Match.com和Tinder等顶级约会应用程序，发现这些服务正在收集和共享一系列令人不安的数据 ，从聊天消息到性取向。
• 猖獗的安全行动笨拙让网络攻击者渗透到 NASA的JPL网络中，该网络载有人类任务数据。

如需直接下载， 请点击此处 Threatpost Podcast的新用户？ 今天订阅 。

以下是Threatpost新闻报道播客的轻微编辑记录。

Lindsey O'Donnell ：欢迎来到截至6月21日的一周的Threatpost News Wrap。这是Lindsey O'Donnell，我今天在这里与Tara海豹和Tom Spring打破了本周的最高安全新闻。 塔拉和汤姆，这是一个忙碌的一周。 你们最近还好吗？

塔拉海豹 ：好。

汤姆斯普林 ：很好。

Lindsey ：我的意思是，我们已经拥有从勒索软件到NASA以及我们本周写过的约会应用程序的所有内容。 而且不只是为你写故事，塔拉，对吗？ 你周三在勒索软件上举办了一场精彩的网络研讨会，我能够收听部分内容，这是怎么回事？

塔拉 ：哦，它真的很顺利。 我真的很兴奋。 我们有来自Recorded Future，Malwarebytes和Moss Adams的专家，这是一家位于西海岸的咨询公司。 所有这三个人都只是给了杀手级的演示，只是打破了企业勒索软件的状态，要明确，不是为了消费者，而是各种有趣的小花絮。 太棒了。

汤姆 ：我对勒索软件提出了一个亟待解决的问题，这是我的预感，这就是为什么我们看到勒索软件攻击数量达到顶峰的原因。 您是否知道，加密货币表现良好以及勒索软件攻击之间存在直接关联吗？ 我只是想知道你们是否介绍了我们为什么会看到这个，以及现在可能在这个空间内发生什么？

塔拉 ：嗯，我的小组成员所说的是，它与加密货币价值并没有多大关系，更像是与加密矿工相关的事情，但对于勒索软件而言，这一运动已远离攻击普通消费者 - 这几乎已经下降离开地图 - 但他们正在追寻他们认为脆弱的东西，所以那种大鱼。 因此，许多市政当局，医院，传统上都存在安全方面的遗留问题，或者有传统的安全机制。 而且因此而臭名昭着。 因此，这几乎是一次有针对性的鱼叉式网络钓鱼探险，在那里他们会对他们所知道的，可能没有，你知道的，适当的保护措施，也可能支付赎金。 所以我们看到的是更多的智能攻击而不是拉扯攻击。

汤姆 ：我越来越多地听到那些正在支付赎金的公司，不管是否会让他们背上更大的靶心，好吧，他们支付赎金。 所以让我们去追他们。

塔拉 ：嗯，有趣的是，林赛，你真的读过那个支付赎金的佛罗里达小镇的故事，你跟几个人谈过这个，对吧？

林赛 ：这绝对是一个有趣的问题。 因为我觉得一般的建议显然不是要支付赎金。 首先，你甚至不知道攻击者是否会忠实于他们的言论并解锁系统或者只是挣钱。 然后人们也说它会促进其他攻击者，并激励他们发起自己的勒索软件攻击，比如，'哦，他们实际上得到了钱。 所以，你知道，做同样的事情是个好主意。 但就我本周写的这个城市来说，这是一个佛罗里达城市，三周前遭到勒索软件攻击：所以本周，市议会投票支付了攻击者的赎金，即65比特币，价值约600,000美元，这是一笔相当大的收益。

塔拉 ：特别是对于一个小镇。 我的意思是，这不是我们在这里谈论迈阿密。 对？ 我的意思是，这是一个非常小的退休社区。

林赛 ：对。 是啊。 所以，我知道，我和几位专家交谈过。 你知道，他们说，是的，这是一般的建议，不支付赎金。 但是我与Carbon Black谈过的一位专家实际上有一个非常好的观点，那就是不付钱或不付钱的答案真的不像我们想象的那样黑白分明。 例如，您有一个医疗保健组织无法访问当前实际照顾患者所必需的患者数据，这会让生命处于危险之中，我认为他们可能更倾向于支付赎金和支付赎金。尝试，您知道，可以更快地访问数据。 这是否有效是一个不同的问题。 但这种情况肯定是不同的因素。 而对于佛罗里达州的里维埃拉海滩而言，勒索软件攻击影响了他们的水务，政府电子邮件和电话线无法控制的系统，911电话无法进入计算机记录。 所以我的意思是，有很多非常关键的进程受到攻击的影响。

塔拉 ：是的，嗯，这很有意思，因为，你知道，当你谈到支付或者不付钱的时候，你和我上周曾就这个问题做过一个特别的工作，而你是对的，你是对的，我的意思是，有时课堂修复实际上不仅仅是赎金，你知道，很多情况下，人们的手都是捆绑的，他们并没有真正有很多好的选择。 实际上，最重要的是备份，或者确保你拥有所有东西，在某个地方复制，这样你就可以恢复你的系统。

林赛 ：如果你正在考虑支付与不支付的问题，我觉得真正的问题是，你怎么防止这种情况发生，而不是，你知道，有点争论如何处理在它发生之后，它必须在那里积极主动。 但是，当我在那里，我正在为我们上周写的勒索软件文章做一些背景研究，Tara，这真的很疯狂。 我知道，您之前提到过受勒索软件攻击影响和攻击的城市数量。 但是，除了像亚特兰大或巴尔的摩这样的大城市之外，还有很多小城市受到了冲击，有些甚至是我们在波士顿本土的城市，如林恩，马萨诸塞州，朴茨茅斯，新罕布什尔州。 所以，我的意思是，这听起来像是一个非常广泛的问题，即使只是在本地层面。

汤姆 ：我想知道，对于我们听到的每个人来说，可能有10个其他人只是让你保持安静。

林赛 ：对。

汤姆 ：我认为备份的实用建议是能够点击重置按钮，这是一个非常好的基本建议。 但是，我听到的这是一个很好的基本建议，我听说过这个建议，在灾难恢复方面已有10年了。 然而，没有人这样做。 我的意思是，你知道，只是试图在拥有备份策略并在赎金攻击或硬件故障或某种数据丢失之后能够恢复时，对人们有所了解。

林赛 ：对，完全独立的说明。 另一个非常酷的故事，你在本周写的关于约会应用程序的Tara。 因此，从勒索软件转移到约会应用程序，但你有一个非常酷的故事，关于Match.com或Tinder等约会应用程序的隐私影响。 写这类故事的背景是什么？ 我的意思是，是什么激励你写出来的？ 那里的一些重要发现是什么？

塔拉 ：所以有一个名为ProPrivacy的隐私倡导组织。 他们对使用约会应用程序的人进行了一项调查，以了解他们分享的信息类型。 他们发现人们非常愿意将他们整个亲密的人在网上放到很多这些应用程序中，他们回答了很多非常私人的问题。

但与此同时，他们根本不知道隐私政策是什么，以及这些公司保留哪些数据，他们如何处理这些数据的权利，以及他们分享的数据因此，您知道，那里存在差距，这非常有趣。 然而，与此同时，调查指出，人们有点意识到他们需要关注隐私，他们有点担心隐私，但还不足以真正去阅读隐私政策本身。 与此同时，ProPrivacy也看了一下Match Group，他们也拥有Tinder和OkCupid，Plenty of Fish，以及其他一些竞争对手的约会应用程序都在这一个伞下。 控股公司叫做InterActiveCorp，IAC。 看看他们的实际隐私政策，他们很模糊。 就缺乏特异性而言，他们有很多法律漏洞。 然后我开始查看Tinder和Match隐私政策，最后对他们所收集的所有不同内容感到有点恐惧，他们记录并保留与第三方共享的权利。 你知道，你在平台上与人聊天的所有内容，你的约会倾向，你的喜欢，你的不喜欢，甚至是什么，如你使用毒品的任何个人信息？ 你有没有入狱？ 这样的事情，所有这些信息，他们保存在一个文件，然后根据需要与人分享。

汤姆 ：那么如果你考虑一下直接的隐私政策，以及他们被允许对这些数据做些什么，那就是能够试图找出如何货币化的方式，这本身也是令人担忧的。汇集他们拥有的数据。

塔拉 ：是的，这很有意思，因为有些信息，甚至不一定只是用户自愿输入以创建个人资料。 我的意思是，很明显，那里有很多贴心的信息。 但他们也保留监控您点击的内容，您正在与之交互的其他用户，您通常在线的时间和日期以及所有这些真正创建详细资料的权利你是一个怎样的人。 其中一些信息，他们随机化，所以像地理位置和你的实际名称，以及你的联系信息，他们确实保持加密和散列。 而且，你知道，他们不同意这一点。

汤姆 ：我想我们以前听过这些说法，不是吗？ 我的意思是，我并不是说要厌倦和怀疑。 但是，你知道，我厌倦了并且持怀疑态度。

塔拉 ：是的，不，这是真的。 所以你知道，它是什么样的加密？ 我们不知道。 他们使用什么样的散列机制？ 我们不知道。 关于安全部分的一个可怕的事情是，Tinder实际上说空白，用户不应该期望他们的数据是安全的。

林赛 ：哇。

汤姆 ：你知道，我认为其中一件事情对这个故事非常有趣，而且我认为还有一个领域 - 我不太了解Match.com的母公司与你谈过这个报道。 但实际上我真正感兴趣的一件事，我知道你曾经说过这个约会服务和服务，在用户之间收集你的私信。 我只想到所有可能出错的事情。

塔拉 ：噢，我的天哪，是的。

汤姆 ：我觉得有趣的是他们确实澄清说，两个人之间甚至无法发送图像。 我只是在考虑，这就像海报的孩子一样，可能会出现与网站分享您的个人数据可能出错的问题。 有意义的是，他们不允许图像通过私人消息。

塔拉 ：是的。 是的，他们在人们上传的地方有严格的图像政策。

Lindsey ：您是否了解服务的实际用户是否知道他们收集了多少数据？ 而且，这些类型的东西是否存在任何退出政策？

塔拉 ：一般来说，无论如何，根据调查，用户有点不知道他们分享了这么多信息。

汤姆 ：令人毛骨悚然。

塔拉 ：是的。

林赛 ：幸运的是，不必处理这个问题。

塔拉 ：是的，我没有像往常一样参加约会服务。 我很久以前结婚了。

林赛 ：嗯，这个周末还有什么？ 我们曾经有一篇关于美国宇航局的非常有趣的报道，塔拉，你也写过这篇报道？ 你本周一直在做所有有趣的故事。

塔拉 ：嗯，我的意思是，我知道这是塔拉的播客。 因此，我开始撰写我认为是美国监察长办公室对美国国家航空航天局喷气推进实验室进行网络安全审查的一个非常简单的故事，并发现基本上有可怕的网络安全最佳实践，或者现有的不良做法，没有网络细分，没有修补计划，没有对库存的可见性，没有第三方安全协议，你知道，只是一次又一次，你可以想到的每一件事都是不做的事情，JPL正在这样做，正在做它。 但后来我，我正在报告，他们开始谈论去年四月发生的网络攻击。 这是这些糟糕的安全措施的直接结果。 我曾经喜欢，坚持下去，有没有报道过？ 我做了一些谷歌搜索，似乎没有人曾经谈过它。 所以有点深入研究它。 是的，所以黑客能够进入JPL的系统，然后进一步进入网络。 基本上，妥协系统和网络，携带有关人类任务的数据，如国际空间站，以及类似的事情。

汤姆 ：最初的报告又是什么？

塔拉 ：最初的报道是什么时候？

汤姆 ：没有报道的名字是什么？ 这表面怎么样？ 什么只是披露或年度报告？

塔拉 ：是的，它似乎只是在各种政府机构定期进行的工厂安全审查中的一种，这是任务的一部分，来自网络安全执行命令。 所以这就是其中之一。

林赛 ：所以这也不是美国宇航局第一次发生安全事故，对吗？ 因为他们在十二月有什么东西对吗？

塔拉 ：是的，那实际上是一个数据库，而且我们并不是很多细节，但有些人在他们的人力资源数据库中入侵了，并设法收集了很多关于员工的信息。 但是，这是安全的一个方面，另一个方面是能够真正进入任务系统。 而且可能它没有发生，但实质上，它们可能会在执行任务的过程中向约翰逊航天中心发送错误的信息，并对各种真实的现实世界造成严重破坏。 因此，在这两种情况下，严重性的程度是不同的。 但是，两者都表明他们的网络不是特别安全。

林赛 ：对。 关于这个故事让我感到不安的只是有这些 - 而且我不知道是否会继续存在 - 但是这些IT安全控制的弱点就像网络分割的问题一样，如果你有这样的关键任务系统和网络，你就需要考虑这些事情。

塔拉 ：当然。 他们和休斯顿的约翰逊航天中心实际上已断开连接 - 他们使用各种系统的JPL数据来帮助完成任务控制。 他们实际上与JPL断开了联系，因为他们就像是，你们是一个巨大的安全风险。 所以我们基本上离开了这里。

林赛 ：嗯，我们最好在这里结束。 我们的新闻报道播客结束了。 塔拉和汤姆，感谢今天的到来。

汤姆 ：哇。

塔拉 ：谢谢你有我们，林赛。

林赛 ：我们能够讨论很多非常有趣的故事。

塔拉 ：是的，所以每个人都应该去看我们网站上的所有故事。

林赛 ：是的，从约会应用到NASA，应有尽有。 下周我们会在Threatpost新闻报道中抓住我们。 再次感谢Tom和Tara。