AT&T ще плати 177 милиона долара за уреждане на колективни искове заради две големи изтичания на клиентски данни, оповестени през 2024 г., след като федерален съдия даде окончателно одобрение на 2 октомври 2026 г. Споразумението покрива отделни инциденти, които разкриха лични данни и записи на обаждания, създавайки дългосрочни рискове за поверителността на милиони настоящи и бивши клиенти.
Съдия Сидни А. Фицуотър от Окръжния съд на САЩ за Северния окръг на Тексас одобри споразумението, според Bloomberg Law. AT&T постигна споразумение, без да признава отговорност или извършено нарушение. Сделката създава фонд от 149 милиона долара за първия инцидент и фонд от 28 милиона долара за втория, като правните такси и административните разходи също се плащат от тези фондове.
Две изтичания на данни разкриха различна клиентска информация
За първия инцидент беше съобщено на 30 март 2024 г., след като информация за клиенти се появи в тъмната мрежа (dark web). Първоначалната оценка на AT&T установи приблизително 7,6 милиона настоящи титуляри на профили и 65,4 милиона бивши титуляри, общо 73 милиона. Компанията заяви, че записите изглежда са от 2019 г. или по-рано.
Разкритата информация варираше според конкретното лице и може да включва имена, адреси, имейл адреси, телефонни номера, дати на раждане, пароли за достъп до профила, номера на фактурни сметки и номера на социални осигуровки. Първоначално от AT&T заявиха, че нямат доказателства наборът от данни да е резултат от неоторизиран достъп до техните системи и все още разследват дали информацията е произлязла от компанията или от външен доставчик.
Второто изтичане на данни, обявено на 12 юли 2024 г., включваше записи, откраднати от работно пространство на AT&T в облачната платформа на Snowflake. Както беше отразено по-рано в доклада на Cyber Security News относно пробива в записите на обаждания на AT&T, атакуващите са осъществили достъп до работното пространство между 14 април и 25 април 2024 г. Инцидентът засегна почти всички мобилни клиенти на AT&T.
Тези записи съдържаха обаждания и текстови съобщения от май до октомври 2022 г., както и някои записи от 2 януари 2023 г. Те включваха телефонни номера, брой взаимодействия, обща продължителност на обажданията и някои идентификатори на клетки на мобилната мрежа. За разлика от първия инцидент, това изтичане не разкри номера на социални осигуровки или действителното съдържание на обажданията и съобщенията.
Разликата е съществена, тъй като записите от комуникацията могат да разкрият взаимоотношения дори без съдържанието на съобщенията. От AT&T признаха, че публични онлайн инструменти биха могли да свържат телефонните номера с имена. Cyber Security News също така съобщи по-рано, че AT&T е платила около 370 000 долара, за да бъдат изтрити откраднатите записи, въпреки че фрагменти все още биха могли да останат на други места.
Съгласно официалните условия на споразумението, отговарящите на изискванията заявители от първия инцидент могат да получат до 5 000 долара за документирани загуби, свързани с този пробив. Засегнатите от втория могат да получат до 2 500 долара. Клиентите, засегнати и от двата инцидента, могат да се класират и за двете плащания, но трябва да предоставят отделни доказателства и не могат да претендират за една и съща загуба два пъти.
Тези максимални суми не са автоматични изплащания. Очаква се стандартните парични плащания да бъдат значително по-малки, като прогнозите варират от 6,50 до 40 долара в зависимост от нивото на компенсация. Заявителите, чиито номера на социални осигуровки са били изложени на риск, се класират за по-висока степен от тези, чиито други данни са били изтекли.
Крайният срок за подаване на претенции изтече на 18 декември 2025 г., така че клиентите не могат да подават нови молби чрез приключилата процедура. Плащанията зависят от прегледа на претенциите и процеса на обжалване, като няма потвърдена дата за разпределение. Клиентите трябва да следят официалните актуализации, да наблюдават профилите си и да останат бдителни за фишинг съобщения, съдържащи злонамерен код или използващи изтеклата информация.