Comcast će platiti 117 milijuna dolara u nagodbi za kršenje sigurnosti

Comcast je pristao platiti 117,5 milijuna dolara za nagodbu kolektivne tužbe povezane s kršenjem podataka velikih razmjera koje je izašlo na vidjelo krajem 2023.

Ovo označava jednu od značajnijih nagodbi o privatnosti potrošača u američkom sektoru telekomunikacija.

Naselje je upravo primljeno preliminarno odobrenje prema nalogu javno objavljenom. Ako se dovrši, isplatit će se naknada za više od 31 milijuna ljudi diljem SAD-a i njegovih teritorija koji su primili obavijest da su njihovi osobni podaci možda ugroženi. Comcast je otkrio provalu u listopadu 2023., ali ju je javno objavio tek u prosincu te godine, što je izazvalo pomno ispitivanje kupaca, regulatora i sigurnosnih istraživača.

Pojedinosti o opsegu kršenja i nagodbe

Prema Comcastu, proboj je bio povezan s ranjivošću poznatom kao “CitrixBleed”, greškom koja utječe na Citrix NetScaler Application Delivery Controller i Gateway uređaje. Ranjivost omogućuje napadačima da otmu legitimne korisničke sesije, omogućujući im izviđanje mreže i krađu vjerodajnica bez potrebe za korisničkim imenima ili lozinkama.

CitrixBleed je široko iskorišten u više industrija, utječući na velika poduzeća uključujući Boeing i Toyotu. Sigurnosni istraživači upozorili su u to vrijeme da je greška posebno opasna jer tokeni sesije mogu ostati važeći čak i nakon što su sustavi zakrpani, omogućujući napadačima produljeni pristup internim sustavima.

Prema uvjetima predložene nagodbe, korisnici Comcasta koji ispunjavaju uvjete mogu tražiti naknadu za dokumentirane gubitke iz vlastitog džepa do 10.000 USD po osobi. Tužitelji također mogu zatražiti naknadu za “izgubljeno vrijeme”, koja pokriva sate provedene u suočavanju s posljedicama kršenja, kao što je praćenje računa, promjena vjerodajnica ili rješavanje pitanja krađe identiteta.

Pravni položaj Comcasta

Unatoč pristanku na nagodbu, Comcast nije priznao nedjelo. U sudskim podnescima povezanim sa sporazumom, tvrtka je izjavila da “poriče sve materijalne optužbe” i “posebno poriče da nije uspjela pravilno zaštititi osobne podatke u skladu sa svojim dužnostima, da je imala neodgovarajuću sigurnost podataka [and] je neopravdano obogaćen korištenjem osobnih podataka pogođenih pojedinaca.”

Kao što je uobičajeno u velikim kolektivnim nagodbama, Comcast je rekao da mu sporazum omogućuje izbjegavanje troškova i neizvjesnosti dugotrajnog sudskog spora, a istodobno pruža kompenzaciju pogođenim korisnicima.

Obnovljena zabrinutost zbog ranjivosti CitrixBleeda

Sigurnosna zabrinutost oko CitrixBleeda nastavila se i nakon početnih otkrića. U lipnju 2025. istraživači su identificirali novu verziju eksploatacije koja cilja na tokene sesije koji se koriste u širim okvirima provjere autentičnosti, uključujući API pozive i trajne sesije aplikacija. Za razliku od sesija temeljenih na pregledniku, ti tokeni mogu ostati aktivni čak i nakon što korisnik zatvori svoj preglednik, povećavajući rizik dugotrajnog, skrivenog pristupa osjetljivim sustavima.

Pojava ovog ažuriranog exploita pojačala je zabrinutost među poduzećima i pružateljima usluga da naslijeđene ranjivosti mogu nastaviti predstavljati prijetnju dugo nakon početnih napora za ublažavanje, osobito u složenim mrežnim okruženjima.

Nedavni sigurnosni izazovi Comcasta

Nagodba od 117,5 milijuna dolara slijedi drugu kaznu vezanu uz sigurnost na koju je Comcast pristao samo nekoliko mjeseci ranije. U studenom je tvrtka platila kaznu od 1,5 milijuna dolara u vezi s zasebnom povredom podataka koja je uključivala agenciju za naplatu dugova treće strane koju je prethodno koristila. Taj je incident utjecao na više od 237.000 korisnika Comcasta i nije nastao na vlastitoj mreži Comcasta.

Iako ta dva kršenja nisu povezana, zajedno ističu sve veću površinu napada s kojom se suočavaju veliki pružatelji usluga, gdje i interna infrastruktura i dobavljači trećih strana mogu predstavljati rizik.

Pritisak na sigurnost telekomunikacija u cijeloj industriji

Comcastova nagodba dolazi u trenutku kada se telekomunikacijske tvrtke suočavaju s intenzivnijim nadzorom nad praksama kibernetičke sigurnosti. Telekomunikacijske tvrtke sve su privlačnije mete zbog količine osjetljivih podataka koje posjeduju i njihove uloge u nacionalnoj komunikacijskoj infrastrukturi.

Prijetnje se također razvijaju. Stručnjaci za sigurnost upozoravaju da napredak u umjetnoj inteligenciji ubrzava phishing, razvoj zlonamjernog softvera i izviđačke napore, dok bi buduće kvantne računalne mogućnosti mogle potkopati tradicionalne metode šifriranja.

Prijetnje skupine visokog profila ostaju aktivne. Grupa Salt Typhoon, okrivljena za ono što su dužnosnici opisali kao najveće hakiranje telekomunikacija u povijesti SAD-a, nastavlja ciljati na komunikacijsku infrastrukturu u više od 80 zemalja, prema sigurnosnim analitičarima i vladinim savjetnicima.

Nedavna kršenja naglašavaju šire rizike

Drugi pružatelji usluga također se suočavaju s posljedicama navodnih kibernetičkih incidenata. Ranije ovog mjeseca, Brightspeed je otkrio da istražuje tvrdnje o kibernetičkom napadu od strane Crimson Collective, hakerske grupe koja je prethodno provalila u Red Hatova privatna GitHub repozitorija.

U izjavi objavljenoj na internetu, hakeri su tvrdili da posjeduju više od milijun rezidencijalnih osobnih identifikacijskih podataka povezanih s korisnicima Brightspeeda. Navodni podaci uključuju adrese e-pošte, telefonske brojeve, načine plaćanja i druge osjetljive detalje. Brightspeed nije potvrdio opseg povrede, ali je rekao da ozbiljno shvaća tvrdnje.

Implikacije za potrošače i pružatelje usluga

Za potrošače, nagodba Comcasta naglašava rastuću vjerojatnost da će osobni podaci biti izloženi čak i kada se tvrtke oslanjaju na naširoko korišten poslovni softver. Iako kompenzacija može nadoknaditi neke gubitke, zagovornici privatnosti tvrde da financijske nagodbe malo doprinose rješavanju dugoročnih rizika povezanih s ukradenim vjerodajnicama i osobnim podacima.

Za pružatelje usluga, ovaj slučaj naglašava pravne i reputacijske troškove sigurnosnih kvarova, čak i kada ranjivosti potječu iz tehnologije treće strane. Kako kibernetičke prijetnje postaju sve sofisticiranije i upornije, očekuje se da će regulatori i sudovi nastaviti vršiti pritisak na tvrtke da pokažu snažnije zaštitne mjere i brže otkrivanje kada dođe do kršenja.

Slučaj Comcast u konačnici bi mogao poslužiti kao mjerilo za buduće nagodbe u slučaju povrede podataka u sektoru telekomunikacija, posebice budući da napadi usmjereni na osnovnu komunikacijsku infrastrukturu ne pokazuju znakove usporavanja.

Grupa za kibernetički kriminal ShinyHunters imenovala je Panera Bread posljednjom žrtvom u velikom incidentu ukradenih vjerodajnica.