Skoro nawet Symantec…
… twórca rodziny popularnych programów antywirusowych Norton, przyznaje, że jego komputery zostały zaatakowane, już nikt nie może czuć się bezpieczny. Tak przynajmniej twierdzi gizmodo.com.
To doniesienie to echa sprawy z 2006 roku, kiedy doszło do włamania. Na samym początku przyjęto założenie, że został wykradziony kod źródłowy oprogramowania dla biznesu. Dziś jednak wychodzi na to, że możliwe iż wcale nie skradziono nic.
Zaktualizowałeś swoje komputery?
To teraz jeszcze sprawdź, czy są włączone wszystkie opcje zabezpieczeń. Jakiś czas temu, dość dużo można było usłyszeć o włamaniu do sieci RSA i kradzieży danych na temat funkcjonowania systemu autoryzacyjnego SecureID.
O tym właśnie pisze networld.pl powołując się na Rodrigo Branco, ekspert ds. bezpieczeństwa z Qualys, która przeanalizowała atak na firmę. Jednym z jego wniosków było:
Myślę, że włamywacze w ciemno założyli, że w systemie informatycznym RSA wciąż muszą pracować jakieś komputery z Windows XP. Zresztą, takie informacje nietrudno zdobyć – choćby poprzez analizę danych z przeglądarek
Właśnie komputery z Windows XP SP3 były celem ataku hackerów – autorzy artykułu podkreślają, że żadna z zaatakowanych maszyn nie miała włączonego systemu Data Execution Prevention. Do tego skorzystano z niezałatanego błędu w Adobe Flash Player, ale z włączonym systemem DEP byłoby to po prostu nie możliwe.
Ten system jest dostępny w Windows od wersji XP SP2, ale jako nieaktywna opcja, co za tym idzie głównym błędem było to, że nie został włączony. Co za tym idzie, nawet w firmach zajmujących się bezpieczeństwem IT możliwe są wpadki w tym zakresie.
Dla administratorów sieci jest bardzo ważne, szczególnie po kątem wykorzystywanego oprogramowania do zdalnej instalacji – niektóre programy pozwalają na włączenie takich opcji. Szczególnie, że czasem może to uratować firmę przed blamażem.
Co możesz zabrać ze sobą wychodząc z pracy…
Wiecie, że 88% administratorów, jeżeli jutro miałoby dostać wypowiedzenie pracy, dziś zabrałoby do domu tajne, firmowe dane. Tak podaje to badanie. Co w tym złego? Fakt, że jeden niezadowolony pracownik, z odpowiednimi uprawnieniami może przyczynić się do nieprzewidzianych konsekwencji dla swojego pracodawcy.
Wyborcza opisuje przypadek, gdzie dane osobowe 9 milionów mieszkańców Izreala krążyły w Internecie. Jak się tam znalazły? Wycenione na kilkaset tysięcy szekli informacje przechodziły z rąk do rąk, a wszystko zaczęło się w 2006 roku, od byłego pracownika ds. socjalnych, który bo zwolnieniu wyniósł wspomniane dane.
Takich przypadków jest więcej – np. ataki na PlayStation Network, o których słyszeliśmy wiosną zdarzyły się po zwolnieniu 200 pracowników działu online.
Trudno jest wykryć spraców takich działań – dlatego na razie żaden ze zwolnionych pracowników PSN nie ma postawionych zarzutów, ale z drugiej strony, administrator nie tylko ryzykuje utratą obecnej pracy, ale także brakiem zaufania ze strony przyszłych pracodawców, jak i odpowiedzialnością cywilną z art. 100 § 2 pkt 4 kodeksu pracy i art. 11 ustawy o zwalczaniu nieuczciwej konkurencji.
Oczywiście, lepiej jest zapobiegać niż leczyć, więc ograniczanie możliwości przenoszenia wrażliwych plików, ochrona nawet przed zgubieniem przenośnej pamięci może zminimalizować straty związane z takimi incydentami. A odpowiednia polityka kadrowa mogłaby sprawić, że do takich sytuacji nie dojdzie – przede wszystkim poprzez ograniczanie dostępnu do pewnych części firmy nawet administratorom ds. zabezpieczeń sieciowych.
Kup trochę CV
Rozbudowujesz bazę klientów? Poszukujesz danych kilku tysięcy osób? Super, poszukaj w sieci ofert sprzedaży bazy CV z serwisu terazpraca.pl. Naprawdę, to nic, że Główny Inspektor Danych Osobowych straszy, zę i sprzedający i kupujący sa narażeni na przykre konsekwencje, włącznie z grzywną, karą ograniczenia wolności lub pozbawienia wolności do dwóch lat.
Z informacji, które dotarły do biura GIODO, od osób, które skarżą się na wyciek, wynika, że poszkodowanych może być kilkanaście tysięcy.
Takie stanowisko przekazała Małgorzata Kałużyńska-Jasak, rzecznika prasowa GIODO. Powiedziała też, że na razie nie można mówić o przyczynie wycieku, ale jeżeli się okaże, że portal niewłaściwie zabezpieczył swoje bazy danych, zostaną zawiadomione odpowiednie służby. Każda z ofiar może też samodzielnie zgłosić się na policję lub do prokuratury.
Teraz pytanie – co to znaczy dla ofiar? Całkiem sporo. Zastanówcie się co umieszczacie w CV. W moim są szczegółowe dane kontaktowe (w tym adres), dane o wykształceniu i pracy, a nawet o tym, że interesuję się kuchnią fusion i MTB. Na tej podstawie, „znalazca” mojego CV, lepiej dostosuje spam, który mi wysyła, będzie mógł ukraść moja tożsamość (np. podszywając się pode mnie w serwisie allegro.pl) albo po prostu uprzykrzy mi życie w internecie.
Dlatego ten wyciek wygląda dość groźnie dla użytkowników serwisu i otwiera dyskusję pt. „Na co mam zwracać uwagę, jak rejestruję się do jakiegoś serwisu, w którym będę przechowywał moje osobiste dane”
Kto tym razem? Citigroup. vol. 2.
Czego się dowiadujemy po tygodniu? Otóż poszkodowanych w wycieku było o 160 000 więcej, niż bank podął na początku. Jak na razie nie wiadomo w jaki sposób doszło do wycieków. Wiadomo za to,
że bank nie bierze odpowiedzialności za nieautoryzowane użycie kart, i zachęciła do uważnego przeglądania wyciągów bankowych
podaje wyborcza.biz.
Czekam na więcej informacji – w końcu to mój bank.
Kto tym razem? Citigroup.
Dziś dowiedziałem się, że Citigroup – właściciel m-in. mojego banku (Citi Handlowy) stracił jeden procent informacji z bazy danych klientów. A były to nazwiska, adresy e-mail i numery konta 210 000 tysięcy klientów banku. Jak podaje gazeta.pl, bank nawet bezpłatnie wymieni karty klientom, którzy zostaje poszkodowani.
To w czym problem? Otóż bank wie o tym incydencie od początku maja. W tym czasie wielu użytkowników mogło się stać ofiarami np. ataków phishingowych. Paweł Zegarłowicz , rzecznik prasowy banku w Polsce zapewnił, że:
w ostatnim okresie nie zaobserwowano jakiejkolwiek aktywności związanej z tą informacją prasową
co jest nawet uspokajające, zważając na to, że dane Polskich klientów nie zostały naruszone. Za to wired.com dotarło do pracownika, który zapewnia, że
implemented enhanced procedures to prevent a recurrence of this type of event
ale co to znaczy dla klientów, jakie kroki dokładnie podejmuje bank – tego się nie dowiemy.
Proste, prawda? Nic tak nie wzbudza chaosy jak świadomość, że nasze pieniądze nie są bezpieczne. W dzisiejszych czasach, każdy może stracić oszczędności życia, za to przestępca nawet nie musi wychodzić z domu. A do zyskania są duże pieniądze. Szkoda tylko, że nie zawsze bank bierze za to odpowiedzialność.
Coraz więcej danych tracą instytucje medyczne
Istnieje wiele sposobów ochrony przed wyciekiem danych z winy pracowników i edukacji pracowników jak temu przeciwdziałać. Mimo tego jest wiele przypadków, kiedy zostawienie w nieodpowiednim miejscu firmowego sprzętu po prostu naraża ją na ryzyko wycieku danych. Laptopy, dyski twarde, pamięci USB i inne urządzenia magazynujące są gubione i kradzione praktycznie codziennie. To naraża osobiste dane tysięcy osób na kradzież tożsamości czy oszustwo. I wiele z tych przypadków zdarza się w sektorze zdrowotnym.
Na przykład: komputer, który mógł zawierać dane nawet 20,000 pacjentów Reid Hospital został po prostu skradziony jednemu z pracowników, z jego domowego biura. W innym przypadku, Służba Zdrowia Stanu Alberta została poinformowana przez lekarza z kliniki w Lacombe, że przenośny twardy dysk, który zawierał kopię danych 1000 klientów Alberta Health Services’ Central Alberta Pain & Rehabilitation Institute (CAPRI), został niedawno skradziony. Na razie nie ma żadnych dowodów na to, że dane zostały w jakikolwiek sposób wykorzystane, ale to niczego nie dowodzi.
Jedno urządzenie, 10 000 osób
Dwóch dentystów, z Phoenix w Arizonie niedawno opublikowało na swojej stronie informację o wycieku danych. Wycieku, który dotyczył przenośnego urządzenia magazynującego, skradzionego 2 marca. Co na nim było? Szczególnie chronione informacje na temat zdrowia 10 000 pacjentów.
Notatka, dość uboga w szczegóły, wygląda tak:
HIPAA Breach Information for Patients of Record Certain electronically-stored patient records were stolen on March 2, 2011. If you have any questions please call 602-265-8751
Póki co, informacji nie jest za wiele, nawet w mediach, jednak niedługo powinien się wypowiedzieć w tym temacie departament zdrowia Stanów Zjednoczonych.
Zagubiony laptop BP i dane 13 000 osób
Pewien Komputer, na którym znajdowały się dane należące do mieszkańców okolic Zatoki Meksykańskiej, którzy złożyli skargę przeciwko wyciekowi ropy spowodowanemu przez British Petroleum, został zagubiony przez jednego z pracowników firmy. W zeszłym tygodniu, Curtis Thomas – reprezentant koncernu, przekazał, że przesłano listy do 13 000 osób, których dane były przechowywane na wspomnianym komputerze. W kopertach znajduje się powiadomienie dla osób dotknietych tym wypadkiem, a także, dostępna na życzenie oferta pomocy w monitorowaniu wypływających danych. Zaginione urządzenie zostąło też zgłoszone odpowiednim słuzbom porzadkowym.
Curtis Thomas informuje, że jak na razie nie ma dowodów na to, że zagubione, osobiste dane zostały wykorzystane do nieodpowiednich celów.
“We’re committed to the people of the Gulf Coast states affected by the Deepwater Horizon accident and spill, and we deeply regret that this occurred”
Utracone dane należą do osób, które wypełniły wnioski przeciwko BP zanim powstało Gulf Coat Claims Facility. Przed tym, BP zapłaciło ponad 400 000 000 USD składającym wnioski. Od wtorku w zeszłym tygodniu, kiedy zarejestrowano utratę, wypłacono 3,6 miliarda USD dla 172 539 osób. Przy tym BP tłumaczy, że żadne odszkodowanie nie będzie wypłacone ponownie z powodu utraty danych.
Sławny laptop został utracony 1 marca, podczas „zwykłej podróży biznesowej”.
“If it was stolen, we think it was a crime of opportunity, but it was initially lost,” mówi Thomas.
BP oferuje, że pokryje koszty monitorowania użycia danych wnioskodawców przez firmę Equifax z Atlanty. Zapytany, dlaczego od incydentu do zgłoszenia upłynął miesiąc, Thomas stwierdził, że firma prowadziła śledztwo na własną rękę. Cały problem dolał tylko oliwy do ognia, szczególnie dla ponownie poszkodowanych przez koncern.
“That’s like it’s part for the course for them,” mówi Matt O’Brien, jeden z wnioskodawców, współwłaściciel doku krewetkowego w Venice La. – the Tiger Pass Seafood, “They can’t seem to do nothing right.”
Co się dzieje z informacjami na nośnikach
Nie ważne, czy wydrukowane, zapisane na komputerze, pendrive’ie, i tak Twoje dane nie są bezpieczne. Wszystkie dane, które mają firmy, z którymi pracujesz, lekarze, fundacje… w końcu wyciekną. Jeżeli masz szczęście, trafią do osób, które nie wykorzystają ich, żeby dokonać przestępstwa. A jak będziesz miała pecha, pewnego dnia Twoje konto bankowe będzie puste, zostanie popełnione oszustwo przy użyciu Twojej tożsamości a przed Tobą będzie duuużo do wyprostowania i spore straty finansowe.
Tylko ostatnio mielismy skradziony komputer, który zawierał imiona, nazwiska, adresy i stan zdrowia 700 dzieci. Potem okazało się, że kopie zapasowe klientów banku krwi zostały skradzione z samochodu, co doprowadziło do wypłynięcia prawie 300 000 wpisów. Do tego w innym przypadku, w skradzionej teczce z dokumentami znalazła sie lista 113 pacjentów i ic numerów ubezpieczeń. Oczywiście teczka była w samochodzie.
Nie wszystkie dane się kradnie. Część z nich po prostu zostaje zgubiona. Możesz poczytać o zaginionej pamięci flash, na której było 2777 nazwisk. numerów ubezpieczeń i wyników badań, lub o innej zaginionej pamięci flash, na której dane 59 pacjentów, włącznie z diagnozą i numerami dokumentów części z nich.
Najgorsze jest to, że utrata danych kosztuje – nie tylko klientów, ale i firmy. Najpierw to pracownik odpowiada za zaginione dane. Potem pojawiają się kary, pozwy do sądu i najgorsze możliwe rozwiązanie: utrata zawiedzionych klientów.
Także wygląda na to, że utrata jednego nośnika to całkiem sporo kłopotów. Pytanie, czy nie lepiej zabezpieczyć się zawczasu i znaleźć oprogramowanie, który pomoże skontrolować, co jest wynoszone z firmy na przeróżnych nośnikach.
