Главные утечки 2017 года

Аналитический центр компании InfoWatch назвал ключевые случаи утечек информации в уходящем 2017 году и поделился прогнозами на 2018 год.

Напомним, что под утечкой информации InfoWatch понимает намеренные или случайные действия (как внешних злоумышленников, так и внутренних нарушителей), в результате которых нарушена конфиденциальность данных. В базу данных InfoWatch включены утечки информации из сообщений СМИ и других открытых источников.

По мере развития цифровой экономики в различных странах повышаются риски информационной безопасности. Объем скомпрометированных данных по всему миру в 2017 году вырос в несколько раз.

Самая крупная утечка информации из одной компании — компрометация 2 млрд телефонных номеров приложением DU Caller, созданном DU Group — «дочкой» интернет-гиганта Baidu. Приложение автоматически собирало конфиденциальную информацию и передавало ее на внешние сервера. Через его внутренний поиск из огромной базы можно было получить контактные данные любого абонента, введя его имя.

Самая большая утечка 2017 года в России зафиксирована в сентябре, когда в Сети были обнаружены базы данных с информацией о более чем 5,6 млн клиентов страховых компаний. Большинство баз содержали не только персональные сведения, но также данные об автомобилях застрахованных лиц, историю сделок и копии документов.

Наибольший заявленный ущерб для одной организации составил почти $31 млн. Именно столько потерял криптовалютный стартап Tether в результате кражи токенов. Хакер взломал кошелек Tether Treasury и перевел из него средства на неавторизованный биткойн-адрес.

Крупнейший ущерб для частных лиц, нанесенный одним человеком, составил $2 млн. Звезда американского телевизионного шоу «Битва за недвижимость» Скотт Менеджед, используя личную информацию более 200 человек, получил в банках кредиты на покупку мебели в принадлежащих ему магазинах. За это преступление, а также за мошенничество с инвестициями и отмывание денег Менеджед приговорен к 17 годам тюрьмы.

Самая скандальная утечка произошла в бюро кредитных историй Equifax. Организация стала жертвой хакерской атаки, в результате которой оказались скомпрометированы персональные данные более 145 млн человек. В частности, злоумышленники завладели домашними адресами и номерами социального страхования примерно половины населения США. Несколько американских политиков даже назвали случившееся угрозой экономический безопасности всех американцев. Руководитель Equifax был вынужден уйти в отставку, а компанию накрыла волна исков от рассерженных клиентов. Только в III квартале кредитное бюро потеряло $87,5 млн, ликвидируя последствия утечки.

Самая обсуждаемая утечка — инцидент в медиакомпании HBO, продюсере сериала «Игра престолов». Летом в руки злоумышленников попали эпизоды нового сезона культовой телесаги и другой видеоконтент — всего порядка 1,5 ТБ данных. Кроме того, хакеры выложили в Сеть персональные данные актерского состава «Игры престолов»: номера телефонов, домашние адреса и электронную почту. На волне «хайпа» вокруг HBO другие сетевые хулиганы — из группировки OurMine — на время завладели аккаунтами медиакомпании в соцсетях.

Наиболее политически значимая утечка — публикация более 13 млн документов Appleby и других фирм, предоставляющие услуги в офшорах. В расследовании, названном The Paradise Papers («Райское Досье»), рассказывается о том, как политики, бизнесмены и другие известные люди выводят огромные суммы в «тихие налоговые гавани».

Стоит отметить, что в 2017 году информация стала намного чаще утекать в результате как умышленных, так и случайных действий. Например, исследователи безопасности практически ежедневно стали сигнализировать о незащищенных облачных серверах. Зачастую технические специалисты забывают закрыть свободный доступ к хранилищам, компрометируют их из-за неверных настроек при организации совместной работы. Например, в июле зафиксирована утечка персональных данных около 14 млн клиентов с облачного репозитория оператора Verizon — инцидент произошел по вине компании NICE Systems, чьи инженеры администрировали хранилище.

Комментарии аналитического центра InfoWatch

Пока нет оснований полагать, что интенсивность компрометации конфиденциальных данных снизится. Скорее всего, в 2018 году продолжатся целевые хакерские атаки на крупные хранилища информации и интернет-сервисы, оперирующие данными миллионов пользователей. Сетевые мошенники будут чаще пускать в ход программы-вымогатели и взламывать корпоративную электронную почту.

В технологическом плане киберпреступники стараются быть на переднем крае. В частности, в новом году они продолжат осваивать машинное обучение, блокчейн и другие новые технологии, позволяющие вести масштабные управляемые атаки и при этом сохранять анонимность.

В нашу жизнь все прочнее входят веб-камеры, беспилотные аппараты, фитнес-трекеры и другие «умные устройства» из «Интернета вещей» (IoT). Это несет не только новые возможности, но и риски. Уже есть примеры, когда хакеры объединяли тысячи подключенных устройств в деструктивные сети. Уязвимости IoT чаще будут использоваться для компрометации данных и извлечения прибыли.

Все больше рисков несет использование незащищенных систем управления предприятием. Злоумышленники активнее станут воздействовать на производственные процессы компаний, пытаясь взломать ERP, АСУТП и другие корпоративные системы.

В зоне особого внимания назначенные на 18 марта 2018 г. президентские выборы в России. Вероятно, представители организованной киберпреступности попытаются повлиять на избирательную кампанию и процесс голосования.

Повышение ликвидности персональных данных на черном рынке приведет к новому витку деструктивных действий со стороны не только внешних злоумышленников, но и нарушителей внутри компаний. Нельзя забывать и про утечки информации, вызванные случайными (непреднамеренными) действиями. Многое здесь зависит от внимания сотрудников, соблюдения ими элементарных правил «цифровой гигиены».

Для предупреждения преднамеренных и случайных утечек требуются современные DLP-системы с возможностью контроля широкого спектра каналов и подключением инструментов анализа поведения пользователей информационных систем.