T-Mobile 在 API 數據洩露中被黑客竊取了 3700 萬個帳戶的數據

T-Mobile 披露了一起新的數據洩露事件，此前威脅行為者通過其應用程序編程接口 (API) 竊取了 3700 萬個當前後付費和預付費客戶帳戶的個人信息。

API 是應用程序或計算機通常用來相互通信的軟件接口或機制。

許多在線網絡服務使用 API，以便他們的在線應用程序或外部合作夥伴只要通過正確的身份驗證令牌就可以檢索內部數據。

雖然 T-Mobile 沒有透露他們的 API 是如何被利用的，但威脅行為者通常會發現允許他們在不先進行身份驗證的情況下檢索數據的缺陷。

新的數據洩露影響了 3700 萬個賬戶

T-Mobile 週四透露，攻擊者開始使用 th 竊取數據e 在 2022 年 11 月 25 日左右影響了 API。移動運營商在 2023 年 1 月 5 日檢測到惡意活動，並在一天后切斷了攻擊者對 API 的訪問。

該公司表示，此次安全漏洞中濫用的 API 不允許攻擊者獲取受影響客戶的駕照或其他政府身份證號碼、社會安全號碼/稅號、密碼/PIN、支付卡信息 (PCI)或其他金融賬戶信息。

“相反，受影響的 API 只能提供一組有限的客戶帳戶數據，包括姓名、賬單地址、電子郵件、電話號碼、出生日期、T-Mobile 帳號和線路數量等信息在帳戶和計劃功能上，"T-Mobile 說。

“我們調查的初步結果表明，不良行為者(s) 從該 API 獲得了大約 3700 萬個當前後付費和預付費客戶帳戶的數據，儘管其中許多帳戶不包括完整的數據集。”

該公司在 單獨的新聞稿。

T-Mobile 已將此事件報告給美國聯邦機構，目前正在與執法部門合作調查違規行為。

該運營商現在還通知可能因此次違規行為導致敏感個人信息被盜的客戶。

“我們的調查仍在進行中，但此時惡意活動似乎已被完全遏制，目前沒有證據表明惡意行為者能夠破壞或破壞我們的系統或網絡，”T-Mobile 表示.

自 2018 年以來的第八次 T-Mobile 數據洩露

雖然這是自年初以來 T-Mobile 披露的第一起違規事件，這家移動運營商自 2018 年以來還披露了其他七起數據洩露事件，其中包括攻擊者獲得了大約 所有 T-Mobile 客戶的 3%。

2019 年，T-Mobile 暴露預付費客戶的數據。未知威脅行為者還訪問了 T -2020 年 3 月移動員工的電子郵件帳戶。

2020 年 12 月，未知威脅行為者還獲得了 客戶專有網絡信息（電話號碼、通話記錄），並且在 2021 年 2 月，攻擊者訪問了未經授權的內部 T-Mobile 應用程序。

幾個月後，即 2021 年 8 月，黑客在破壞運營商的測試環境。

在 2021 年 8 月的數據洩露事件發生後，儘管 它通過第三方公司向攻擊者支付了 270,000 美元。

最後但同樣重要的是，該公司還在 2022 年 4 月確認 Lapsus$ 勒索團伙 使用竊取的憑據破壞了其網絡。