Le vol de données lié à Snowflake chez AT&T a fait des métadonnées télécom un problème de responsabilité cloud

Résumé

• Le formulaire 8-K du 12 juillet 2024 d'AT&T indique que des acteurs malveillants ont accédé illégalement à un espace de travail AT&T sur une plateforme cloud tierce et ont exfiltré des fichiers entre le 14 et le 25 avril 2024. Les enregistrements couvraient les interactions d'appels et de SMS du 1er mai au 31 octobre 2022 environ, ainsi que le 2 janvier 2023.
• Selon AT&T, ces données ne contenaient pas le contenu des appels ou des SMS, ni les numéros de sécurité sociale, les dates de naissance ou d'autres informations personnelles de ce type. En revanche, elles incluaient les numéros de téléphone impliqués dans les interactions, le nombre d'interactions, la durée totale des appels par jour ou par mois, et, pour un sous-ensemble d'enregistrements, un ou plusieurs identifiants de site cellulaire.
• L'incident a touché les enregistrements de la quasi-totalité des clients mobiles d'AT&T et des clients des opérateurs de réseau mobile virtuel (MVNO) utilisant le réseau mobile d'AT&T, ainsi que les numéros des clients de téléphonie fixe d'AT&T et des clients d'autres opérateurs ayant interagi avec ces numéros mobiles. Le préjudice est donc relationnel: des personnes n'étant pas abonnées au service mobile d'AT&T pouvaient néanmoins apparaître dans le graphe d'interactions.
• Le rapport public sur la campagne Snowflake est important, mais doit être appréhendé avec mesure. Le rapport UNC5537 de Mandiant indique que tous les incidents de la campagne qu'il a directement traités remontaient à des identifiants clients compromis, sans trouver de preuve qu'un accès non autorisé provenait d'une brèche de l'environnement d'entreprise de Snowflake. Le propre dossier d'AT&T ne nomme pas Snowflake, mais des reportages fiables et le dossier plus large de la campagne lient le vol de données d'AT&T à des attaques contre des environnements clients Snowflake.
• Des acteurs criminels contrôlaient l'accès illégal et le vol. AT&T contrôlait le périmètre des métadonnées télécom, les choix de conservation et de minimisation, la conception de l'espace de travail cloud, la gouvernance des identifiants, la dépendance aux tiers, la notification aux clients et les preuves qu'elle pouvait fournir. Le fournisseur cloud contrôlait les fonctionnalités de sécurité de la plateforme, la télémétrie, la posture par défaut, les conseils de durcissement et la détection des campagnes entre clients.

La divulgation publique était précise et néanmoins alarmante

Leformulaire 8-K du 12 juillet 2024d'AT&T est la source principale. Il indique qu'AT&T a appris le 19 avril 2024 qu'un acteur malveillant prétendait avoir accédé illégalement aux journaux d'appels d'AT&T et les avoir copiés. AT&T a activé sa réponse aux incidents, retenu des experts externes en cybersécurité, et a conclu que des acteurs malveillants ont accédé illégalement à un espace de travail AT&T sur une plateforme cloud tierce. L'entreprise a déclaré que des fichiers ont été exfiltrés entre le 14 et le 25 avril 2024.

Le dépôt a restreint les catégories de données. AT&T a indiqué que les fichiers contenaient des enregistrements des interactions d'appels et de SMS des clients du 1er mai au 31 octobre 2022 environ, et le 2 janvier 2023. Il a précisé que les données n'incluaient pas le contenu des appels ou des SMS, les numéros de sécurité sociale, les dates de naissance ou d'autres informations personnelles identifiables de ce type.

Il a également indiqué que les enregistrements identifiaient les numéros de téléphone avec lesquels les numéros mobiles AT&T ou MVNO avaient interagi, y compris les clients de la téléphonie fixe d'AT&T et les clients d'autres opérateurs, le nombre de ces interactions et la durée totale des appels par jour ou par mois. Pour un sous-ensemble, un ou plusieurs identifiants de site cellulaire étaient inclus.

Ces limites sont importantes. Il ne s'agissait pas d'une écoute téléphonique des appels audio, d'un vidage du contenu des SMS, ni d'un vol de numéros de sécurité sociale selon le dossier 8-K. Mais ces limites ne rendent pas l'ensemble de données sûr. Les enregistrements d'interactions d'appels et de SMS établissent la cartographie des relations. Ils montrent qui était connecté à qui, à quelle fréquence, et parfois dans quel contexte de site cellulaire.

AT&T elle-même a reconnu dans le dépôt que, bien que les données ne contiennent pas les noms des clients, il existe souvent des moyens, à l'aide d'outils en ligne accessibles au public, de trouver le nom associé à un numéro de téléphone spécifique.

Cette phrase est le point charnière. Un ensemble de données peut omettre des noms tout en restant susceptible d'être lié à des individus. Il peut omettre le contenu des messages tout en révélant des relations sensibles. Il peut omettre la localisation précise pour la plupart des enregistrements tout en contenant suffisamment de structure pour exposer des réseaux professionnels, des liens familiaux, des contacts médicaux, des contacts politiques, des contacts avec les forces de l'ordre, des sources confidentielles, des appels d'urgence, des relations intimes et des schémas commerciaux.

AT&T a également révélé un problème de calendrier inhabituel. Les 9 mai et 5 juin 2024, le Département de la Justice des États-Unis a déterminé qu'un report de la divulgation publique était justifié en vertu du processus de report de divulgation en matière de cybersécurité de la SEC, en raison de préoccupations liées à l'application de la loi, à la sécurité nationale ou à la sécurité publique. AT&T a ensuite déposé le rapport le 12 juillet. Cette séquence indique que les enquêteurs considéraient les données volées comme sensibles sur le plan opérationnel, et non comme un simple inconvénient pour le service client.

« Pas de contenu » n'est pas synonyme de « risque faible »

Le terme « métadonnées » peut être trompeur car il paraît administratif. Dans les télécommunications, les enregistrements d'interactions d'appels et de SMS sont des comportements. Ils montrent les arêtes d'un graphe social. Ils peuvent révéler des contacts répétés avec une clinique, un avocat, un employeur, un journaliste, un syndicaliste, une institution religieuse, une ligne d'assistance téléphonique contre la violence domestique, un bureau politique, une école, un agent de recouvrement ou une agence de maintien de l'ordre.

Un simple numéro peut souvent être résolu par le biais d'annuaires publics, de courtiers en données, de messages de messagerie vocale, de pages professionnelles, de listes de contacts compromises ou d'outils de recherche inversée.

La littérature sur la vie privée a souligné ce point depuis des années. L'article de Nature Scientific ReportsUnique in the Crowda montré que les traces de mobilité humaine sont très uniques et qu'un petit nombre de points spatiotemporels peut distinguer la plupart des individus dans un grand ensemble de données de téléphonie mobile. Le dépôt d'AT&T ne dit pas que l'ensemble de données volé contenait des traces de mobilité complètes pour tous les enregistrements. Il indique qu'un sous-ensemble comprenait des numéros d'identification de site cellulaire. La leçon est plus étroite: même des données partielles de localisation et d'interaction télécom peuvent être plus identifiantes qu'une simple étiquette de feuille de calcul ne le suggère.

Le document de l'Electronic Frontier FoundationWhy Metadata Matterssouligne l'importance du graphe social en termes d'intérêt public: les enregistrements d'appels peuvent révéler des détails intimes, même sans le contenu des appels. L'EFF est une source de défense des droits, et non l'autorité en matière d'incident. Elle est utile ici parce qu'elle explique pourquoi la distinction « pas de contenu » ne doit pas être transformée en une conclusion « absence de préjudice ».

Les règles fédérales sur les télécommunications reconnaissent également que les informations de détail des appels sont sensibles. Lesrègles CPNI de l'eCFRrégissent la confidentialité des informations des clients et restreignent la manière dont les informations de détail des appels peuvent être divulguées aux clients sans authentification. L'ancien guide de conformité pour les petites entités de la FCC décrit les informations réseau exclusives des clients comme des informations relatives à la quantité, à la configuration technique, au type, à la destination, à la localisation et au niveau d'utilisation d'un service de télécommunications. La classification juridique exacte et l'application des règles pour les fichiers volés d'AT&T peuvent nécessiter une analyse juridique allant au-delà du dossier public, mais le point politique est évident: les enregistrements d'utilisation des télécommunications sont depuis longtemps traités comme sensibles parce qu'ils sont créés uniquement dans le cadre de la relation opérateur-client.

C'est pourquoi la violation était critique, même sans le contenu des messages. Les métadonnées télécom sont un contexte au niveau de l'infrastructure sur la société civile. Elles incluent les connexions des consommateurs ordinaires, des entreprises, des responsables publics, des journalistes, des enquêteurs, des médecins, des patients, des avocats, des sources, des militants et des familles. Lorsque les enregistrements d'interactions de la quasi-totalité des clients mobiles sont copiés, l'ensemble de données n'est pas seulement personnel. Il est relationnel et d'ampleur nationale.

L'espace de travail cloud était le goulot d'étranglement opérationnel

Le dépôt d'AT&T décrivait l'environnement affecté comme un espace de travail AT&T sur une plateforme cloud tierce. Le dépôt ne nommait pas Snowflake. Des reportages fiables ont relié le vol à la campagne plus large de vol d'identifiants clients Snowflake, et le dossier de la campagne Snowflake explique le type de mode de défaillance qui a été visible dans de nombreuses entreprises en 2024.

Lerapport de campagne UNC5537de Mandiant indiquait que l'acteur malveillant ciblait les instances clients Snowflake pour le vol de données et l'extorsion. Pour chaque incident de campagne que Mandiant a directement traité, la cause première était des identifiants clients compromis. Mandiant n'a trouvé aucune preuve que l'accès non autorisé aux comptes clients Snowflake provenait d'une brèche de l'environnement d'entreprise de Snowflake. L'avis d'accès non autoriséde Snowflake lui-même indiquait de la même manière aux clients de rechercher une activité inhabituelle et de renforcer les comptes, tout en déclarant que l'activité n'était pas causée par une vulnérabilité, une mauvaise configuration ou une brèche de la plateforme de Snowflake.

La CISA a amplifié les conseils de Snowflake dans unealerte du 3 juin 2024, encourageant les clients à examiner les indicateurs et à rechercher une activité malveillante. Le Centre pour la cybersécurité du Canada a émis unealerte similaire sur l'accès non autorisé aux comptes clients Snowflake, décrivant une activité malveillante basée sur l'identité et notant la déclaration de Snowflake selon laquelle l'activité n'était pas le résultat d'une vulnérabilité du produit Snowflake.

Ce dossier crée une limite de responsabilité prudente. Si un compte client est accédé avec des identifiants volés, le client est responsable de l'hygiène des identités, de la rotation des mots de passe, de l'inscription à l'authentification multifactorielle (MFA), des politiques de réseau, de la conception des rôles, de la minimisation des données et de la détection au sein de son locataire.

Le fournisseur cloud est responsable du service d'authentification, des fonctionnalités de la plateforme, de la journalisation, des alertes, de la feuille de route « sécurisé par défaut », des conseils de durcissement et de la visibilité des campagnes entre clients. L'attaquant est propriétaire du crime.

Cette limite est importante car un entrepôt de données cloud concentre la valeur. Un opérateur télécom peut copier ou mettre en scène des enregistrements d'interactions historiques dans un entrepôt à des fins d'analyse, d'analyse de facturation, de planification de réseau, de détection de fraude, d'opérations clients ou de rapports réglementaires. Une fois là, les données peuvent être plus faciles à interroger et à exporter que si elles étaient fragmentées dans les systèmes sources. Cette utilité analytique est précisément la raison pour laquelle un accès volé peut devenir catastrophique.

La gouvernance des identifiants n'est pas un détail d'implémentation

La campagne Snowflake a rendu un thème impossible à ignorer: un identifiant d'entrepôt cloud est une clé du patrimoine de données. Si le compte ne dispose pas d'une authentification multifactorielle, si le mot de passe a été exposé par un logiciel malveillant de vol d'informations, si l'accès au réseau n'est pas restreint, et si le rôle peut lire ou exporter des tables sensibles, alors l'attaquant peut utiliser les interfaces normales du produit pour causer un préjudice anormal.

Mandiant a signalé qu'UNC5537 a utilisé des identifiants clients compromis, que beaucoup provenaient d'enregistrements historiques de logiciels de vol d'informations, et que les comptes touchés manquaient de MFA. Ladocumentation de déploiement de la MFAactuelle de Snowflake montre comment la plateforme a ensuite évolué vers la dépréciation des connexions par mot de passe unique pour les utilisateurs humains et l'interdiction des mots de passe pour les utilisateurs de service. Ladocumentation sur les politiques d'authentificationactuelle de Snowflake explique comment les clients peuvent restreindre les méthodes d'authentification, les clients et la posture MFA. Ces contrôles actuels ne doivent pas être interprétés rétroactivement comme la preuve de ce qu'AT&T avait exactement configuré en avril 2024. Ils montrent la classe de contrôle qui importait.

Le dépôt public d'AT&T n'identifie pas l'identifiant, la méthode d'authentification, le rôle, les contrôles réseau ou les requêtes utilisées dans son espace de travail. Cette absence est importante. Les clients et les régulateurs peuvent comprendre que des fichiers ont été exfiltrés, mais ils ne peuvent pas voir à partir du 8-K si la défaillance impliquait un utilisateur humain, un compte de service, un compte de sous-traitant, un identifiant périmé, une MFA manquante, un rôle trop large, une lacune de politique réseau ou un autre chemin d'accès.

AT&T a peut-être fourni plus de détails en privé aux forces de l'ordre, aux régulateurs, à Snowflake, aux assureurs ou aux parties concernées. Le bilan de responsabilité publique reste partiel.

Pour un opérateur télécom national, la gouvernance des identifiants autour des données de détail des appels devrait être plus stricte que l'accès analytique ordinaire. Les utilisateurs humains ne devraient pas pouvoir accéder aux données d'interaction historiques par le biais de connexions uniquement par mot de passe. Les comptes de service devraient utiliser des identifiants de charge de travail qui peuvent être alternés et délimités. Les comptes de sous-traitants devraient expirer. Les rôles privilégiés devraient être rares, surveillés et limités dans le temps.

L'exportation en masse devrait nécessiter une autorisation distincte ou un chemin de détection. Les identifiants qui peuvent atteindre les métadonnées télécom devraient être traités davantage comme des clés d'une infrastructure réglementée que comme des identifiants ordinaires de veille stratégique.

Le but n'est pas de déclarer de l'extérieur quel contrôle spécifique a échoué chez AT&T. Le but est que la perte publique n'a pu devenir aussi importante que si une partie suffisante de la chaîne de contrôle a permis l'accès et l'exportation. Un mot de passe volé à lui seul ne devrait pas suffire à retirer un ensemble de données d'interactions télécom à l'échelle nationale.

Les contrôles de réseau et d'exportation étaient la deuxième porte

L'identité est la première porte. Les contrôles de réseau et d'exportation sont la deuxième. Ladocumentation sur les politiques de réseauactuelle de Snowflake indique que, sans politique de réseau, les utilisateurs peuvent se connecter depuis n'importe quel ordinateur ou appareil, et que les clients peuvent définir des plages d'adresses IP autorisées ou bloquées et appliquer des contrôles au niveau du compte ou de l'utilisateur. Pour un client stockant des données télécom sensibles, une surface de connexion publique sans restriction est une exception à haut risque, et non un état de fonctionnement normal.

Les restrictions de réseau ne sont pas magiques. Un attaquant peut utiliser un VPN approuvé, compromettre un appareil de sous-traitant ou détourner une session après une authentification légitime. Mais des portes indépendantes comptent. Si un identifiant est volé, une liste d'autorisation de réseau peut toujours bloquer l'utilisation à partir d'une infrastructure inconnue. Si une origine réseau est autorisée, la MFA peut toujours bloquer l'utilisation du mot de passe. Si l'authentification réussit, le principe du moindre privilège peut limiter les tables.

Si les tables sont lisibles, les contrôles d'exportation et la détection d'anomalies peuvent détecter ou interrompre les grands déchargements. L'incident montre le besoin d'une résistance aux pannes en couches.

L'exportation mérite un traitement distinct car les entrepôts sont conçus pour répondre aux requêtes et déplacer les résultats. Les vuesLOGIN_HISTORY,QUERY_HISTORYetACCESS_HISTORYactuelles de Snowflake décrivent les types de preuves que les clients peuvent utiliser pour enquêter sur qui s'est connecté, ce qui a été exécuté, quels rôles et sessions étaient impliqués, quels objets ont été touchés et quelle quantité de données a été déplacée. Ces journaux ne sont précieux que s'ils sont conservés, examinés, exportés vers les systèmes de sécurité lorsque cela est nécessaire et reliés à l'autorité de réponse.

Le dépôt d'AT&T a indiqué que des fichiers ont été exfiltrés entre le 14 et le 25 avril. Cette fenêtre de onze jours soulève des questions de contrôle évidentes. Quand la première connexion anormale a-t-elle été visible? Quand le comportement de requête ou de déchargement est-il devenu inhabituel? Quel seuil de volume aurait dû déclencher une alerte? L'espace de travail contenait-il tous les enregistrements affectés dans des fichiers déjà préparés pour l'exportation, ou les fichiers ont-ils été créés pendant l'activité de l'attaquant?

Les fichiers étaient-ils chiffrés ou tokenisés d'une manière qui réduisait la sensibilité après l'exportation? Les identifiants de site cellulaire étaient-ils stockés avec les enregistrements d'interaction d'appels parce qu'ils étaient nécessaires pour un cas d'utilisation spécifique, ou parce que des données historiques s'étaient accumulées?

Le dossier public ne répond pas à ces questions. C'est un constat, pas une spéculation. Un dossier de responsabilité crédible après incident décrirait le chemin d'accès à un niveau élevé, les contrôles qui l'ont détecté, les contrôles qui manquaient ou ont été contournés, la période de conservation impliquée, les champs exposés et les mesures maintenant en place pour empêcher une exportation comparable.

La conservation a rendu les anciens enregistrements à nouveau d'actualité

Les enregistrements volés dataient principalement de 2022 et d'un jour de janvier 2023. Ils ont été exfiltrés en avril 2024. Cet écart fait passer l'analyse de la réponse à la brèche à la conservation des données. Pourquoi des enregistrements d'une période de six mois en 2022 étaient-ils encore présents dans un espace de travail cloud exportable en 2024? Quel objectif commercial, réglementaire, opérationnel, contentieux, de facturation, de réseau ou d'analyse nécessitait que cet ensemble de données exact reste accessible? Aurait-il pu être agrégé, tokenisé, partitionné, archivé hors ligne ou supprimé?

Les enregistrements télécom ne sont pas des journaux jetables ordinaires. Les opérateurs peuvent avoir besoin de données d'utilisation pour la facturation, la résolution des litiges, la fraude, le règlement de l'itinérance, les opérations de réseau, la conformité aux forces de l'ordre, les impôts, les rapports réglementaires et l'accès des clients. Les pages de support d'AT&T elles-mêmes indiquent aux clients mobiles commentvérifier l'utilisationettélécharger les détails d'utilisation des appels et SMSà des fins de gestion de compte. Cela démontre pourquoi de telles données existent. Cela ne démontre pas que chaque fichier d'interaction historique devait être interrogeable dans l'espace de travail affecté le 14 avril 2024.

La conservation est un contrôle parce que le temps modifie le risque. Un enregistrement qui est nécessaire sur le plan opérationnel pour la facturation en juin 2022 peut être moins nécessaire, ou nécessaire uniquement sous forme agrégée, en avril 2024. Un identifiant de site cellulaire nécessaire pour le dépannage du réseau peut ne pas avoir besoin de rester attaché à un vaste fichier d'interactions. Un agrégat quotidien ou mensuel peut servir un objectif commercial sans préserver chaque arête relationnelle dans un espace de travail à privilèges élevés.

Un ensemble de données peut être précieux pour l'analyse tout en étant trop sensible pour être conservé dans sa forme la plus brute.

La question de responsabilité n'est pas « pourquoi AT&T avait-elle des enregistrements d'appels? ». Un opérateur télécom doit avoir des enregistrements d'appels. La question est de savoir pourquoi cet ensemble de données particulier, à cette portée, avec ces champs, est resté accessible dans un environnement cloud tiers et exportable par le chemin d'accès utilisé par l'attaquant. La minimisation des données est souvent discutée comme un principe de confidentialité. Ici, elle est aussi un contrôle du rayon de l'explosion.

La localisation et la souveraineté sont plus qu'un choix de région

Ladocumentation sur les régionsde Snowflake explique qu'un compte Snowflake est hébergé dans une région sélectionnée et que les données restent dans cette région à moins qu'elles ne soient copiées, déplacées ou répliquées par les utilisateurs. Elle énonce également une limite importante: les régions déterminent où les données sont stockées et où les ressources de calcul sont provisionnées; elles ne limitent pas l'accès des utilisateurs à Snowflake. Cette distinction est centrale dans le cas AT&T.

La localité des données peut aider pour la loi, la latence et la gouvernance. Elle n'empêche pas à elle seule une identité valide ou volée de se connecter depuis ailleurs, d'interroger les données et de télécharger des fichiers. La région de stockage peut rester inchangée pendant que l'attaquant crée une copie non contrôlée en dehors de l'environnement prévu. En ce sens, la localité sans contrôle d'identité et de sortie est une règle de placement, pas une garantie de souveraineté.

Pour les métadonnées télécom, la souveraineté a plusieurs dimensions. La localité physique concerne l'endroit où l'entrepôt stocke et traite les données. La localité juridique concerne les obligations en matière de confidentialité, de télécommunications, de valeurs mobilières, de forces de l'ordre et de notification des brèches qui s'appliquent. La localité opérationnelle concerne qui peut accéder aux données, depuis quels réseaux, sous quelle preuve d'identité et dans quel but. La localité des preuves concerne le fait que les journaux, l'historique des requêtes et les artefacts d'incident restent disponibles pour reconstruire l'exposition.

Le dépôt d'AT&T n'a pas fourni de détails sur la région, le fournisseur cloud, l'architecture de l'espace de travail ou le chemin de sortie. Cela est compréhensible à un certain niveau car les divulgations d'incident ne publient pas normalement de diagrammes d'architecture. Mais l'absence signifie que le public ne peut pas évaluer si les données étaient localisées uniquement au repos ou gouvernées tout au long de leur cycle de vie.

Les métadonnées d'un opérateur télécom national peuvent passer d'un environnement d'exploitation protégé à une copie non contrôlée sans une défaillance physique de centre de données si la gouvernance de l'accès échoue.

Le même point s'applique aux fournisseurs. Le règlement de la FCC de 2024 concernantAT&T et une brèche chez un fournisseur cloudconcernait une brèche distincte de janvier 2023 dans un environnement cloud d'un fournisseur, et non le vol de journaux d'appels lié à Snowflake en 2024. Il est toujours pertinent parce que la FCC a déclaré qu'AT&T n'avait pas veillé à ce qu'un fournisseur protège adéquatement les informations des clients et les retourne ou les détruise comme l'exige le contrat. LePDF du communiqué de la FCCa souligné la gestion des fournisseurs et les obligations relatives au cycle de vie des données. Cette posture réglementaire montre clairement que le fait de transférer des informations clients dans un environnement d'un fournisseur ou dans le cloud ne transfère pas la responsabilité hors de l'opérateur.

Le délai de divulgation a exposé une dimension de sécurité publique

AT&T a déposé le 12 juillet 2024, après que le DOJ a déterminé à deux reprises que la divulgation publique pouvait être retardée. Le processus de la SEC existe parce que certaines divulgations en matière de cybersécurité peuvent interférer avec le travail des forces de l'ordre ou de la sécurité nationale. Dans le cas d'AT&T, le délai est un signal sur la sensibilité des enregistrements et de l'enquête.

Les données pourraient avoir de l'importance pour les forces de l'ordre de plusieurs manières. Elles pourraient inclure des numéros de téléphone liés à des agents, des informateurs confidentiels, des témoins, des victimes, des procureurs, des juges, des avocats de la défense ou des cibles d'enquête. Elles pourraient révéler des chaînes de contacts. Elles pourraient aider les criminels à déduire qui a parlé avec qui pendant une période donnée. Elles pourraient exposer des personnes qui n'étaient pas clientes d'AT&T mais qui ont communiqué avec des numéros mobiles AT&T ou MVNO. Le dépôt d'AT&T indique qu'au moins une personne avait été arrêtée à la date du dépôt et qu'AT&T travaillait avec les forces de l'ordre. Des documents ultérieurs du Département de la Justice dans l'affaireUnited States v. Connor Riley Moucka and John Erin Binnsont mis en accusation des stratagèmes présumés visant à pirater des réseaux informatiques protégés, à voler des informations sensibles, à menacer de divulguer des données et à vendre des données. Ces accusations sont des allégations tant qu'elles ne sont pas prouvées, mais elles montrent le cadre d'application de la loi autour de l'activité d'extorsion des clients Snowflake.

Le délai a également créé une tension en matière de notification des clients. Les clients ne pouvaient pas être informés immédiatement si cela risquait de compromettre une enquête ou la sécurité publique. Mais une notification tardive empêche les clients de prendre des mesures de protection, même limitées. Étant donné que l'exposition des journaux d'appels n'est pas comme une réinitialisation de mot de passe, la valeur pratique de la notification est moins liée au changement d'un identifiant qu'à la sensibilisation, au risque d'escroquerie et au risque lié aux relations sensibles.

Une victime ne peut pas faire tourner une conversation téléphonique de 2022. Elle peut cependant se méfier de l'extorsion, du harcèlement, du doxing, de l'hameçonnage ciblé et de l'utilisation abusive des données relationnelles.

Lesressources sur la fraude et la sécuritéd'AT&T fournissent des conseils généraux sur les escroqueries par téléphone et SMS, le smishing et le signalement. Ces conseils sont utiles mais ne constituent pas un remède complet à l'exposition des détails des appels. Un client a besoin de comprendre ce qui était et ce qui n'était pas inclus, si ses enregistrements ont été affectés, si les numéros appelés ou textés ont été exposés, et ce que l'entreprise peut fournir. Le dépôt d'AT&T indiquait qu'elle informerait les clients actuels et anciens concernés, mais ce type de notification publique ne peut pas effacer le graphe relationnel.

Le client n'était pas la seule personne dans l'enregistrement

L'un des détails les plus importants du 8-K est que les enregistrements comprenaient les numéros avec lesquels les numéros mobiles AT&T ou MVNO avaient interagi, y compris les clients de téléphonie fixe d'AT&T et les clients d'autres opérateurs. Cela signifie que l'ensemble de données contenait des informations sur des personnes n'étant pas clientes du service sans fil d'AT&T en raison de leur interaction avec des clients AT&T.

C'est le problème de confidentialité relationnelle. Un modèle de notification des brèches centré sur « nos clients » peut passer à côté des personnes qui apparaissent comme contreparties dans les données. Si un abonné AT&T a appelé un médecin, une école, un syndicat, une source, un membre de la famille sur un autre opérateur ou un client professionnel, l'autre numéro peut être présent. Cette autre personne peut ne jamais recevoir de notification directe parce qu'elle n'est pas dans la relation client d'AT&T pour le compte mobile. Pourtant, les données révèlent qu'elle a interagi avec le numéro AT&T.

Le même problème se pose pour les forces de l'ordre et le journalisme. La source d'un journaliste n'est peut-être pas un client AT&T, mais le numéro de la source pourrait apparaître parce qu'un client AT&T l'a appelé. Le contact confidentiel d'un détective n'est peut-être pas un abonné AT&T, mais l'interaction pourrait être visible à travers les enregistrements téléphoniques du détective. Les clients d'une petite entreprise peuvent apparaître à travers les appels passés au propriétaire de l'entreprise. Le préjudice à la vie privée se propage le long des arêtes, et non des limites de compte.

Cela devrait affecter la minimisation des données. Les ensembles de données relationnelles méritent des contrôles plus forts que les profils clients isolés parce qu'ils contiennent des informations sur de nombreuses personnes qui n'ont jamais consenti à une relation de service directe avec le détenteur des données. Les entreprises de télécommunications collectent ces informations parce que les réseaux doivent acheminer, facturer et fonctionner. Cette nécessité devrait accroître la discipline de conservation, et non la réduire.

Cela devrait également affecter les preuves fournies après un incident. Les clients affectés peuvent avoir besoin d'un moyen d'obtenir les numéros de téléphone compromis liés à leur compte, mais cela crée en soi un risque secondaire pour la vie privée s'ils ne sont pas authentifiés et fournis avec soin. AT&T a dû trouver un équilibre entre la transparence et le risque d'exposer à nouveau les contreparties par le biais du processus de notification. Cela est difficile. C'est aussi pourquoi l'exportation large de l'ensemble de données original était si dangereuse.

Le contexte du règlement avec la FCC a aiguisé la question de la responsabilité des fournisseurs

Le règlement de septembre 2024 de la FCC concernant AT&T portait sur une brèche différente, mais il est arrivé dans la même saison de responsabilité et a porté un message clair: un opérateur télécom reste responsable des informations sur les clients traitées par le biais des environnements cloud des fournisseurs. La FCC a déclaré que la brèche de janvier 2023 chez le fournisseur impliquait des données conservées après la fin de la relation avec le fournisseur et qu'AT&T n'avait pas veillé à ce que le fournisseur protège adéquatement et retourne ou détruise les informations sur les clients.

AT&T a accepté de payer 13 millions de dollars et de mettre en œuvre des améliorations en matière de confidentialité et de cybersécurité.

Ce règlement ne doit pas être confondu avec le vol de journaux d'appels lié à Snowflake. L'ensemble de données, le calendrier et les faits diffèrent. Mais il est très pertinent en tant que contexte réglementaire. Il montre la FCC examinant les données cloud des fournisseurs, les contrôles contractuels, la conservation, la destruction et la supervision de l'opérateur en tant que devoirs de confidentialité et de cybersécurité. Ce sont exactement les catégories soulevées par le vol de journaux d'appels de 2024: quelles données ont été conservées, où, sous les contrôles de qui, pendant combien de temps, et avec quelle preuve de protection?

La dépendance au cloud n'est pas une échappatoire. Un opérateur télécom peut externaliser le stockage, le traitement, l'analyse ou les fonctions de support, mais les clients restent dans une relation d'opérateur. Ils ne choisissent pas l'entrepôt de données. Ils ne configurent pas l'espace de travail. Ils ne savent pas quel fournisseur a quels champs. Ils ne peuvent pas auditer les politiques de réseau ou la MFA. Ils ne peuvent pas supprimer les anciens enregistrements de détail des appels d'un environnement d'analyse.

La responsabilité reste donc avec l'opérateur pour le cycle de vie des données et avec le fournisseur cloud pour les contrôles de plateforme qu'il vend.

Le programme d'opérateur le plus solide cartographierait chaque ensemble de données télécom sensibles en dehors des systèmes de réseau centraux; documenterait l'objectif, le propriétaire, la conservation, la région et les chemins d'exportation; exigerait une authentification forte et des contrôles de réseau; séparerait les identifiants bruts des tables analytiques lorsque cela est possible; consignerait et examinerait l'accès; testerait la réponse aux incidents; et vérifierait la suppression lorsqu'un ensemble de données ou une relation avec un fournisseur prend fin.

Le règlement de la FCC fait de cela moins une aspiration qu'un avertissement réglementaire.

Le durcissement ultérieur de Snowflake montre ce que la responsabilité partagée peut devenir

Après la campagne plus large, Snowflake s'est orientée vers des bases d'identité plus solides. Sa documentation de déploiement de la MFA décrit la dépréciation des connexions par mot de passe unique. Ses conseils sur les politiques d'authentification, la documentation sur les politiques de réseau et les vérifications de posture du Trust Center montrent un fournisseur qui tente de transformer les échecs répétés de contrôle des clients en garde-fous industrialisés. Cela ne réécrit pas les faits du vol d'avril 2024 chez AT&T. Cela montre que la responsabilité partagée n'est pas statique.

Les fournisseurs cloud disent souvent que les clients sont responsables de la configuration de l'identité et de l'accès. Cela est vrai, mais incomplet. Les fournisseurs décident si la MFA est facultative ou par défaut, si les utilisateurs de service uniquement par mot de passe sont autorisés, si les connexions à risque sont détectées, si les politiques de réseau sont faciles à déployer, si la posture de sécurité est visible, si les journaux sont suffisamment complets pour la criminalistique, et si les campagnes entre clients sont reconnues rapidement.

Les clients décident qui a accès, quels rôles peuvent lire, si les politiques sont configurées, quelles données sont stockées et à quelle vitesse les alertes sont traitées.

La campagne Snowflake a révélé un décalage entre la concentration des données et la posture d'identité de base. De nombreuses entreprises avaient placé des ensembles de données extrêmement précieux dans des entrepôts cloud tout en laissant certains comptes avec une authentification faible ou périmée. Le fournisseur pouvait voir le modèle sur l'ensemble des comptes. Chaque client ne pouvait voir que son propre environnement. Cette asymétrie donne au fournisseur le devoir d'avertir, d'inciter, de définir par défaut, et finalement d'appliquer.

Pour AT&T, la responsabilité partagée ne réduit pas la responsabilité de l'opérateur. Elle la clarifie. AT&T était le propriétaire des données et l'opérateur télécom. Elle a choisi quels enregistrements historiques entraient dans l'espace de travail, quelles identités pouvaient les atteindre, combien de temps elles restaient et quels contrôles étaient requis. Le fournisseur cloud a offert la plateforme et les contrôles de sécurité. Des acteurs criminels ont exploité la chaîne. La responsabilité suit la chaîne au lieu de s'arrêter à la première limite contractuelle.

Ce que les clients pouvaient et ne pouvaient pas faire

Le client ordinaire d'AT&T avait peu de capacité pratique à empêcher la brèche. Un client ne pouvait pas choisir un autre entrepôt, exiger la MFA sur l'espace de travail d'AT&T, supprimer les anciens enregistrements d'appels ou inspecter les journaux cloud d'AT&T. Après la notification, un client pouvait surveiller les escroqueries, être prudent face aux appels ou SMS inattendus, et demander des informations à AT&T. Ces actions sont limitées parce que les données exposées décrivaient des relations et des interactions passées.

Cette asymétrie devrait façonner le soutien post-incident. Les clients ont besoin d'explications claires qui ne minimisent pas les métadonnées. Ils ont besoin de savoir que le contenu n'était pas inclus, mais que les enregistrements relationnels l'étaient. Ils ont besoin de savoir si leur compte a été affecté et quelles catégories s'appliquaient. Ils ont besoin d'avertissements sur l'hameçonnage ciblé qui fait référence à des contacts réels.

Les professions sensibles peuvent avoir besoin de conseils plus adaptés: journalistes, forces de l'ordre, défenseurs des victimes de violence domestique, travailleurs de la santé, fonctionnaires et entreprises dont les modèles d'appels pourraient révéler des clients.

L'avis de confidentialitéd'AT&T décrit en termes généraux le traitement des informations des clients par l'entreprise et les choix offerts. Les avis de confidentialité ne sont pas des analyses post-incident, mais ils sont importants parce qu'ils définissent les attentes des clients quant à l'utilisation et à la protection des informations. L'incident pose la question de savoir si ces attentes sont étayées par des contrôles du cycle de vie pour les espaces de travail analytiques, et pas seulement par le langage de la politique.

Le client a également besoin de preuves durables que le problème a été contenu. AT&T a déclaré avoir fermé le point d'accès illégal et ne pas croire que les données étaient accessibles au public à la date du dépôt. C'est important, mais le public manque toujours de détails sur la manière dont le confinement a été vérifié, si des copies ont été récupérées ou supprimées, si des demandes de rançon ou d'extorsion ont eu lieu, quelle surveillance reste en place et quels contrôles à long terme ont changé. Certains détails peuvent être confidentiels pour de bonnes raisons.

Néanmoins, des engagements globaux et architecturaux peuvent être publics sans aider les attaquants.

La matérialité n'a pas réglé la responsabilité

AT&T a déclaré aux investisseurs dans le 8-K que, sur la base des informations disponibles, l'incident n'avait pas eu et n'était pas raisonnablement susceptible d'avoir un impact significatif sur la situation financière ou les résultats d'exploitation d'AT&T. Cette déclaration relevant du droit des valeurs mobilières est importante, mais elle ne doit pas être confondue avec un jugement d'intérêt public selon lequel l'incident aurait eu des conséquences limitées. La matérialité pour les investisseurs et la sensibilité pour les clients sont des questions liées, mais différentes.

Un vol de métadonnées télécom peut être gérable financièrement pour un grand opérateur tout en étant socialement grave. Les coûts directs peuvent être contenus par l'assurance, la stratégie de litige, les frais de notification aux clients, la coopération avec les forces de l'ordre et les budgets de remédiation. Les données affectées peuvent ne pas inclure de mots de passe nécessitant des réinitialisations massives de comptes. L'entreprise peut conclure que les revenus, la liquidité et les opérations ne sont pas matériellement menacés.

Rien de tout cela ne change la gravité pour la vie privée d'un graphe relationnel couvrant la quasi-totalité des clients mobiles sur plusieurs mois.

Cette distinction est importante parce que les rapports d'incident utilisent souvent le langage de la matérialité financière comme titre public. Les dépôts auprès de la SEC sont conçus pour les investisseurs. Les clients les lisent parce qu'ils sont souvent la source officielle la plus détaillée disponible. Si le seul récit officiel souligne qu'aucun impact financier matériel n'était attendu, les clients peuvent en déduire que l'événement n'était pas grave. Dans ce cas, le même dépôt décrivait également les enregistrements d'interactions de la quasi-totalité des clients mobiles et un délai de divulgation approuvé par le DOJ.

Ces détails indiquent le contraire.

Le bilan de responsabilité devrait donc contenir deux vérités à la fois. AT&T peut raisonnablement dire aux investisseurs que l'entreprise ne s'attend pas à un impact financier matériel sur la base de ce qu'elle sait. Les régulateurs, les clients et les observateurs de l'intérêt public peuvent également raisonnablement traiter l'incident comme critique en raison de l'ampleur et de la sensibilité des métadonnées. Une divulgation mature rendrait les deux significations explicites: financièrement limité ne signifie pas socialement mineur.

La matérialité ne répond pas non plus aux questions de contrôle. Une brèche peut être financièrement non matérielle parce que l'entreprise est grande, et non parce que les contrôles étaient adéquats. Elle peut éviter les perturbations opérationnelles tout en exposant des données sensibles. Elle peut éviter la perte immédiate de clients tout en augmentant la pression réglementaire. Inversement, une entreprise plus petite pourrait subir des conséquences financières matérielles à partir d'un ensemble de données moins sensible. Le prisme de l'investisseur est nécessaire, mais ce n'est pas un prisme de responsabilité complet.

Pour les télécoms, cette distinction devrait être intégrée dans la gouvernance. Les conseils d'administration et les dirigeants devraient suivre non seulement la matérialité pour les investisseurs, mais aussi les événements liés aux données critiques: incidents impliquant des enregistrements de type CPNI, des données de détail des appels, des champs liés à la localisation, des enregistrements sensibles pour les forces de l'ordre, des communications de populations vulnérables, ou des ensembles de données relationnelles à l'échelle nationale.

Ces événements méritent l'attention du conseil d'administration même lorsque le compte de résultat peut les absorber.

Le même principe devrait façonner les examens d'analyse en nuage. Un ensemble de données ne devrait pas recevoir une protection moindre simplement parce que son vol pourrait être financièrement gérable. La protection devrait être basée sur la sensibilité, l'ampleur, l'identifiabilité, le préjudice relationnel, les obligations légales et la confiance du public. Selon cette mesure, les enregistrements d'interactions d'appels et de SMS d'AT&T appartenaient au niveau de protection interne le plus élevé, quel que soit l'impact attendu sur les états financiers.

Le test de responsabilité

L'incident AT&T devrait être jugé par rapport à six contrôles.

Premièrement, la minimisation: les enregistrements d'interactions télécom sensibles ne devraient exister sous forme brute et exportable que là où il y a un besoin actuel et documenté. Les anciennes données devraient vieillir en agrégats, en formes tokenisées ou en archives restreintes lorsque cela est possible.

Deuxièmement, l'accès: toute identité pouvant atteindre des données brutes d'interactions d'appels et de SMS devrait être fortement authentifiée, étroitement délimitée, surveillée et limitée dans le temps. L'accès par mot de passe seul pour les humains devrait être inacceptable. Les informations d'identification de service devraient être spécifiques à la charge de travail et alternées.

Troisièmement, la sortie: l'exportation en masse d'enregistrements télécom à l'échelle nationale devrait être traitée comme une action à haut risque nécessitant une détection, un étranglement, une approbation ou un confinement rapide. Les journaux de requêtes ne suffisent pas si personne n'agit avant l'exfiltration.

Quatrièmement, la localité: la région de données et le placement dans le cloud devraient être assortis de contrôles d'identité, de réseau, d'exportation et de preuves. La souveraineté n'est pas atteinte par l'endroit où les données reposent si des informations d'identification volées peuvent déplacer une copie.

Cinquièmement, la notification: les divulgations publiques devraient préserver les besoins des forces de l'ordre tout en donnant aux clients des informations claires et non minimisantes sur le risque lié aux métadonnées. « Pas de contenu » doit être associé à « les données relationnelles ont été exposées ».

Sixièmement, la gouvernance des fournisseurs: les opérateurs télécom devraient être en mesure de prouver que les environnements cloud tiers et des fournisseurs protègent, conservent, retournent et détruisent les informations sur les clients sous des contrôles proportionnés à la sensibilité des télécoms. Le contexte du règlement de la FCC avec un fournisseur cloud en fait une attente réglementaire vivante.

La conclusion finale est simple. AT&T n'a pas divulgué un vol de contenu d'appels ou de numéros de sécurité sociale dans cet incident. Elle a divulgué quelque chose de différent et toujours grave: une vaste carte relationnelle des interactions d'appels et de SMS pour la quasi-totalité des clients mobiles sur plusieurs mois, extraite d'un espace de travail cloud. Dans les télécoms, les métadonnées ne sont pas des gaz d'échappement. C'est la carte des connexions.

Une fois que cette carte est concentrée dans une plateforme de données cloud, la responsabilité appartient aux personnes qui décident pourquoi elle est là, qui peut l'interroger, comment elle sort, combien de temps elle vit, et quelles preuves restent lorsque la carte est volée.