Phishing tax scams increase as tax deadlines approach

Research from Proofpoint shows an increase in malicious domains and campaigns impersonating tax agencies and financial institutions, correlating with a recurring increase in tax-related activity from December through April. The research observed phishing scams in both the United Kingdom and the United States. 

In the U.K., multiple tax phishing campaigns mimicked emails from HM Revenue & Customs (HMRC) and contained URLS that would lead a target to a credential-harvesting, actor-controlled websites. 

In the U.S., malicious domains were observed impersonating legitimate financial services, applications, and organizations that are associated with accounting, payments, and tax filing. 

Selena Larson, Senior Threat Intelligence Analyst at Proofpoint, comments, “Tax-themed content is always a popular lure around tax seasons globally, and Proofpoint typically sees an increase in this content at the beginning of the year, which aligns with U.K. and U.S. tax seasons. It can be an effective lure because it pairs urgency around deadlines often combined with the threat of additional fees, disruption to business, or impacts to payments. People also may feel more compelled to reply or engage with content when it appears to come from a position of authority such as a government agency. 

“It’s important for people to be extra mindful when they see an email in their inbox that looks like it’s related to taxes, because criminals are really good at crafting convincing lures. Because many of us conduct business over email, we may be expecting to see such content and assume it’s legitimate. Additionally, threat actors often pair emails with phone calls or text messages, leveraging multiple channels to launch their attacks.

“Be mindful about common techniques threat actors use like impersonated domains and identities, language that seems to be pushy and urgent, directing people to websites that are not officially owned by the impersonated entities, and asking people to submit payments to third-party apps or websites. By understanding these tactics and maintaining vigilance, individuals can significantly reduce the likelihood of falling victim to phishing attacks and effectively safeguard their money and sensitive information.”

https://www.securitymagazine.com/articles/101348-phishing-tax-scams-increase-as-tax-deadlines-approach




E-Identity ed eIDAS 2.0: l’evoluzione dell’identità digitale europea

Con l’introduzione del regolamento eIDAS 2.0, l’Unione Europea sta ridefinendo il futuro della E-Identity, aprendo nuove frontiere per un’identità digitale più sicura, interoperabile ed efficiente a livello continentale.

L’identità digitale gioca un ruolo sempre più cruciale nel mondo interconnesso di oggi. Con l’adozione del regolamento (UE) n. 1183/2024 denominato eIDAS 2.0, l’Unione Europea si propone di evolvere e ridefinire l’intero ecosistema della stessa, introducendo innovazioni che promettono infatti di migliorare la sicurezza, l’interoperabilità e l’efficienza dei servizi fiduciari. Questo articolo, si propone quindi di analizzare e approfondire, le caratteristiche chiave del nuovo regolamento europeo, le sue implicazioni con riguardo ai vari attori coinvolti e le sfide che accompagneranno la sua applicazione.

E-Identity: Caratteristiche e innovazioni

Quando si parla di eIDAS 2.0 ci si riferisce quindi alla proposta di modifica del Regolamento (UE) n. 910/2014. La proposta di revisione è stata adottata dalla Commissione Europea per affrontare appunto i limiti della precedente versione 1.0 e per rispondere alle nuove esigenze di un mercato sempre più digitalizzato. Esaminiamo allora nel dettaglio le sue principali innovazioni:

  1. Evoluzione da 1.0 a 2.0 e introduzione dell’European Digital Identity Wallet (EDIW)

La versione passata, si concentrava sulla creazione di un quadro giuridico che permettesse il riconoscimento reciproco delle identità digitali tra gli Stati membri. Tuttavia, nonostante alcuni successi, ha incontrato diverse criticità tra cui: frammentazione delle soluzioni nazionali, scarsa interoperabilità, e una limitata adozione da parte di cittadini e imprese.

Con la versione 2.0, la più importante innovazione introdotta dall’Unione Europea è costituita dall’European Digital Identity Wallet (EDIW), un portafoglio digitale che permetterà ai cittadini europei di:

  • Autenticarsi e accedere a servizi pubblici e privati in tutta l’UE.
  • Conservare e condividere attributi qualificati in modo sicuro e controllato.
  • Effettuare transazioni elettroniche avanzate, come la firma di documenti digitali, direttamente dal portafoglio.

Più precisamente si tratta di uno strumento, di una forma di E-Identity che sarà riconosciuta e utilizzabile non solo entro i confini nazionali, ma anche in tutti i Paesi dell’Unione Europea, i quali saranno tenuti a garantirne il riconoscimento. Il portafoglio digitale europeo fungerà da contenitore della E-Identity, suddiviso in sezioni simili alle tasche di un portafoglio tradizionale, dove potranno essere archiviati tutti i documenti digitali verificati o verificabili ed assumerà la forma di un’applicazione digitale.

L’obiettivo appare duplice: semplificare l’accesso ai servizi digitali in tutta Europa e garantire una maggiore autonomia e controllo dei cittadini sui propri dati.

  1. eIDAS 2.0: Implementazione di Identity Provider qualificati

Gli Identity Provider qualificati (Qualified Identity Providers) saranno responsabili della gestione dei profili digitali degli utenti. Non si tratta di una novità assoluta di eIDAS 2.0, poiché esistevano già delle forme di provider qualificati sotto eIDAS 1.0, ma la vera innovazione consisterà nel loro ruolo integrato con il wallet digitale europeo.

Si parla di enti, sia pubblici che privati, autorizzati a fornire e gestire identità digitali certificate secondo i requisiti imposti dal recente regolamento. A differenza di altri sistemi di autenticazione digitali meno strutturati, i Qualified Identity Providers dovranno però soddisfare una serie di criteri rigorosi.

Questi fornitori saranno certificati secondo standard europei rigorosi, garantendo che i dati personali siano trattati in modo sicuro, affidabile e conforme alla normativa.
Questa implementazione favorirà però anche, la competizione tra provider pubblici e privati, incentivando innovazione e miglioramento continuo dei servizi offerti.

  1. Framework per l’interconnessione transfrontaliera

Nonostante le premesse (eIDAS 1.0) fossero valide, ovvero promuovere l’interoperabilità tra i vari sistemi di identificazione adottati dai diversi Paesi, la realizzazione pratica si è rivelata più complessa del previsto. Il progetto di questa vasta infrastruttura sembra aver trascurato un elemento cruciale. Invece di optare per un sistema centralizzato unico, si è scelto di far comunicare tra loro le soluzioni sviluppate dai singoli Stati membri, senza però considerare le differenze negli “identificativi univoci” utilizzati da ciascun Paese.

Ad esempio, in Italia si adotta il Codice Fiscale, in Germania il Tax Identification Number (TIN) e in Francia il Numéro d’inscription au Répertoire des Personnes Physiques (NIRPP). Di conseguenza, l’identificativo valido in un determinato Paese risultava incompatibile con i servizi digitali del Paese in cui l’utente necessitava di accedere.

Una delle grandi ambizioni di eIDAS 2.0 è allora quella di garantire invece un’integrazione completa tra i sistemi di E-Identity dei vari Stati membri. Attualmente, molti Paesi utilizzano come sopra affermato, soluzioni non completamente compatibili, creando barriere per i cittadini che vogliono accedere a servizi fuori dai confini nazionali.
Grazie al nuovo framework, il riconoscimento dei profili digitali sarà immediato e standardizzato, semplificando l’accesso ai servizi pubblici e privati a livello europeo.

  1. Gestione degli attributi qualificati

L’attestato elettronico di attributi, sopra citati, è un attestato in forma elettronica che consente l’autenticazione degli stessi.

Con l’edizione 2.0, la loro gestione assume quindi un’importanza strategica. Oltre a permettere l’identificazione dell’utente, il sistema consentirà la verifica e l’utilizzo di specifici, come:

  • Titoli accademici (ad esempio, lauree e certificazioni professionali).
  • Documenti di guida (patenti, certificati di idoneità alla guida).
  • Certificati medici (ad esempio, attestati di vaccinazione o documenti sanitari richiesti per viaggi internazionali).
    Questo approccio migliorerà la trasparenza e l’efficienza, riducendo la necessità di documentazione cartacea.

Tuttavia, la gestione di tali dati pone sfide significative in termini di protezione, privacy e fiducia da parte dei cittadini. Ciò richiederà misure rigorose per proteggere i dati sensibili da accessi non autorizzati, come ad esempio una crittografia avanzata o autenticazione multi-fattore (MFA). I rischi di abuso o violazione della privacy potrebbero infatti minare la fiducia dei cittadini nel sistema.

  1. Services evoluti

I Trust Services (servizi fiduciari) sono al centro del regolamento. La versione 2.0 introduce infatti miglioramenti significativi nei seguenti ambiti:

  • Firme elettroniche avanzate e qualificate: strumento essenziale per validare digitalmente documenti ufficiali.
  • Sigilli elettronici: utilizzati per garantire l’autenticità di documenti elettronici emessi da enti o organizzazioni.
  • Timestamps qualificati: per garantire la validità temporale delle operazioni digitali.
  • Servizi di consegna elettronica certificata: che assicurano la tracciabilità e l’integrità dei messaggi inviati elettronicamente.
    Questi servizi saranno pienamente integrati nel nuovo ecosistema digitale, contribuendo a rafforzare la fiducia degli utenti nelle transazioni digitali. I Trust Services qualificati saranno invece essenziali per garantire che le transazioni digitali siano affidabili e sicure. Le imprese che offrono tali servizi dovranno adeguarsi alle nuove specifiche tecniche e normative per poter operare nell’ecosistema di recente creazione.

E-Identity: Conseguenze ed effetti del regolamento 1183/2024

La transizione al nuovo regolamento avrà impatti significativi su più livelli:

In Italia, lo SPID (Sistema Pubblico di Identità Digitale) e la CIE (Carta d’Identità Elettronica) sono i principali strumenti di identità digitale, insieme anche alla CNS (Carta Nazionale dei Servizi).

L’implementazione dell’eIDAS 2.0 richiederà quindi l’adeguamento di tutti questi strumenti identificativi.

  • SPID dovrà evolversi o essere integrato nel quadro dell’EDIW, migliorando l’interoperabilità con gli altri Stati membri.
  • CIE, già conforme agli standard europei, potrebbe essere ulteriormente valorizzata come supporto fisico complementare al wallet digitale.
  • CNS (Carta Nazionale dei Servizi), uno strumento già diffuso per l’accesso ai servizi digitali della Pubblica Amministrazione, richiederà un’evoluzione tecnologica e funzionale per essere compatibile con il nuovo quadro regolamentare europeo. L’obiettivo sarà garantirne l’integrazione con l’EDIW e mantenere un ruolo significativo come soluzione di identificazione e firma digitale sicura, evitando il rischio di obsolescenza.

L’introduzione della edizione 2.0 richiederà un notevole adeguamento delle infrastrutture IT nazionali. Tra le priorità vi saranno:

  • L’adozione di protocolli di sicurezza avanzati per la gestione dei profili digitali.
  • L’implementazione di piattaforme interoperabili per il riconoscimento e l’autenticazione transfrontaliera.
  • Il supporto alla certificazione degli Identity Provider qualificati.

La necessità di standardizzare le procedure di identificazione remota sarà un fattore chiave per garantire l’omogeneità nell’UE. Questo comporterà lo sviluppo di linee guida comuni per processi come l’onboarding digitale, riducendo i rischi legati a frodi o accessi non autorizzati.

Occorre sottolineare che il nuovo regolamento avrà un impatto significativo anche sulle procedure di Know Your Customer (KYC), specialmente nei settori bancario e assicurativo. Le aziende potranno verificare rapidamente l’identità dei clienti grazie all’accesso ai portafogli digitali, semplificando i processi di registrazione e migliorando l’esperienza utente.

Dibattiti e riflessioni attuali

Nonostante l’enorme potenziale dell’eIDAS 2.0, il regolamento sta costituendo sempre oggetto di dibattiti e interrogativi su temi cruciali.

Infatti, viene enfatizzato il principio di privacy by design, imponendo che il controllo sui dati personali rimanga nelle mani degli utenti. Tuttavia, ciò dovrà essere bilanciato con l’esigenza di creare un sistema semplice e intuitivo. Il successo di esso, infatti, dipenderà molto anche dalla capacità di equilibrare protezione e user experience. La salvaguardia, fondamentale per proteggere dati sensibili e garantire fiducia, deve convivere con un’esperienza utente intuitiva e fluida, indispensabile per assicurare un’adozione su larga scala. La sfida è ambiziosa: costruire un sistema che sia al tempo stesso impenetrabile e semplice da usare.

In merito alla creazione di un sistema paneuropeo di identità digitale si registrano interrogativi sulla sovranità digitale. Questo concetto, sempre più centrale nel dibattito tecnologico e politico europeo, riguarda la capacità degli Stati membri e dell’Unione Europea nel suo complesso di mantenere il controllo su dati, infrastrutture e processi legati alla gestione dell’identità digitale, senza dipendere da attori esterni o perdere autonomia decisionale. Sarà fondamentale quindi, garantire che il controllo dei dati rimanga in mano agli Stati membri, evitando che grandi aziende tecnologiche extra-UE, come i colossi statunitensi o cinesi possano assumere un ruolo dominante.

Ciò potrà avvenire attraverso l’incentivazione, lo sviluppo e l’adozione di soluzioni tecnologiche prodotte in Europa, come cloud nazionali o piattaforme open-source, per ridurre la dipendenza da fornitori esterni. Ancora, regolamenti europei come il GDPR e lo stesso regolamento 2.0 dovrebbero essere integrati con clausole che impediscano alle aziende extra-UE di accedere o gestire i dati sensibili dei cittadini europei.

La compatibilità tra sistemi digitali sviluppati in contesti normativi, tecnologici e culturali diversi presenta infatti numerose complessità: paesi diversi utilizzano protocolli e infrastrutture non sempre compatibili. Ad esempio, l’UE potrebbe utilizzare standard come il Qualified Electronic Signature (QES), mentre altre nazioni adottano sistemi proprietari o meno rigorosi.

L’obiettivo è creare un ambiente in cui i cittadini europei possano accedere a servizi digitali al di fuori dell’UE e, allo stesso tempo, permettere a cittadini stranieri di utilizzare i propri strumenti di identificazione digitale per accedere a servizi europei. Tuttavia, raggiungere questo traguardo richiede un equilibrio tra esigenze tecniche, normative e geopolitiche.

Saranno necessari quindi accordi bilaterali e standard internazionali per garantire una cooperazione efficace.

Conclusioni

Il Regolamento 1183/2024 rappresenta un passo fondamentale verso una gestione più integrata, sicura e accessibile dell’identità digitale in Europa, gettando le basi per un futuro in cui la fiducia, la sicurezza e l’interoperabilità saranno i pilastri fondamentali di una nuova era della E-Identity. Grazie all’introduzione dell’European Digital Identity Wallet, i cittadini e le imprese potranno beneficiare di un sistema più trasparente e interconnesso. Tuttavia, la sua implementazione richiederà investimenti significativi, un forte coordinamento tra gli Stati membri e un approccio attento alle sfide legate alla privacy, alla sicurezza e all’usabilità.

Se gestito correttamente, il nuovo regolamento potrebbe non solo rivoluzionare l’identità digitale europea, ma anche diventare un modello per il resto del mondo, promuovendo una visione della stessa centrata sui diritti dei cittadini e sulla fiducia reciproca tra istituzioni e utenti.

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/notizie/e-identity-e-eidas-2-0/




CERT-AGID 25 – 31 gennaio: attacchi contro funzionari governativi e rappresentanti di ambasciate


Questa settimana, il CERT-AGID ha identificato e analizzato 47 campagne malevole nel contesto italiano di sua competenza, di cui 27 mirate specificamente al Paese e 20 di carattere generico che hanno comunque coinvolto l’Italia. Agli enti accreditati sono stati forniti 705 indicatori di compromissione (IoC).

I temi della settimana

Questa settimana sono stati individuati 18 temi, utilizzati per diffondere campagne malevole in Italia. Tra i più rilevanti figurano:

Il tema Banking, frequentemente sfruttato nelle campagne di phishing, ha colpito clienti di istituti bancari italiani e internazionali come Intesa Sanpaolo, BPM, Capital One, Nedbank e HSBC, attraverso email ordinarie e PEC. È stata inoltre rilevata una campagna di smishing italiana mirata alla distribuzione del malware SpyNote tramite un file APK malevolo.

Questa settimana il CERT-AGID ha identificato e analizzato 47 campagne malevole, ed emesso 705 indicatori di compromissione.

L’argomento Ordine è stato utilizzato per la diffusione di diversi malware, tra cui sei campagne generiche volte a diffondere Snake Keylogger, VIPKeyLogger, AgentTesla, Formbook e Lokibot, oltre a una campagna italiana che ha distribuito il malware ModiLoader.

Il tema Verifica è stato sfruttato in due campagne di phishing italiane, una rivolta agli utenti Microsoft 365 e un’altra che ha abusato del nome e del logo della Polizia di Stato. Inoltre, lo stesso argomento è stato usato in due campagne di phishing mirate a generiche webmail.

Gli altri temi individuati sono stati impiegati per diverse campagne di malware e phishing.

Tra gli eventi di particolare rilievo di questa settimana, continua l’ondata di smishing ai danni degli utenti INPS.

I truffatori inviano SMS fraudolenti che imitano comunicazioni ufficiali dell’ente previdenziale, inducendo le vittime a visitare un sito web contraffatto. Qui vengono richiesti documenti personali, tra cui carta d’identità, patente, tessera sanitaria, IBAN e le più recenti buste paga.

Sono stati inoltre rilevati attacchi mirati contro funzionari governativi del settore finanziario e rappresentanti di ambasciate in Europa.

Gli aggressori utilizzano documenti XLSM con macro dannose per distribuire una versione modificata di TeamViewer, che consente il controllo remoto dei dispositivi compromessi.

Questo malware permette di acquisire informazioni sensibili ed eseguire ulteriori payload, nascondendo al contempo l’interfaccia del software. L’attacco ha preso di mira specifici obiettivi del settore pubblico in diversi Paesi, tra cui l’Italia.

Fonte: CERT-AGID

Infine, è stata individuata una nuova campagna di phishing che sfrutta il nome e il logo della Polizia di Stato italiana per ingannare le vittime.

Malware della settimana

Nel corso della settimana, sono state individuate 14 diverse famiglie di malware che hanno colpito l’Italia, con alcune campagne di particolare rilievo.

Tra queste, VipKeylogger è stato diffuso attraverso tre campagne generiche a tema “Pagamenti”, “Ordine” e “Fattura”, veicolate tramite email con allegati DOCX, GZ e RAR. FormBook e SnakeKeylogger sono stati utilizzati in tre campagne ciascuno, sfruttando temi come “Prezzi” e “Ordine” e propagandosi tramite email con allegati ZIP e RAR.

Il malware Modiloader è stato rilevato in due campagne italiane legate ai temi “Ordine” e “Pagamenti”, trasmesse tramite email con allegati GZ, mentre AgentTesla è stato distribuito in due campagne generiche a tema “Ordine” e “Booking”, sfruttando allegati RAR e CAB.

Sono state individuate due campagne italiane di Rhadamanthys, diffuse con email a tema “Legale” contenenti link a file ZIP e 7Z malevoli. SpyNote, invece, è stato impiegato in una campagna italiana a tema “Banking”, diffondendo un APK dannoso via SMS.

Fonte: CERT-AGID

Tra gli altri malware rilevati, NetSupportRat è stato veicolato con email a tema “Documenti” e allegati XLSM, mentre Guloder ha colpito con una campagna italiana a tema “Ordine”, utilizzando allegati RAR. Danabot è stato diffuso tramite email a tema “Booking” con link a file HTA, mentre XWorm ha sfruttato pagine web con CAPTCHA falsi.

Infine, sono state individuate campagne che hanno diffuso Remcos (tema “Pagamenti”, allegato ZIP), Lokibot (tema “Ordine”, allegato GZ) e AsyncRat (tema “Legale”, allegato ZIP).

Phishing della settimana

Nel corso della settimana, 14 brand sono stati coinvolti nelle campagne di phishing, con attacchi finalizzati al furto di credenziali e dati sensibili degli utenti.

Tra i nomi più colpiti spiccano Intesa Sanpaolo, frequentemente preso di mira attraverso email fraudolente che simulano comunicazioni ufficiali della banca per indurre le vittime a inserire i propri dati di accesso.

Anche cPanel, noto provider di servizi di gestione web, è stato sfruttato per campagne mirate a compromettere account amministrativi e di hosting.

Un altro bersaglio significativo è stato Nedbank, istituto finanziario internazionale, con campagne di phishing che riproducono in modo ingannevole le comunicazioni ufficiali della banca.

Fonte: CERT-AGID

Di particolare rilievo anche gli attacchi che hanno abusato del nome e del logo della Polizia di Stato, con email fraudolente che cercano di convincere le vittime a fornire informazioni personali, facendo leva sulla paura o sull’urgenza di un’azione immediata.

Oltre a questi marchi specifici, si è registrato un numero ancora più elevato di campagne non brandizzate, mirate alle webmail generiche.

Formati e canali di diffusione

Il rapporto settimanale del CERT-AGID ha evidenziato l’impiego di nove differenti tipologie di file per la distribuzione di contenuti dannosi, confermando la continua evoluzione delle tecniche utilizzate dai cybercriminali.

Tra i formati più sfruttati, lo ZIP si è confermato il più diffuso, impiegato in ben nove campagne malevole. A seguire, i file GZ e RAR sono stati utilizzati in quattro campagne ciascuno, dimostrando la loro efficacia nel veicolare malware attraverso allegati compressi. Il formato HTML è stato riscontrato in tre casi, spesso utilizzato per reindirizzare le vittime verso siti fraudolenti.

Meno frequenti, ma comunque presenti, i file DOCX, CAB, XLSM, 7Z e APK, ciascuno rilevato in una singola campagna.

Fonte: CERT-AGID

Per quanto riguarda i canali di distribuzione, le email continuano a essere il vettore principale, impiegate in ben 42 campagne malevole, a dimostrazione della loro centralità negli attacchi informatici. Anche le PEC hanno mantenuto un ruolo rilevante, coinvolte in quattro campagne, confermando il crescente interesse dei criminali informatici per i canali di comunicazione certificati.

Infine, sebbene meno frequente, è stato registrato un attacco condotto tramite SMS, un vettore insolito ma sempre più utilizzato per campagne di smishing finalizzate al furto di credenziali e dati sensibili.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2025/02/03/cert-agid-25-31-gennaio-attacchi-funzionari-governativi-rappresentanti-ambasciate/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-25-31-gennaio-attacchi-funzionari-governativi-rappresentanti-ambasciate




Big events, bigger risks: How teams keep large events safe

@import url(‘https://fonts.googleapis.com/css2?family=Architects+Daughter&family=Roboto:ital,wght@0,100;0,300;0,400;0,500;0,700;0,900;1,100;1,300;1,400;1,500;1,700;1,900&display=swap’); h3 { font-weight: bold; font-size: 18px; color: #C72026; } .pqFull { display: block; border-width: 2px 0; border-style: solid; border-color: #404144; padding: 1.5em 0 0.5em; margin: 1.5em 0; position: relative; Architects Daughter’, Arial, sans-serif; font-size: 21px; text-align: center; color: #0067A6; } .pqFull:before { content: ‘\201C’; position: absolute; top: 0em; left: 50%; transform: translate(-50%, -50%); background: #fff; width: 3rem; height: 2rem; color: #666; text-align: center; } .pqFull:after { content: “\2013 \2003” attr(cite); display: block; text-align: center; font-size: 18px; color: #404144; }

When the Atlanta Falcons play at Mercedes-Benz Stadium, there may be 70,000-plus fans on hand to see the action.

“We’re basically a small city,” said Joe Coomer, Vice President of Security at AMB Sports and Entertainment, which is comprised of the NFL Falcons and Major League Soccer’s Atlanta United FC. “My frontline security staff is over 500, augmented by another 150 police officers on the inside and 150 police officers on the outside, and then a 40-person medical team to assist.”

From mega-conventions to sporting contests, big events present big challenges to security teams. And it’s getting harder, with social-media misinformation and an increasingly hostile public complicating the picture. At the same time, technology advances are giving security teams an edge.

security panel

Disruptive Trends

A number of recent trends are disrupting event security. That includes a rising frequency of misinformation — rumors that can impact public behaviors, Coomer said.

“At a previous venue I worked out west, we did a large international soccer game where misinformation was being shared on social media that the sheriff’s department was checking IDs for targeted demographics,” he said. “It wasn’t true, but it had a negative impact on the fans attending, as well as the workforce being employed for the event.”

In another instance, security had to head off a potential frenzy when a rumor circulated that a controversial presidential candidate was going to be dropping by an event. “The candidate was not coming, so we had to disrupt that train of thought, we had to clean up,” Coomer said.

In addition to addressing the online rumor mill, security professionals also have to contend with a change in the public mood. People are less tolerant these days, quicker to get angry.

“Ever since Covid, there has been a change in the behavior of patrons,” said Earl Biggett, M.Sc., CPD, CPP, ILO, Security & Transportation Administrator in the Security, Parking & Transportation Division at the massive Orange County Convention Center in Orlando, Fla.

That public mood shift impacts how security operates at a big event. “We have to remember: Patience and understanding. We’re not a police force. We don’t put cuffs on,” he said. “We want people to want to come back to the facility and have a pleasant experience.”

Emerging technologies, and some reliable best practices, help security professionals to deliver that “pleasant experience,” while still keeping big events secure.

Technological Improvements

The Orlando convention center’s biggest annual event, MEGACON ORLANDO, can draw upwards of 183,000 people over four days. Biggett leans heavily on technology to manage those crowds.

“We want to make sure we don’t put too many people in the hall, which can cause an actual hazard if people are trying to get out, trying to escape,” he said. To that end, he’s recently begun installing ‘people counters’ in the halls.

“It’s a downward-facing device and as you pass a threshold either way, it counts you — either going in or coming out,” he said. When spaces are getting too crowded, security can limit the flow.

The first step in preparing for any event is conducting a thorough risk assessment of the designated venue to identify potential hazards or security vulnerabilities.”

Biggett also is using Knightscope, an autonomous patrolling robot. “It’s designed to augment the security personnel. The robot has a 360-degree camera and it alerts you when someone’s in an area where they shouldn’t be,” he said. “You might say that from midnight until six a.m., there should be nobody on the back docks. When it’s patrolling, if it picks somebody up in that area, it takes a snapshot of the person and sends an alert to the command post.”

Coomer likewise is tapping tech tools, for example with the use of frictionless security screening.

Previous generations of magnetometers would alert for belt buckles or medical metallics. “We saw a 23 to 25 percent alert rate, so there was a consistent source of friction and ended up being a negative interaction and experience for fans,” he said.

Newer frictionless technology “can be very specific and very smart about the objects that are being detected. The technology looks for things that may resemble a gun barrel or if there is enough metal to be a makeup of a gun or knife,” he said. Alert rates are down to around six to eight percent.

Experts say such tools work best when leveraged in conjunction with the basic block-and-tackle of event security.

“The first step in preparing for any event is conducting a thorough risk assessment of the designated venue to identify potential hazards or security vulnerabilities,” said Rosby Jones, Director of Security, National Event Operations at Lincoln Security Services, which manages more than 50 events annually. Attendance ranges from 5,000 to 22,000 and clients include the American Heart Association and the American Society for Industrial Security (ASIS).

“This assessment considers the venue’s infrastructure, crowd management strategies, and threats from natural disasters and medical emergencies,” Jones said. The assessment helps security teams to plan for the event, taking into account “the venue’s access control procedures, emergency response plans, and technological capabilities.”

Those emergency response plans in particular are “a critical element” of event security, he said. The plan should include protocols for fire, medical, natural disasters, and security threats, along with protocols for evacuation procedures and medical support.

And there needs to be an emergency-comms strategy as well. Digital signage for example “is essential to ensure clear communication” in the event of an emergency, he said.

It’s worth digging deeper into this question of communication, which is essential not just in an emergency but in all aspects of big-event security.

Communication & Collaboration

In Coomer’s organization, mass-communication solutions help to support “a culture of communication,” he said.

“We use a program called Everbridge, a communication tool tailored to communicate with all associates should there be an incident. When we get into those times of emergencies or challenges, we can push out notifications to everybody,” he said. “We can notify all of our associates, all the way up to our executives and our leadership: Hey, we have a tornado warning. We’re in shelter-in-place mode. Please move your positions.”

Those communications efforts need to extend beyond the security personnel and venue staff, to encompass all the partner organizations that support the security effort. That may include not just the security team, but also law enforcement and emergency personnel.

To keep all those parties connected, “it is crucial to outline the communication protocol,” said John Krivulka, vice president of event security services at Lincoln Security Services. “Clear, distinct, and ongoing communication ensures that all partners are on the same page and will react appropriately when needed.”

Biggett actually has a part of his security team dedicated to doing just that. “We have individuals called event security liaisons. They’re specifically tied into the event, to act as a conduit between the actual event, the client, and security,” he said.

That coordinated effort really goes to the heart of the way in which many security professionals approach a big-event situation. They say it takes a collaborative approach to ensure tens of thousands of people have an experience that’s both pleasant and safe.

“All of this this is team driven,” Biggett said.

“When we start planning and preparing for events, there’s no one segment that does it all. It’s a team effort between event management, housekeeping, facility maintenance. Everybody has a part to play, including the Department of Homeland Security and the FBI,” he said. “It’s one big team trying to make sure that everything’s good to go.”

https://www.securitymagazine.com/articles/101327-big-events-bigger-risks-how-teams-keep-large-events-safe




Coming soon to job boards: The Chief Secure Networking Officer

As GenAI workloads surge like a freight train, businesses face an unprecedented demand for high-speed, secure connectivity without compromise. The era of trade-offs between performance and security is over. To navigate this complex and accelerating IT landscape, organizations need a unified approach — and a leader to drive it.

Enter the Chief Secure Networking Officer (CSNO), a transformative role designed to converge networking and security, enabling the seamless connectivity and robust protection necessary to deploy GenAI and other next-generation technologies safely and effectively.

Let’s explore what this future-facing position might look like.

Position summary

The Chief Secure Networking Officer (CSNO) is a transformative role designed to ensure seamless performance and security for next-generation technologies like GenAI. With the increasing demand for high-speed, secure connectivity, the CSNO would lead the convergence of networking and security functions, eliminating silos to deliver proactive security and robust connectivity without trade-offs. This role would be pivotal in enabling businesses to innovate and safely deploy GenAI applications and other transformative technologies.

Mapping out key responsibilities

The CSNO should have a broad range of responsibilities, including:

  • Strategic alignment: Developing a comprehensive secure networking strategy that supports business innovation, growth and the specific demands of GenAI workloads.
  • Leadership in convergence: Integrating networking and security teams, fostering a collaborative environment through shared KPIs, streamlined operational processes and centralized management.
  • Technology leadership: Driving the adoption of advanced solutions like Unified SASE as a Service and Zero Trust WAN to deliver consistent performance and security across the organization.
  • Risk and security management: Enhancing the organization’s overall security posture while maintaining optimal network performance, particularly in hybrid and cloud environments.
  • Infrastructure modernization: Preparing the IT infrastructure to effectively support GenAI, real-time applications and global expansion initiatives.

Identifying qualifications

The ideal candidate for the CSNO position should bring a wealth of experience and expertise to the table, including:

  • A minimum of 15 years in networking, security or IT leadership roles.
  • Deep expertise in key areas like Secure Access Service Edge (SASE), zero trust architectures, SD-WAN and cloud networking.
  • Proven ability to align IT strategies with evolving business goals, including support for next-gen technologies like GenAI, ensuring that technology investments directly support the organization’s objectives.

Measuring success

The CSNO will play a crucial role in enabling the organization to fully leverage the power of GenAI. This involves ensuring the seamless and efficient deployment of GenAI workloads and providing the secure and high-speed connectivity necessary for these technologies to thrive. This leader will proactively plan for capacity, optimize network performance and address the unique security challenges posed by GenAI applications.

Success in this area will be evident through tangible improvements in key performance indicators such as uptime, latency and application performance. The CSNO will be responsible for implementing solutions that enhance the overall user experience, ensuring smooth and reliable access to critical applications and services.

The CSNO will also be accountable for strengthening the organization’s security posture. This means reducing the number of successful cyberattacks, demonstrating proactive risk mitigation, and improving compliance with relevant security standards and regulations. A key focus should be building a security architecture that adapts to the evolving threat landscape.

Finally, the CSNO will drive operational efficiency across IT. This means streamlining processes, reducing management overhead and optimizing costs. By implementing automation, consolidating tools and systems, and improving the overall efficiency of IT operations, the CSNO will free up valuable resources, allowing the IT team to focus on strategic initiatives that directly support business growth.

So what?

The future demands convergence — and a CSNO to drive it.

The CSNO isn’t just a new title — it’s a strategic necessity in the GenAI era. This role ensures businesses can safely embrace innovation, delivering the high-speed, secure connectivity required to support GenAI workloads while adapting to hybrid workforces and complex IT ecosystems.

A CSNO drives the convergence of networking and security, eliminating trade-offs to unlock business performance, agility, and resilience. This leader prepares organizations for the future, ensuring they remain competitive and ready for what’s next.

https://www.securitymagazine.com/articles/101347-coming-soon-to-job-boards-the-chief-secure-networking-officer




DeepSeek: il top della tecnologia cinese dimentica di chiudere il database esposto


La rapida ascesa della startup cinese di intelligenza artificiale, DeepSeek, è stata offuscata da una significativa falla di sicurezza che ha esposto tantissimi dati interni e degli utenti, sollevando serie preoccupazioni riguardo alla gestione della sicurezza. Questa vulnerabilità, scoperta dai ricercatori di sicurezza di Wiz, ha interessato un database ClickHouse che era accessibile senza necessità di autenticazione, consentendo a soggetti potenzialmente malevoli di accedere a informazioni cruciali.

Il database ClickHouse, ospitato agli indirizzi oauth2callback.deepseek.com:9000 e dev.deepseek.com:9000, offriva il controllo completo sulle operazioni del database. Ciò comprendeva l’accesso a dati interni, inclusi la cronologia delle chat, chiavi segrete, dettagli del backend, segreti delle API e metadati operativi. La vulnerabilità poteva essere sfruttata tramite l’interfaccia HTTP di ClickHouse, permettendo l’esecuzione di query SQL arbitrarie direttamente attraverso un browser. La mancanza di autenticazione implicava che chiunque fosse a conoscenza dell’indirizzo del database poteva potenzialmente accedervi e sfruttare la falla. I ricercatori hanno identificato oltre un milione di righe di log contenenti dati sensibili. Attraverso l’interfaccia di ClickHouse, era anche possibile sottrarre password e file direttamente dal server.

La falla di sicurezza ha consentito un accesso non autorizzato a un’ampia gamma di informazioni, inclusi dati personali degli utenti e potenziali documenti sensibili aziendali. La mancanza di autenticazione ha reso possibile la completa escalation dei privilegi all’interno dell’ambiente di DeepSeek, senza alcuna difesa. Nonostante DeepSeek abbia risolto la vulnerabilità dopo essere stata contattata dai ricercatori di Wiz, non è dato sapere se i dati siano finiti nelle mani di cybercriminali.

DeepSeek ha agito prontamente per risolvere la falla di sicurezza, con un aggiornamento pubblicato il 29 gennaio 2025, in cui dichiarava di aver identificato il problema (forse anche abbastanza palese) e di essere al lavoro per implementare una soluzione. Tuttavia, questo incidente ci riporta ai tempi dei bucket S3 aperti su AWS, un fenomeno ai tempi così diffuso e pericoloso da costringere Amazon a chiudere di default con password i bucket che venivano creati.

Questa situazione si colloca in un contesto più ampio di preoccupazioni riguardanti la privacy e la sicurezza connesse all’IA. Il Garante della Privacy italiano ha bloccato DeepSeek dopo aver ricevuto informazioni insufficienti sulla gestione dei dati. Il Garante ha inoltre notato che l’azienda ha dichiarato di non operare in Italia e di non essere quindi soggetta alla normativa europea. Anche l’Irish Data Protection Commission (DPC) ha inviato una richiesta simile. Sono anche emersi sospetti di furto di proprietà intellettuale, con accuse secondo cui DeepSeek potrebbe aver utilizzato l’API di OpenAI senza autorizzazione per addestrare i propri modelli, una pratica nota come “distillazione”. Infine, sono state sollevate preoccupazioni riguardo ai legami di DeepSeek con il governo cinese.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2025/01/31/deepseek-il-top-della-tecnologia-cinese-dimentica-di-chiudere-il-database-esposto/?utm_source=rss&utm_medium=rss&utm_campaign=deepseek-il-top-della-tecnologia-cinese-dimentica-di-chiudere-il-database-esposto




Speed vs. security: The truth about weapons detection systems

In today’s world, ensuring the safety of public spaces is no longer optional — it’s a responsibility. Concealed Weapons Detection Systems (CWDS) are crucial tools in this effort, but the market is flooded with options, each claiming to be the fastest and most effective. Decision-makers must grapple with the fundamental trade-offs between speed and security, often making the difficult choice of which aspect to prioritize for their unique environment. 

As administrators navigate these decisions, they face the sobering reality of growing concerns from parents and teachers about campus safety, particularly the threat of gun violence. Data from Everytown for Gun Safety reveals an increase in gun-related incidents on school campuses across the United States. During the 2022-2023 academic year alone, there were at least 144 incidents of gunfire on school grounds — a 31% increase from the previous year — resulting in 36 fatalities and 87 injuries. The increase in gun violence in schools underscores the critical need for advanced weapons detection systems that not only work quickly but are also highly reliable in identifying concealed mass-casualty weapons. 

Selecting a weapons detection system requires aligning the system’s capabilities with the specific demands and vulnerabilities of the organization. Such decisions require not only a thorough understanding of the technology but also an honest assessment of the risks an organization is willing to accept. Making the wrong choice — whether due to underestimating threats or prioritizing convenience — has consequences.

The speed trap:

Many weapons detection system manufacturers boast impressive throughput rates, claiming to screen thousands of people per hour without compromising security. However, these claims often rely on a critical compromise: ignoring smaller types of potential metallic threat items.

For instance, systems designed to allow mobile phones and keys to pass through unimpeded inevitably create vulnerabilities for smaller threats. While this speeds up the screening process it also opens the door for smaller weapons like knives or even sub-compact firearms, to slip through undetected.

The truth is there is a trade-off between the speed of screening and the depth of security screening. High-throughput systems designed to screen large crowds quickly may compromise on detecting less common or harder-to-identify threats. Striking the right balance is a critical decision, especially for sites like schools and hospitals.

The AI x-ray factor:

AI X-ray systems offer a higher level of security as they provide a visual representation of the contents of bags and belongings and can be configured to detect both ferrous and non-ferrous metals. This is crucial because some weapons, like certain knives and even 3D-printed guns, aren’t made of steel (ferrous metal). 

With AI-enabled X-ray technology, objects are identified and labeled, distinguishing harmless items from potential threats. When a risk is detected, officers are alerted in real-time, allowing for swift and precise intervention. This capability not only streamlines the screening process but helps to identify objects that would go undetected via standard metal detectors.

In a campus setting, a combined CWDS/X-ray system can be seamlessly integrated into entry points (even in small spaces) providing a robust layer of security. Utilizing two X-ray scanners alongside a walk-through metal can help maintain a steady flow. And with continuous learning capabilities, AI-powered X-ray systems adapt to emerging threats, offering a dynamic and ever-improving security solution. Implementing a dual approach can help maintain a steady flow of individuals while ensuring thorough screening and can address the needs of many high-traffic environments.

Finding the right balance:

The ideal CWDS solution depends on the specific needs and priorities of an organization. Factors to consider include:

Traffic volume: How many people need to be screened per hour?

Sites with high traffic need to screen thousands of people per hour without causing bottlenecks or significant delays. A smaller facility with low foot traffic may be willing to deploy a slower system.  Whether an organization needs a high-throughput system to avoid long wait times or one with advanced threat-detection capabilities for maximum security, the choice must align with operational goals and resources.

Security level: What level of risk is acceptable?

In reality, different environments have varying levels of acceptable risk. A high-security facility, like a government building or nuclear plant, may require a system that can detect even the smallest threats, with virtually zero tolerance for error. On the other hand, a retail store or entertainment venue may be willing to accept slightly lower sensitivity to ensure smoother customer experiences. An organization must choose. 

Budget: What is the financial investment security leaders areable and willing to make?

Cost is an important consideration, as WDS solutions can range significantly. Factors such as installation, maintenance, and potential upgrades should also be factored into the budget. Clearly defining the budget ensures that security leaders select a solution that meets their needs without exceeding financial limits.

Space constraints: How much physical space is available for the system?

Available physical space greatly influences the choice of a CWDS. Compact systems are ideal for facilities with limited space, such as small office buildings or storefronts, where every square foot counts. Space constraints also dictate the layout and positioning of the system, as well as considerations like how it integrates into existing entryways or checkpoints. Ensuring the system fits seamlessly into the environment is essential for effective deployment.

Key takeaways:

  • AI X-ray speeds up property search 
  • AI X-ray systems offer enhanced security scanning for broad range of prohibited items
  • Dual AI X-ray and walk-through systems can optimize both speed and security.

No weapons detection system can guarantee that 100% of threats will be detected, but by carefully considering these key factors and understanding the limitations of different technologies, an organization can make an informed decision about concealed weapons detection systems and effectively balance their security needs with operational efficiency.

This article originally ran in Security, a twice-monthly eNewsletter. Subscribe to never miss out on future content.

https://www.securitymagazine.com/articles/101345-speed-vs-security-the-truth-about-weapons-detection-systems




Report finds 1,025% rise in AI vulnerabilities, many tied to APIs

Wallarm has released its 2025 API ThreatStats Report, demonstrating that the prominent attack surface over the past year has been APIs. Furthermore, the biggest driver of API security risks was AI.

Researchers tracked and examined 439 AI-related CVEs, marking a 1,025% rise from the previous year. 99% of these were directly linked to APIs including including misconfigurations, injection flaws and new memory corruption vulnerabilities (resulting from AI’s dependence on high-performance binary APIs). Moreover, more than half of CISA’s recorded exploited vulnerabilities were API-connected for the first time, representing a 30% increase from the previous year. 

The report found both legacy and modern APIs are the target of attacks. Legacy APIs are at risk due to outdated designs, while modern APIs are at risk due to improper configurations and integration difficulties.

CISA’s Known Exploited Vulnerabilities (KEV) Catalogue shows APIs are the largest category of leveraged vulnerabilities, with 33% being modern APIs. Exploits include injection attacks, improper authentication and API endpoint misconfigurations. 18% of leveraged vulnerabilities were legacy APIs in web applications. Common exploits include CSRF attacks, URL-based injection and outdated session-handling mechanisms.

https://www.securitymagazine.com/articles/101346-report-finds-1-025-rise-in-ai-vulnerabilities-many-tied-to-apis




Top 2025 security conferences

Security conferences provide an opportunity for security leaders and professionals to gather and share valuable information.

 Security magazine offers a roundup of security conferences taking place in 2025. 

ASIS Europe

Dublin, Ireland

March 4 — 6, 2025

ASIS Europe brings together aspiring and established security leaders from across the continent and the world to discuss enterprise risk and resilience in the changing threat landscape.

RLSPA

Nashville, Tennessee

March 30 — April 2, 2025

The Restaurant Loss Prevention & Security Association (RLPSA) Annual Conference provides restaurant security professionals an opportunity to network and share sector-specific insights across organizations, strengthening the overall security of the restaurant industry.

ISC West

Las Vegas, Nevada

March 31 — April 4, 2025

As one of the largest North American security conferences, ISC West serves as a meeting place of security professionals, technology specialists and other industry leaders. This conference includes women in security events, networking opportunities for young professionals, educational sessions and keynotes from prominent security leaders. 

IAHSS

Phoenix, Arizona

June 2 — 4, 2025

Healthcare security leaders who attend the International Association for Healthcare Security & Safety (IAHSS) Annual Conference and Exhibition will gain the opportunity network within their sector and strengthen the hospital information-sharing network. This year’s event includes leadership keynotes and sessions focused on emerging & enduring threats to the industry, such as workplace violence.

The Security Event

Birmingham, England

April 8 — 10, 2025

The Security Event — hosted in the National Event Centre — provides a space for enterprise & public-sector security professionals to network with each other and discover new security technologies. Co-located with a number of other events, including a fire safety conference, The Security Event caters to security professionals across a number of industry sectors.

International Public Safety Association Annual Conference

Richmond, Virginia

May 1 — 2, 2025

The 2024 International Public Safety Association Annual Conference brings together public safety officials representing law enforcement, fire, EMS, telecommunications, emergency management and allied emergency responders from around the United States and internationally. It combines networking events with educational resources for professionals to grow in their field.

SIA GovSummit

Washington, D.C.

May 20 — 21, 2025

Government security leaders gather at the SIA GovSummit each year. The 2024 event is free to government attendees with a focus on how governments can leverage security technologies. Keynote addresses will come from industry leaders in well-respected organizations.

IFCPP

New Haven, Connecticut

May 3 — 8, 2025

Held in Chicago, ghe International Foundation for Cultural Property Protection (IFCPP)’s 25th Annual Conference cultivates interorganizational learning as security leaders from museums, universities and other cultural institutions gather to network and share security strategies specific to the field.

NCS4 

San Antonio, Texas

June 30 — July 2, 2025

More than 500 sports safety professionals convene each year at the NCS4 Annual Conference, taking place this year in Phoenix, Arizona. Panels held by event & facility safety leaders will focus themes affecting the industry in the past year, from how to mitigate emerging threats to strategies for patron protection.

GSX

Orlando, Florida

September 29 — October 1, 2025

The Global Security Exchange (GSX) conference from ASIS International unites security and technology leaders to discuss the newest trends and security challenges seen across the world. This year’s conference will feature a large exhibit hall and information sessions, as well as networking events.

International Security Expo

London, England

September 30 — October 1, 2025

The International Security Expo is a conference for security professionals worldwide at all stages of their careers, from entry-level professionals to seasoned executives. Both government and private-sector security leaders are encouraged to engage with each other and explore new technologies and security strategies at this event. 

Security Canada Central

Toronto, Ontario

October 22 — 23, 2025

Every October, thousands of security professionals come to Security Canada Central to see the latest technology innovations, access unparalleled educational opportunities and take part in the conversations defining today’s industry. This is the biggest security show in Canada. 

Consult

Denver, Colorado

October 3 — 6, 2025

CONSULT is an annual event hosted by SecuritySpecifiers and geared towards security consultants. Conference attendees can explore new and developing technologies and their implementations across sectors, featuring a number of informational panels and discussions from industry leaders in technology, consulting, cybersecurity and more.

SECURITY 500 Conference

Washington, D.C.

November 17, 2025

The 16th annual SECURITY 500 Conference from Security magazine will take place this November in Washington, D.C. The event features panel discussions and keynotes from a number of influential physical security and cybersecurity executives and unites government and private sector security leaders.

ISC East

New York City, New York

November 18 — 20, 2025

ISC East provides security professionals with the opportunity to engage one-on-one with top industry leaders, as well as participate in security education, training and networking. Hosted by sponsor SIA and partner ASIS NYC, ISC East brings together law enforcement, security vendors, enterprise security leaders and government employees for security discussions.

IFSEC

London, England

November 25 — 27, 2025

Co-located with events on fire safety, intelligent buildings, health & safety, and facilities, IFSEC Global’s International Security Event serves as a reunion of security leaders from across the globe responsible for international security at their organizations. 

https://www.securitymagazine.com/articles/101344-top-2025-security-conferences




Vulnerability discovered in Subaru’s connected vehicle service

Research from Shubham Shah and Sam Curry reveals Subaru’s STARLINK connected vehicle service contains a vulnerability that permits unrestricted, targeted access to all user accounts and vehicles in the United States, Canada, and Japan. 

By exploiting this vulnerability, a malicious actor could obtain sensitive data and control if they also had the victim’s surname and ZIP code, phone number, email address, or license plate. With the listed information, a malicious actor could: 

  • Retrieve the location of a vehicle
  • Remotely lock, unlock, start or stop a vehicle
  • Obtain a vehicle’s location history from the past year
  • Retrieve miscellaneous data (such as odometer reading, previous owners, call history, sales history, and more) 

Josh Jacobson, Director of Professional Services at HackerOne, discusses the vulnerability in greater depth. “Researchers Shubham Shah and Sam Curry identified hardcoded credentials within JavaScript files and then allowed them to replace employee email addresses, reset passwords without confirmation tokens, and bypass 2FA by modifying the UI, thus giving them access to the admin panel. Once inside the admin panel they essentially gained ‘God Mode’ access, enabling them to search for any STARLINK-connected vehicle. How was all of this possible without notice? Hard-coded credentials, lack of end-user notifications for account changes, and weak security between application and vehicle communication.”

Jacobson adds, “The vulnerability emphasizes a big issue with interconnected vehicles. They often rely on the outdated CAN bus protocol, which was designed in the 1980s without security in mind. CAN bus doesn’t have any encryption or authentication mechanisms built in, leaving it vulnerable to exploitation once at that layer.”

This access could also allow a malicious actor to find personally identifiable information (PII) of users, including authorized users, emergency contacts, physical addresses, billing information, and vehicle PIN numbers. Clyde Williamson, Senior Product Security Architect at Protegrity, offers insights on the risks this exposed data could present.

“This data definitely makes it easier for hackers to determine who you are and where you’ve been. It can also tell hackers where your friends and family are, it can tell them where to look for medical information, or it could even give them small personal details they can then use in social engineering attacks,” Williamson states. “A car’s data might be more than enough information to sell to somebody who will call and try to scam your grandma out of money by saying you were in an accident, or any number of personal emergencies. 

“Customers don’t typically know of these risks when they’re just trying to purchase a safe, modern vehicle, and this just goes to show how expansive attack surfaces can truly be. Is this data being properly secured by these car manufacturers — both against external and internal threats? 

“My guess is no, and they need to immediately look into data protection strategies like encryption and tokenization that can render data useless to attackers and insider threats, making it impossible to steal and use maliciously. 

“Over the last few years, we’ve seen several examples of regulatory failure when it comes to data privacy. The consistency in which incredibly sensitive customer data — data that they may not know they’re giving — has been stolen is concerning. Whether or not this was such a case, shady data collection practices where customers aren’t told or worse, the information is buried in terms and conditions, just emphasizes the need for better legislation and better company buy-in to data security.”

https://www.securitymagazine.com/articles/101343-vulnerability-discovered-in-subarus-connected-vehicle-service