Архив новостей

Организации не следят за утечками важных данных

Как сообщает Help Net Security со ссылкой на Ipswitch File Transfer Division, только 20% опрошенных руководителей IT-компаний контролируют перемещение файлов и данных, как внутри их систем, так и за пределами организаций. 29% респондентов считают наиболее рискованным перемещение данных между облачными приложениями.

В ходе проведения исследования было установлено, что 72% участников опроса используют портативные устройства для хранения рабочих файлов, в том числе 55% из них заявили, что используют бесплатные облачные службы, такие как Dropbox, а 65% для перемещения конфиденциальных данных используют собственные адреса электронной почты.

Однако, большинство компаний не имеют доступа к информации о том, какие данные перемещаются. Это приводит к тому, что данные могут быть скомпрометированы в ходе транспортировки или в результате потери личного устройства.

На протяжении последних 24 месяцев среди способов утечки данных доминировала потеря USB-устройств, на которых хранилась конфиденциальная информация. 31% участников исследования подтвердили, что теряли USB-накопители, смартфоны или другие устройства, содержавшие секретные данные, причем 69% из них не стали уведомлять о потере ИТ-отделы компаний.

Дополнительные результаты исследования показали, что 78% респондентов используют личные адреса электронной почты для пересылки важной или конфиденциальной информации как минимум раз в день, 64 % - раз в неделю, или даже чаще. Они утверждают, что личная электронная почта работает быстрее и комфортнее, чем предоставленная компанией рабочая учетная запись.

В компаниях каждый день перемещается огромное количество различной информации, будь то при помощи электронной почты, облака, или портативного устройства сотрудников. Поэтому, крайне важно, чтобы компании разработали систему передачи данных и имели доступ к информации о том, куда и кем перемещаются файлы с важными данными.

Отметим, что за потерю важных данных, к компании могут быть применены финансовые санкции, не говоря уже о том, что наносится ущерб ее репутации.

VMware признала утечку исходного кода

Производитель программных решений виртуализации компания VMware признала утечку исходного кода своих продуктов, в том числе технологии ESX hypervisor.
Руководитель VMware Security Response Center Лейн Малхолланлд (Iain Mulholland) заявил, что компании известно о раскрытии содержимого одного файла исходного кода VMware ESX, созданного в 2003 и 2004 годах. В уведомлении сказано, что файл был обнаружен в понедельник, 23 апреля, а также что в будущем могут быть опубликованы другие файлы. «Тот факт, что исходный код мог быть опубликован в свободном доступе, не означает, что клиенты VMware подвержены дополнительным рискам. VMware проактивно предоставляет свой исходный код и интерфейсы другим участникам рынка для обеспечения широкой виртуализационной экосистемы», - заявил сотрудник компании.
«Мы очень серьезно относимся к безопасности и уже задействовали внутренние, а также внешние ресурсы, в том числе VMware Security Response Center для проведения тщательного расследования», - отметил Малхолланлд, добавив, что по мере получения информации, она будет публиковаться.
По данным новостной службы «Лаборатории Касперского» , хакер под псевдонимом «Hardcore Charlie», взявший на себя ответственность за похищение 300 MB принадлежащего VMware исходного кода у компании China Electronics Import-Export Corporation (CEIEC), и ранее заявлял об успешном проникновении в серверы китайского военного подрядчика.

JP Morgan заплатит репутацией за незаконные действия сотрудника

Великобритания. Служба финансового надзора оштрафовала сотрудника JP Morgan на 450 тыс. фунтов за разглашение конфиденциальной информации своих клиентов.

Комментирует главный аналитик InfoWatch Николай Федотов: "Банки и брокеры заметили, что чуть ли не любое слово, исходящее от их работников клиентам, может серьёзно повлиять не репутацию. А для сервиса, который торгует не товарами, а финансовыми услугами, репутация - это всё. Утечка информации - это крайний случай. Бывало и такое, что всего лишь недостаточно вежливое обращение к клиенту роняло доходы управляющей компании. Поэтому в данной отрасли, на остроконкурентном американском рынке недостаточная защита на периметре – фактор не конкуренции, но выживания."

Инсайдер продал секрет технологии Samsung

Южнокорейская полиция арестовала группу инсайдеров, которая продавала секретную информацию Samsung компании-конкуренту.

Авиаперевозчик слил данные о бронировании «звездных» клиентов

Сотрудница авиакомпании Virgin Atlantic передавала информацию попарацци о «звездных» клиентах своей фирмы.

Комментирует главный аналитик InfoWatch Николай Федотов: "Подавляющее большинство персональных данных обычного человека никому не интересно. А вот данные "звёзд" - таки да, пользуются спросом. Такими данными частенько злоупотребляют. На этих отдельных отрицательных примерах общественность убедили, что требуется защита для персональных данных всех граждан. Рядовым людям приятно, что их приравняли к знаменитостям хотя бы в этом. Некоторые даже отказываются верить, что их персданные стоят на чёрном рынке ровно ноль. А сколько стоит предприятиям ненужная защита бесполезных данных - это избирателям не интересно."

Менеджер по продажам чуть не продал клиентскую базу

Сотрудник одного крупного интернет-магазина скидок попытался продать базу данных всех клиентов. Осуществить задуманное мошеннику не удалось, покупатель был подставным лицом, и правоохранительные органы задержали его с поличным.
27 марта в Новогородской области правоохранительные органы возбудили уголовное дело по статье «Незаконное разглашение сведений, составляющих коммерческую тайну». По данным следствия, мужчина, занимавший позицию менеджера по продажам в интернет-магазине скидок, хотел продать флешку с базой данных клиентов за 200 тыс. рублей. Базу он получил от веб-мастера того же магазина. При этом оба молодых человека знали, что покупателю она нужна для рассылки спама, сообщает «БалтИнфо». Базу собирался приобрести сотрудник крупной аудиторской компании, который действовал под контролем оперативников.
Эксперты считают, что информация содержала в себе коммерческую тайну, распространять которую сотрудники компании не имеют право по трудовому договору. На этом основании против мошенников возбудили уголовное дело по части 3 статьи 183 УК РФ «Незаконное разглашение сведений, составляющих коммерческую тайну».

Комментирует главный аналитик InfoWatch Николай Федотов: "Согласно закону, чтоб информация официально признавалась коммерческой тайной, нужно выполнить пять условий:
1) утвердить перечень сведений;
2) установить и контролировать порядок доступа;
3) учитывать допущенных лиц;
4) внести соответствующие пункты в договоры;
5) нанести грифы на все документы или носители информации.
Требования эти введены не просто так, а чтобы обладатель информации думал о защите заранее, а не задним числом. Чтоб не мог обвинить других в разглашении того, о чём сам не заботился.
Очень сомневаюсь, что все пять были выполнены в отношении интернет-магазина и его веб-мастера. А вот в том, что суд закроет глаза на выполнение формальностей - не сомневаюсь."

800 тыс. персданных не довезли

США, Калифорния. Персональные данные 800 тыс. калифорнийцев потерялись при перевозке из Колорадо в Калифорнию.
Департамент помощи детям (Department of Child Support Services) поручило IBM запись данных жителей Калифорнии на специальные устройства, а затем доставить их из Колорадо в Калифорнию. Однако по дороге до места назначения несколько носителей потерялись. Чиновники говорят, что на пропавших устройствах содержались данные 800 тыс. калифорнийцев, в том числе: имена, адреса, номера социального страхования, номера водительских прав, названия организаций, где работают пострадавшие, а также названия их страховых компаний. В DCSS считают, что мошенники, укравшие носители, не смогут воспользоваться информацией, так как данные записаны в специальном формате.
Чиновники уведомили жертв утечки по почте, а также посоветовали закрыть все действующие кредитные карты и внимательно отнестись к подозрительным банковским транзакциям. В распоряжение пострадавшим госструктура предоставила год бесплатного пользования сервисом по мониторингу кредитных историй.

Комментирует главный аналитик InfoWatch Николай Федотов: "Для шифрования жёстких дисков и флешек на рынке имеется множество систем. В том числе, бесплатных и при этом полнофункциональных. Но с системами архивирования до сих пор всё плохо.
Встроенное шифрование по какой-то странной причине в большинстве бэкап-устройств отсутствует. Также отсутствует API для добавления собственного криптомодуля. А при этом утечки с архивных носителей составляют, согласно нашей статистике, 8,5% от всех инцидентов.
Непонятно упорство производителей систем резервного копирования.
Почему не шифруем? А их детские оправдания насчёт того, что злоумышленники, якобы, не разберут специальный формат архива, ещё 3-4 года назад вызывали улыбку. Ныне они вызывают желание выкинуть с рынка столь неповоротливых монстров."

Украденный ноутбук подрядчика может оказаться «золотым»

США, округ Колумбия. Воры украли ноутбук с данными 34,5 тыс. клиентов больницы Howard University Hospital

В обход утвержденной политике безопасности подрядчик скопировал на свой личный ноутбук персональную информацию о клиентах больницы, в том числе: имена пациентов, даты рождения, адреса, контакты, номера социального страхования, идентификационные номера в системе медучреждения, диагнозы, выписанные препараты, назначенные курсы лечения, даты посещения врачей. Собранная на лаптопе информация касалась людей, проходивших лечение в период с декабря 2010 года по октябрь 2011, хотя встречались и данные за 2007 год. Всего 34 503 персональных записей.

Стоит отметить, что подрядчик закончил сотрудничество с госпиталем еще в декабре 2011, а ноутбук пропал через месяц. Вопрос, почему он не удалил конфиденциальную информацию со своего лаптопа, остается «белым пятном» в этой истории.

Руководство Howard University Hospital отправило всем пострадавшим уведомления о произошедшем инциденте, а также ужесточило политику безопасности, согласно которой теперь ноутбуки для сотрудников с предустановленной системой шифрования будут выдаваться непосредственно самой организацией. Жертвы утечки в течение года смогут бесплатно пользоваться сервисом мониторинга операций по банковским картам.

Аналитический центр InfoWatch замечает, что львиная доля всех утечек касается персональных данных – 92,4% от общего числа инцидентов в 2011 году, что объясняется высокой ликвидностью данных и возможностью их сбыта на черном рынке. Организации же обязаны приложить максимум сил и, соответственно, денежных средств для ликвидации последствий компрометации данных. Затраты Howard University Hospital аналитики InfoWatch оценивают приблизительно в 400 тыс. долларов, не считая покупки лицензий средств шифрования для служебных ноутбуков.

Комментирует главный аналитик InfoWatch Николай Федотов: "В данной истории есть ещё одно белое пятно. Зачем потерпевший признался, что на украденном компьютере были записаны незашифрованные данные? И сам подставился, и госпиталь под взыскание подвёл. Кроме феноменальной честности и упёртой законопослушности американцев есть только одно объяснение. Он был уверен, что вор (или скупщик) непременно просмотрит содержимое диска и реализует персональные данные на чёрном рынке. 34 тысячи записей потянут в несколько раз дороже ноутбука. И все злоумышленники в США о такой особенности знают."

IT-специалисты зарабатывают шестизначные суммы на продажах эксплоитов на черном рынке

Продавцы эксплоитов не беспокоятся о том, что их инструменты могут быть незаконно использованы.

Как сообщает Forbes, специалистам информационной безопасности намного выгоднее продавать эксплоиты на черных рынках, нежели компаниям, в чьих продуктах были обнаружены уязвимости.

К примеру, специалисты из французской компании Vupen, которые обошли настройки безопасности браузера Google Chrome, отказались предоставлять подробности взлома web-обозревателя представителям Google за 60 тысяч долларов.

Глава компании Чаоки Бекрар (Chaouki Bekrar) заявил: «Мы не поделимся нашей информацией с Google даже за 1 млн долларов. Мы не хотим предоставлять им знания, которые помогут им исправить обнаруженную нами или любую другую уязвимость. Мы хотим оставить эксплоиты для наших клиентов».

По заявлению представителей Vupen, их клиентами являются правительственные учреждения, приобретающие эксплоиты для использования уязвимостей нулевого дня или хакерские инструменты, которые используют незакрытые бреши в программном обеспечении, для того, чтобы получать доступ к компьютерам и телефонам преступников.

Стоит отметить, что от производителя программного обеспечения хакер сможет получить от 2 до 3 тысяч долларов за обнаруженную уязвимость нулевого дня, в то время как правоохранительные органы предлагают суммы в 10 и даже 100 раз больше. Глава Vupen не раскрывает ценовую политику своей компании, однако аналитики из Frost & Sullivan отмечают, что клиенты компании ежегодно выплачивают 100 тыс. долларов за подписку на технологии Vupen, что позволяет им закупать у французской компании инструменты для взлома.

Отметим, что в ходе хакерского конкурса, который проводился компанией HP, представители Vupen заявили, что у них есть эксплоиты для использования уязвимостей во всех популярных браузерах.

По словам Бекрара, компания тщательно отбирает своих клиентов, которыми в большинстве являются правительства стран-участников НАТО или партнеры НАТО. Помимо этого, в компании также уверяют, что клиенты подписывают соглашение, в котором они обязуются не раскрывать подробности эксплоитов и не перепродавать их. Однако Бекрар все же признает, что разрабатываемые компанией технологии могут попасть не в те руки. «Мы делаем все возможное для того, чтобы инструменты не перепродавались нашими клиентами. Однако если вы продаете кому-то оружие, вы не можете быть уверены, что они не продадут его другому учреждению».

Компания Vupen уже столкнулась с критикой в адрес своей деятельности. Так, представитель организации Open Society Foundations Крис Согхоян (Chris Soghoian) называет Vupen «современным торговцем смерти», который продает «пули для кибервойны». Согхоян заявляет, что после продажи эксплоита компания не имеет понятия, как он используется, и не нарушает ли он права людей. «В Vupen не знают, как используются их эксплоиты, и скорее всего они не хотят знать. Они всего лишь обналичивают чеки». В качестве примера Согхоян приводит использование ПО, разрабатываемого компанией Blue Coat Systems of Sunnyvale, которое использовалось для отслеживания участников акций протеста в Сирии.

Хотя Бекхар и отказался комментировать ценовую политику компании, агентству Forbes удалось связаться с южноафриканским хакером известным под псевдонимом the Grugq, который проживает в Бангкоке. Последний год хакер является брокером на рынке эксплоитов. Он ищет покупателей для инструментов, разработанных его друзьями-хакерами. За каждую покупку the Grugq получает комиссию в 15%, что позволило ему в этом году заработать 1 млн. долларов.

Комментируя ситуацию с Vupen, хакер заявил: «Бекхар очень умен. Он держит на руках все карты». Хакер заявляет, что покупатели Vupen не могут торговаться, так как всегда найдется тот, кто купит эксплоит за ту цену, которую назовет Бекхар.

Учебные заведения не шифруют мобильные устройства

Великобритания. За прошедшие два года около половины учебных заведений Великобритании пострадали от краж незащищенных мобильных устройств.

Компания LapSafe провела исследование среди 100 учебных заведений Великобритании. Итоги оказались неутешительными: представители 45% образовательных организаций подтвердили факт краж мобильных устройств, содержащих конфиденциальную информацию. При этом, 83% участников исследования отметили, что в их организациях действуют политики безопасности, но только 47% респондентов используют шифрование для электронных носителей.
Аналитики LapSafe выяснили, что в период с 2009 по 2011 года в организациях чаще всего пропадали ноутбуки, нотбуки, планшеты и MP3-плееры. Как уже отмечалось ранее, большинство устройств зашифровано не было. Исследователи были озадачены этим фактом, так как максимально возможный штраф ICO за потерю конфиденциальной информации достигает 500 тыс. фунтов стерлингов. Данная сумма несравнима с затратами на внедрение криптографической защиты.
Интересный эксперимент провели в одном из учебных заведений: 60 студентов должны были «украсть» 30 ноутбуков, на которых хранились ценные сведения. Эксперимент закончился полным фиаско отдела безопасности: под разными предлогами «воры» смогли утащить все 30 лаптопов. Согласно статистике InfoWatch, количество случаев кражи или потери мобильных устройств с конфиденциальной информацией за последние 2 года напротив несколько уменьшилось: с 13% в 2009 до 10% в 2011 от общего числа инцидентов.

Комментирует главный аналитик InfoWatch Николай Федотов: "На самом деле, показатель в 47% весьма неплох. Тем более, для учебного сектора. В некоторых странах 47% шифрованных носителей - это недосягаемая планка даже для государственных учреждений.
Быстро поднять процент шифрованных носителей можно лишь принудительными мерами. Например, запретить организациям закупать ноутбуки без аппаратного или предустановленного шифрования дисков. Или установить дополнительный налог для компьютеров без встроенного шифрования. Мера получится явно действенная. Только трудно будет её согласовать с правоохранительными органами."