Naruszenia danych

A naruszenie danych to każde zdarzenie, w wyniku którego dane osobowe lub poufne posiadane przez organizację zostają ujawnione osobom, które nie powinny ich mieć. Dane mogą obejmować nazwiska, adresy e-mail, hasła (zaszyfrowane lub zwykły tekst), karty płatnicze, numery ubezpieczenia społecznego, dane zdrowotne, historię przeglądania, dane o lokalizacji – wszystko, co jest przechowywane na temat użytkowników. Liczby są zdumiewające: HaveIBeenPwned indeksuje ponad 14 miliardów pojedynczych rekordów, na które naruszono dane od 2026 r., co stanowi ułamek rzeczywistej sumy.

Główne kategorie naruszeń

• Wycieki bazy danych danych uwierzytelniających. Osoba atakująca kradnie tabelę użytkowników — nazwy użytkowników, adresy e-mail, skróty haseł. Czasami skróty są mocne (bcrypt z wysokim kosztem), czasami szokująco słabe (MD5, niesolony SHA-1). Nawet silne skróty ujawniają fakt, że masz konto w tej usłudze.
• Źle skonfigurowana pamięć w chmurze. Buckie S3, instancje MongoDB, klastry Elasticsearch pozostawione otwarte dla publicznego Internetu. Badacze ds. bezpieczeństwa regularnie je znajdują i zgłaszają; znajdują je także przestępcy. Nie potrzeba żadnych exploitów — wystarczy otworzyć dostęp.
• Wstrzykiwanie SQL i bezpośrednie ataki na aplikacje. Luki w aplikacjach internetowych pozwalają atakującym bezpośrednio wysyłać zapytania do bazy danych. Mniej powszechne niż dwie dekady temu, ale nie wymarłe.
• Naruszenia łańcucha dostaw. Atakujący naruszają zależność od dostawcy lub oprogramowania, a następnie wykorzystują ten dostęp do wielu środowisk klientów. SolarWinds, Codecov i Kaseya to słynne przykłady.
• Zagrożenia wewnętrzne. Pracownicy z legalnym dostępem pobierają dane — w celu sprzedaży, wykorzystania lub sygnalizowania nieprawidłowości.
• Wyłudzanie informacji i przejmowanie konta. Pojedyncze przejęte konto administratora w narzędziu skierowanym do klienta może prowadzić do masowych danych eksport.
• Podwójne wymuszenie ransomware. Operatorzy oprogramowania ransomware wydobywają dane przed zaszyfrowaniem. Nawet jeśli nie zapłacisz, dane znikną; nawet jeśli zapłacisz, nie masz gwarancji, że dane zostaną zniszczone.

Cykl życia naruszenia

Większość naruszeń ma przewidywalną ścieżkę:

1. Początkowy dostęp — phishing, ujawniona usługa, dostawa chain
2. Eskalacja wewnętrzna — atakujący porusza się bocznie, uzyskuje dostęp do magazynów danych
3. Exfiltration — dane są kopiowane często przez tygodnie, aby uniknąć wykrycia
4. Discovery — zauważa coś zespół ds. bezpieczeństwa lub strona trzecia wyłączona, zazwyczaj kilka miesięcy po uruchomieniu exfil
5. Powiadomienie — powiadomieni użytkownicy, których dotyczy problem, zaalarmowane organy regulacyjne, publiczne ujawnienie
6. Resale — dane pojawiają się na rynkach ciemnej sieci, są łączone z poprzednimi naruszeniami w listach combo

Średni czas między liczba początkowych włamań i odkryć spadła z ponad 200 dni dziesięć lat temu do mniej niż 100 dni obecnie — wciąż o wiele za długo, ale znacząca poprawa.

Jak się o tym dowiesz

Najbardziej niezawodne kanały:

• HaveIBeenPwned (HIBP) — Troy Bezpłatna usługa Hunta indeksuje największy znany zbiór naruszeń. Wpisz adres e-mail; sprawdź, czy nie ma w nim znanych naruszeń. Zapisz się na proaktywne powiadomienia. Nasz test naruszeń korzysta z interfejsu API HIBP.
• Powiadomienie bezpośrednie — firmy prawnie zobowiązane do ujawniania informacji na mocy RODO (Europa), przepisów stanowych (Kalifornia itp.) i różnych przepisów sektorowych. Powiadomienie często pojawia się kilka miesięcy po wystąpieniu naruszenia.
• Alerty menedżera haseł — 1Password, Bitwarden i podobne sprawdzają przechowywane dane uwierzytelniające pod kątem baz danych naruszeń i kont powierzchniowych, których dotyczy problem.
• Alerty naruszeń przeglądarki — Chrome, Safari i Edge aktywnie ostrzegają, gdy zapisane hasło pojawi się w znane naruszenie.
• Doniesienia prasowe — Wiadomości o dużych naruszeniach pojawiają się w wiadomościach, ale nazwiska konkretnych użytkowników, których to dotyczy, często są wymieniane dopiero później.

Co robić w przypadku naruszenia

Standardowa odpowiedź w kolejności:

1. Zmień hasło w usłudze, której dotyczy problem. Użyj nowego, silnego, unikalnego hasła.
2. Zmień hasła w dowolnej innej usłudze, w której użyłeś tego samego lub podobnego hasła.
3. Włącz 2FA w danej usłudze, jeśli jeszcze tego nie zrobiłeś.
4. Uważaj na powiązane ataki — phishing W kolejnych dniach po publicznym ujawnieniu wiadomości e-mail zawierające informacje o naruszeniu są powszechne.
5. Monitoruj konta finansowe, jeśli w grę wchodziły dane dotyczące płatności. W wielu krajach możesz bezpłatnie zamrozić swoją kartę kredytową.
6. Rozważ skorzystanie z usługi monitorowania tożsamości, jeśli w wyniku naruszenia ujawniono dane odpowiadające numerowi SSN — choć ich wartość jest bardziej spokojna niż faktyczna ochrona.

Dlaczego te same dane pojawiają się w wielu naruszeniach

Po naruszonych i na nielegalnych rynkach, jest to łączone z wcześniejszymi włamaniami do combolists — masowych baz danych par e-mail/hasło z setek naruszeń. Nowe naruszenia powiększają stos; stare dane krążą w nieskończoność. Twoje hasło do LinkedIn na rok 2015 nadal znajduje się na aktualnych listach kombinacyjnych. Dlatego nawet naruszenia sprzed dziesięciu lat nadal dotykają użytkowników, zwłaszcza tych, którzy ponownie używali haseł.

Co powinny zrobić organizacje

Trzy strukturalne zabezpieczenia, które znacząco zmniejszają skalę naruszeń:

• Silne haszowanie haseł. bcrypt, scrypt lub Argon2 przy odpowiednich kosztach. Nieudane naruszenia, które ujawniają tylko silne skróty, są znacznie mniej szkodliwe niż te, które ujawniają zwykły tekst lub MD5.
• Zaszyfrowane w stanie spoczynku. Szyfrowanie na poziomie bazy danych z kluczem sprzętowym modułu bezpieczeństwa. Osoba atakująca, która uzyska kopię zapasową bazy danych, nadal potrzebuje dostępu do modułu HSM.
• Minimalizacja danych. Nie zbieraj tego, czego nie potrzebujesz. Naruszenie aplikacji Tea w 2024 r. było bolesne szczególnie dlatego, że aplikacja zbierała dokumenty tożsamości od kobiet; gdyby tak nie było, naruszenie byłoby ułamek tak poważne.