Edmund Richardson
0 
3158
879
Naruszenia danych są częścią wyposażenia naszego cyfrowego życia. Zaledwie jeden dzień mija bez wycieku danych przez inną firmę. I chociaż te wydarzenia stają się coraz bardziej powszechne, coś innego zmieniło się również w 2018 roku.
Wdrożenie ogólnego unijnego rozporządzenia o ochronie danych (RODO) oznacza, że firmy zobowiązują się teraz do ujawnienia wszelkich naruszeń w ciągu 72 godzin. Nadążanie za najnowszymi hackami może być trudne, więc podsumowaliśmy niektóre z najbardziej znaczących naruszeń w tym roku.
1. Under Armour
Użytkownicy, których dotyczy problem: 150 milionów
Udostępnione dane: Nazwy użytkowników, adresy e-mail i hasła mieszane
Dla wielu ludzi na całym świecie aplikacja do śledzenia diety i ćwiczeń MyFitnessPal (MFP) jest codziennym towarzyszem ich podróży fitness. Nic więc dziwnego, że firma Under Armour, producent odzieży sportowej, nabyła urządzenie wielofunkcyjne w ramach oferty cyfrowej. W marcu 2018 r. Under Armour (UA) opublikował oświadczenie, że doszło do naruszenia MyFitnessPal z nazwami użytkowników, adresami e-mail i hashami 150 milionów użytkowników aplikacji.
Firma działała szybko. W ciągu czterech dni od dowiedzenia się o naruszeniu MyFitnessPal wysłał aktualizację e-mail do wszystkich użytkowników i utworzył witrynę z często zadawanymi pytaniami. Zalecili, aby wszyscy użytkownicy natychmiast zmienili swoje hasła i że nadal będą, nieco niejasno, “wprowadzać ulepszenia w [swoich] systemach w celu wykrywania i zapobiegania nieautoryzowanemu dostępowi do informacji użytkownika.”
Na powierzchni wygląda na to, że Under Armour robił dobrze przez swoich użytkowników. Jednak podczas gdy niektóre hasła zostały zaszyfrowane przy użyciu programu bcrypt - proces przekształcenia hasła w nieczytelny ciąg znaków Każda bezpieczna strona internetowa robi to z Twoim hasłem Każda bezpieczna strona internetowa robi to z twoim hasłem Czy kiedykolwiek zastanawiałeś się, w jaki sposób witryny internetowe chronią Twoje hasło przed danymi narusza? -inne nie miały tyle szczęścia. Chociaż nie ujawnili liczb, część znacznej bazy użytkowników MFP była chroniona tylko za pomocą SHA-1, powszechnie uważanego za najsłabszą formę haszowania.
Mimo że wyciek nastąpił na początku roku, we wrześniu 2018 r., Nie było żadnych dalszych aktualizacji dotyczących przyczyny naruszenia ani tego, jak UA ma nadzieję zapobiec przyszłym atakom. Firma nie określiła również, czy nadal będzie korzystać z mieszania SHA-1.
2. British Airways
Użytkownicy, których dotyczy problem: Nieznany
Udostępnione dane: Dane osobowe i finansowe klienta
Kiedy lato zakończyło się na początku września, największe brytyjskie linie lotnicze, British Airways (BA), poinformowały, że pilnie badają kradzież informacji o klientach. Na stronie internetowej zawierającej informacje o incydentach firma poinformowała, że dotyczy kradzieży “klienci, którzy dokonali rezerwacji lub zmienili swoje rezerwacje […] między 22:58 BST 21 sierpnia 2018 r. a 21:45 BST 5 września 2018 r..” Skradzione dane obejmowały nazwiska, adres e-mail, adres rozliczeniowy i dane karty bankowej.
Jeśli znalazłeś się wśród niefortunnych ofiar ataku, BA obiecał, że nie zabraknie Ci bezpośredniego wyniku kradzieży. Warto jednak zauważyć, że nie powiedzieli tego, co uważają za “bezpośredni wynik.” W dniach następujących po ujawnieniu Rejestr zgłosił, że za atak mógł być odpowiedzialny zewnętrzny skrypt płatności. Firma ochroniarska RiskIQ powiedziała, że atak został prawdopodobnie przeprowadzony przez grupę znaną jako Magecart, która była odpowiedzialna za bardzo podobny atak na Ticketmaster na początku 2018 r..
Nieco ponad rok przed atakiem BA był także w centrum poważnej awarii zasilania komputera. Ta awaria spowodowała, że systemy informatyczne firmy zatrzymały się, powodując uziemienie wszystkich samolotów i dotykając tysięcy pasażerów. Pomimo doniesień na całym świecie, BA niewiele powiedział o przyczynie bezprecedensowego wyłączenia.
3. TypeForm
Użytkownicy, których dotyczy problem: Nieznany
Udostępnione dane: Dane z ankiety, w tym dane osobowe
Jeśli wypełniłeś ankietę online w ciągu ostatnich kilku lat, prawdopodobnie korzystałeś ze strony internetowej Typeform do zbierania danych. Ich ankiety są popularne wśród firm, ponieważ są łatwe w konfiguracji i przyjazne dla użytkownika. Klientami Typeform są firmy, a nie użytkownicy końcowi. Kiedy więc firma odkryła naruszenie w czerwcu 2018 r., Powiadomiła swoich klientów.
Witryna reagowania na incydenty Typeform nie zawiera szczegółów i koncentruje się na tym, jak firmy powinny informować klientów o ujawnieniu informacji. Wiemy tylko, że naruszenie typu Typeform było wynikiem nieautoryzowanego dostępu do częściowej kopii zapasowej z 3 maja 2018 r. Chociaż nie jest jasne, jak daleko sięgają te dane. Ponieważ Typeform postanowił nie przedstawiać szczegółowego podziału, całkowita liczba dotkniętych nim przypadków jest również niejasna.
Lista organizacji złapanych w wyniku naruszenia jest jednak dość obszerna. Dotknęli ich brytyjscy detaliści Fortnum & Mason i John Lewis, a także australijska sieć piekarnicza Bakers Delight. Inne znane ofiary to Airtasker, Rencore, PostShift, Revolut, Middlesex University Student's Union, Monzo, Tasmanian Electoral Commission, Travelodge oraz Liberal Democrats w Wielkiej Brytanii.
4. Exactis
Użytkownicy, których dotyczy problem: 340 milionów
Udostępnione dane: Wszystko, co można sobie wyobrazić, bez numerów ubezpieczenia społecznego i kart kredytowych
W naszej nowoczesnej gospodarce handlujemy naszymi danymi w zamian za bezpłatne produkty i usługi online. Istnieje jednak coraz większy ruch przeciwko tego rodzaju gromadzeniu danych. Odwołują się do praktyki jako kapitalizm nadzoru. Ten sentyment stał się jeszcze bardziej popularny po hakowaniu Equifax w 2017 r. Equihax: jedno z najbardziej nieszczęsnych naruszeń wszechczasów Equihax: jedno z najbardziej nieszczęsnych naruszeń wszechczasów Naruszenie Equifax jest najniebezpieczniejszym i najbardziej zawstydzającym naruszeniem bezpieczeństwa cały czas. Ale czy znasz wszystkie fakty? Czy miałeś na to wpływ? Co możesz z tym zrobić? Dowiedz się tutaj. oraz Facebook Cambridge Analytica Scandal Facebook Adresy Cambridge Analytica Scandal Facebook Adresy Cambridge Analytica Scandal Facebook został uwikłany w coś, co stało się znane jako skandal Cambridge Analytica. Po kilku dniach milczenia Mark Zuckerberg zajął się teraz poruszonymi problemami. . Prawdopodobnie byłeś zaskoczony, że Equifax zbierał szczegółowe informacje o tobie za twoimi plecami. Niestety nie będziesz zbyt zszokowany, gdy dowiesz się, że nie tylko oni.
W czerwcu badacz ds. Bezpieczeństwa Vinny Troia użył wyszukiwarki komputerowej Shodan, aby odkryć bazę danych zawierającą 340 milionów rekordów. Baza danych pozostała niezabezpieczona na publicznie dostępnym serwerze przez firmę marketingową Exactis. Podczas gdy 145,5 miliona hacków Equifax zostało szeroko rozpowszechnionych, baza danych Exactis przyćmiła to przy 340 milionach rekordów. Jednak w przeciwieństwie do zagregowanych danych Equifax, specjalista ds. Bezpieczeństwa znalazł bazę danych Exactis. Obecnie nie ma dowodów na to, że został on uzyskany złośliwie.
Exatis jest brokerem danych, handlującym naszymi danymi osobowymi - w ten sposób posiadali oni blisko 214 milionów osób i 110 milionów danych biznesowych. Według WIRED, zawarte rekordy “ponad 400 zmiennych na szeroką gamę specyficznych cech: czy osoba pali, swoją religię, czy mają psy lub koty, i zainteresowania tak różnorodne jak nurkowanie i odzież w rozmiarze plus size.”
Jest tu jednak srebrna podszewka. Pomimo fenomenalnej ilości możliwych do zidentyfikowania danych, w przeciwieństwie do Equifax, nie posiadali żadnych informacji finansowych. Jeśli jednak okaże się, że złośliwa strona uzyskała dostęp do bazy danych, istnieje wiele możliwości inżynierii społecznej. Jak chronić się przed 8 atakami inżynierii społecznej. Jak chronić się przed tymi 8 atakami inżynierii społecznej. Jakie techniki socjotechniczne zastosowałby haker? i jak byś się przed nimi uchronił? Rzućmy okiem na niektóre z najczęstszych metod ataku. .
5. Timehop
Użytkownicy, których dotyczy problem: 21 milionów
Udostępnione dane: Imiona, adresy e-mail, daty urodzenia, płeć, kody krajów i numery telefonów
Nasza zbiorowa nostalgia od lat stała się wielkim biznesem. Żadna firma nie była w stanie wykorzystać tej miłości przeszłości bardziej niż Timehop. Aplikacja Timehop łączy się z sieciami społecznościowymi i ponownie wyświetla stare posty, aby przypomnieć Ci o tym, co robiłeś tego dnia w przeszłości. W lipcu 2018 r. Timehop ogłosił, że przerwał wtargnięcie do sieci w Dzień Niepodległości.
Pomimo zatrzymania ataku w nieco ponad dwie godziny, intruz był w stanie zebrać dużo danych. Niestety, obejmowały one nazwiska, adresy e-mail, daty urodzenia, płeć, a w niektórych przypadkach numery telefonów 21 milionów użytkowników aplikacji. Udało im się jednak uniemożliwić napastnikowi dostęp do postów w mediach społecznościowych i prywatnych wiadomości.
Atakującemu udało się dostać do przechowywanych kluczy OAuth2, które zapewniają dostęp do sieci społecznościowych podłączonych przez użytkownika. Przed ujawnieniem naruszenia Timehop współpracował z sieciami społecznościowymi w celu dezaktywacji tych kluczy, zmuszając użytkowników do ponownego uwierzytelnienia połączonych kont.
W przeciwieństwie do wielu współczesnych, strona internetowa poświęcona incydentom została wyraźnie przedstawiona. Atak został wyjaśniony zarówno w kategoriach technicznych, jak i prostych. Udostępnili nawet łatwo przyswajalną tabelę kombinacji dostępnych danych i liczby osób, których to dotyczy. Oczywiście 21 milionom ofiar tej nostalgicznej aplikacji nie przyniesie większego komfortu.
Chroń się przed kolejnym naruszeniem danych
Usługi, które kiedyś uważaliśmy za bezpieczne, są szybko rozwiązywane, częściowo ze względu na ich złe praktyki bezpieczeństwa. Możesz nawet zacząć się zastanawiać, czy gdziekolwiek w Internecie jest bezpieczne. Zwłaszcza biorąc pod uwagę, ile razy gromadzenie danych ujawniło twoje dane osobowe. Jeśli martwisz się, że coś jest nie tak, sprawdź, czy Twoje konta internetowe nie zostały zhakowane.
Odpowiedzialność za Twoją ochronę spoczywa na przedsiębiorstwach, których to dotyczy. Istnieją jednak sposoby, aby poprawić swoją cyberhigienię. Popraw swoją cyberhigienię w 5 łatwych krokach. Zwiększ swoją cyberhigienię w 5 łatwych krokach. W cyfrowym świecie „cyberhigien” jest tak samo ważna jak higiena osobista w świecie rzeczywistym. Potrzebne są regularne kontrole systemu, a także nowe, bezpieczniejsze nawyki online. Ale jak wprowadzić te zmiany? to wzmocni twoją obronę. Hasła są jednym z naszych największych problemów, ale są dobre wieści. Być może nie będziesz musiał czekać zbyt długo, zanim zaczniemy widzieć ekscytujące alternatywy dla hasła No More Leaks? 3 ekscytujące alternatywne hasła, które wkrótce się pojawią Koniec z wyciekami? 3 Ekscytujące alternatywy hasła, które wkrótce się pojawią Bezpieczeństwo hasła może wydawać się niekończącą się bitwą. Na szczęście są tacy, którzy pracują nad metodami bezpieczeństwa, które mogą zastąpić hasła. trafić do głównego nurtu.