Неизвестные хакеры получили доступ к приватной информации о примерно 100 000 пользователей, хранившейся на серверах Налогового управления США (Internal Revenue Service, IRS). Об этом само управление заявило на официальном сайте.
Судя по всему, злоумышленники использовали для взлома данные о пользователях, полученные в результате других утечек. Они позволили ответить на “секретные вопросы” и получить доступ к защищенным двухфакторной авторизацией учетным записям в “налоговом” онлайн-сервисе Get Transcript. Приложение используется миллионами американцев для получения данных об уплаченных ими налогах, полагающихся налоговых вычетах и т.п.
Хакеры окучивали систему Get Transcript несколько месяцев - с февраля по середину мая. За это время были совершены попытки несанкционированного доступа к примерно 200 000 аккаунтам, половина их которых окончились неудачей из-за ввода неправильной информации.
Причина, по которой хакерам удалось взломать огромное количество учетных записей - использование налоговиками ненадежной системы двухфакторной авторизации. Для доступа было нужно представить лишь номер социального страхования и электронную почту, а в качестве дополнительной проверки запрашивалась такая легко выясняемая информация как дата рождения или адрес проживания.
