Reakcja to podstawa

Zwracamy się do Państwa z informacją o możliwości dojścia do nieautoryzowanego dostępu do niektórych informacji z Państwa konta klienckiego, w tym Państwa imion (nazwisk), adresu e-mail, adresów wysyłki, daty urodzin, numeru telefonu oraz chronionego hasła.
Dostęp nie obejmował informacji dotyczących płatności, w tym dotyczących Państwa kart kredytowych.
Chociaż przechowujemy nasze hasła w zabezpieczonej postaci, z daleko posuniętej ostrożności, zalecamy, aby dokonali Państwo zmiany hasła na stronie BuyVIP, a także na wszystkich innych stronach, na których używają Państwo tego samego lub podobnego hasła. Ponadto, proszę pamiętać, że BuyVIP nigdy nie prosi o podanie żadnych osobistych danych lub danych związanych z państwa kontem za pośrednictwem poczty elektronicznej. Proszę zachować szczególną ostrożność, jeżeli otrzymają Państwo jakąkolwiek wiadomość e-mail zawierającą prośbę o podanie jakichkolwiek informacji osobistych oraz w wypadku otrzymania wiadomości, która skieruje Państwa na stronę internetową, na której zostaną Państwo poproszeni o podanie takich informacji.
Przepraszamy za zainstniałe trudności. Jeżeli mają Państwo obecnie złożone zamówienie, zapewniamy, że nasz zespół zajmuje się nim i zostanie ono dostarczone zgodnie z ustaleniami.
Zespół Obsługi Klienta BuyVIP

Taką wiadomość otrzymali niedawno klienci Buy VIP, internetowego outletu. Informacja o tym pojawiła się w poniedziałek rano w gazeta.pl. Z racji, że serwis należy do Grupy Allegro, firma zastrzegła, że wyciek danych nie ma nic wspólnego z czwartkową awarią.

Tak jak wyklarowała Joanna Wagner, rzecznik Grupy Allegro dla niebezpiecznik.pl:

Do włamania na serwery Buyvip rzeczywiście doszło, ale ofiarą padły hiszpańskie serwery — co w istocie dla polskich użytkowników buyvip nie robi żadnej różnicy, bo na zaatakowanych serwerach znajdowały się ich dane. (…) E-maila o naruszeniu bezpieczeństwa wysłała centrala z Hiszpanii — dostali go wszyscy użytkownicy BuyVIP, nie tylko Polacy.

Teraz czekamy na informacje, jakie były przyczyny tego wycieku, znając już jego rozmiar.

Upss…

Jak pisze niebezpiecznik.pl - AMD miało pewien problem, a właściwie

dobry sposób na promocję gry w kręgach osób zainteresowanych bezpieczeństwem…

Otóż AMD, w ramach promocji przygotowanej razem z Codemasters, do sprzedawanych kart graficznych dodawało klucze do gry DiRt 3. Jednak niespodziewanie te klucze wyciekły, ponieważ  znalazły się, niezabezpieczone, na serwerze partnera promocji:

This past weekend activation keys associated with free Dirt 3 game voucher shipping with select AMD products were compromised. These activation were hosted in a third party fulfillment agency website, www.amdforyou.com, and did not reside on AMD’s website. Neither the AMD nor code masters servers were involved. We are working closely with Steam, code masters, to address the situation. AMD will continue to honor all valid game vouchers. However, the current situation may result in a short delay before the vouchers can be redeemed

Takie informacje cytuje gamebandits.com. Oficjalnie, ososby, które zarejestrują się w Steam, stracą swoje konta, więc chyba nie warto zastanawiać się nad zakupem „promocyjnych” wydań DiRT.

Swoją drogą, cały ten problem wynikł ze stron nieodpowiedzialnych pracowników i w rzeczywistości wcale mógłby nie zaistnieć, gdyby istniały odpowiednie procedury bezpieczeństwa IT.

Co administrator danych wie o bezpieczeństwie

Ostatnio opublikowane studium pokazuje, że administratorzy baz danych nie do końca rozumieją o co chodzi w zarządzaniu bezpieczeństwem.  Sami przyznają, że ich wiedza w tym obszarze jest dość ograniczona. Kwestie takie jak kontrola zmian, zarządzanie aktualizacjami czy audyt bezpieczeństwa nie są im znane. Całe studium zostało oparte o badanie pośród 214 administratorów Sybase, którzy należą do International Sybase User Group.

“A majority of respondents admit that there are multiple copies of their production data, but many do not have direct control over the security of this information,” the survey report stated. “Only one out of five take proactive measures to mask or shield this data from prying eyes.”

Analityk Unisphere Research, Joe McKendrick, który jest autorem badania ISUG, zaznacza, że to tylko jedno z takich badań, które są prowadzone wśród użytkowników różnych typów baz danych, także tych, działających na konkurencyjnych platformach, takich jak SQL Server czy Oracle.

“This [ISUG survey] pretty much follows the same script [as the survey responses in the other database environments,” pisze McKendrick. “It’s very consistent — with a very common theme across all of these different user groups and technology bases — that there is a disconnect between management and security.”

Ciekawe jest to, że 50% respondentów nie uważa, że w najbliższym roku staną się ofiarą wycieku danych. Według Richa Mugulla, założyciela firmy analitycznej Securosis, nie ma w tym nic niespodziewanego.

“We still see very much a split between the database and security worlds — and not nearly the level of communication between the two of them that we’d like,” mówi Mogull.

Eksperci od bezpieczeństwa radzą instytucjom, żeby bardziej przyłożyły się do udostępniania baz danych nie tylko dla ich administratowrów, ale także specjalistów IT.

“We need to ask ourselves, ‘Where are these pieces of classified information and bank account numbers and sensitive organizational data being stored in the databases? Can we identify all the databases they’re in?’”  Wyjaśnia Hutton. “And then we can figure out how to create a control structure that prevents, detects, and responds to incidents against that database.”

Eksperci wskazują też, że wiele organizacji nie potrafi efektywnie przeprowadzić audytu danych, co sprawia, że polityki bezpieczeństwa i ich kontrola naprawdę działają. McKendrick wskazuje, że jego badanie wykryło, ze 16% instytucji prowadzi comiesięczny audyt danych. Kolejne 32% nawet nie potrafi powiedzieć, kiedy są przeprowadzane takie audyty, bądź po prostu ich nie przeprowadza.

Tracisz dane nie tylko przez zaniedbanie…

Ponemon Institute  przeanalizował przypadki utraty danych w 38 brytyjskich firmach z 13 różnych sektorów gospodarki. Według tego badania, niedbałość, jako pierwsze źródło wycieku danych została zastąpiona przez awarie systemowe.

Wzrost o 13% w kosztach utraty danych oznacza, że organizacje zapłacą 71 funtów za każdy utracony wpis. Tego, co firma średnio zapłaci, nie da się za bardzo ustalić, bo sumy wahają się od 36 000 do 6,2 miliona funtów.

29% z tych ataków to te, którą są złośliwe lub noszą znamiona przestępstwa. To wzrost o 7% w 2010 roku, w porównaniu z poprzednim okresem. Spośród wszystkich przypadków, w których wyciekły dane, aż 37% wynikało z awarii systemów, co w porównaniu z 2009 rokiem stanowi 7% wzrostu. Zagubienie, kradzież lub błędy popełnione przez zewnętrzne osoby to o 5% więcej niż w 2009 roku, czyli 29%. Natomiast zaniedbanie to „tylko” 34%, co oznacza spadek o 11%.

Wsród badanych, 7 firmz 10 jako rozwiązanie swoich problemów podało szyfrowane danych, a 69% (czyli prawie tyle samo) zdecydowało się na zwiększenie kontroli użytkowników.

Ponadto w zeszłym roku, Biuro Komisarza ds. Informacji (Information Commissioner’s Office = ICO) dostało w ręce nowe metody – miedzy innymi możliwość nakładania dotkliwych kar pieniężnych na firmy, które tracą dane z powodu niedbałości.

“Regulators are cracking down to ensure organisations implement required data security controls or face harsher penalties,” said Dr Larry Ponemon, chairman and founder of the Ponemon Institute. “Confronted with both malicious and non-malicious threats from inside and outside the organisation, companies must proactively implement policies and technologies to mitigate the risk of costly breaches.”

Szkocki Sąd odpowiedzialny za wyciek danych

Czy uważasz, że szkocki sąd to bezpieczna instytucja? Ja też tak myślałem. A teraz ujawniono informację, że Biuro Komisarza ds. Informacji ujawniło, że poufne dokumenty stały się ofiarą recyclingu w Glasgow.

Ujawniło się to w bardzo prosty sposób. Jeden z dzienników opublikował szczegóły na temat dokumentów dotyczących pewnej apelacji z września 2010. Redaktor raportów sądowych zgubił te dokumenty, właściwie to z racji, że sąd nie sprecyzował w jaki sposób powinny być zabezpieczane.

Teraz odbywa się „polowanie na czarownice”, którego nieodłącznym elementem jest kampania informacyjna o wymaganiach względem bezpieczeństwa informacji. Każda osoba, która przechowuje bądź używa poufnych dokumentów musi podpisać odpowiednie oświadczenie zrozumienia.

Małe rybki są łątwiejsze do złapania?

W 2010 roku, Europa wyprzedziła obie Ameryki i Azję w kwestii naruszenie bezpieczeństwa informacji przez Internet. Dlatego wszyscy eksperci bezpieczeństwa skupiają uwagę na tym kontynencie. Wyjątkowo, bycie nr 1. nie jest najlepszą rekomendacją.

Po pierwsze, chiński rząd ściśle kontroluje dostawców internetu, więc wszystkie nielegalne elementy ich biznesu trafiły do Europy Wschodniej. Według Jamz Yaneza z Tren Micro, dzięki twardej polityce, spadła ilość SPAMu w Chinach. Ale co z tego, skoro Państwo Środka jest drugim, po Europie źródłem cyberprzestępczości.

Poza tym, coraz częściej ataki mają skalę lokalną. Na przykład w Brazylii, ataki w stylu phishing albo botnet najczęściej dotykają małych, lokalnych banków.

Na pewno też specjalnie bezpieczne nie będą nowe platformy. To, ze używasz mniej popularnego systemu, wcale nie chroni Ciebie przed targetowanymi atakami. Poza tym, ważne jest, żeby kontrolować nie tylko Twój OS, ale także aplikacje, które używasz.

Skąd jeszcze wypływają dane?

28 000 członków funduszu kredytowego Straży Pożarnej w Los Angeles jest zagrożone wyciekiem ich prywatnych danych. Niedawno władze funduszu powidomiły ich, że podejrzewają wyciek danych przy przenoszeniu plików. Po prostu możliwe jest, że pewna część danych został skopiowana podczas przeprowadzki organizacji do nowego biura.

Dane, które mogły zostać skradzione to przede wszystkim nazwiska, adresy i numery telefonów, oraz numery ubezpieczenia społecznego. Na początku fundusz, powołując się na nowoczesną technologię i protokoły uprwaniające użytkowników, chciał utwierdzić członków, że ich dane sa bezpieczne (zmniejszając niepokój)). Z drugiej strony – przy tej ilości danych osobowych, w systemach o mniejszych zabezpieczeniach – będzie łatwiej dostać do zasobów członków. Na dzień dzisiejszy, fundusz będzie poddawany minitorowaiu pok kątem przepływów pieniężnych i obiecuje, że  w przyszłości lepiej obsłuż transfery

Czy zamykanie portów USB jest dobrym pomysłem?

Porty USB w komputerach w sieci są trochę jak brama do piekieł. Wręcz same się proszę o złamanie zasad bezpeiczeństwa za ich pomocą. Tak naprawdę, to przenośnych urządzeń, które mogą magazynować duże ilości danych, przyniesione przez pracowników i gości, używane i podłączane tam, gdziee jest wygodnie, z pominięciem wszystkich alertów bezpieczeństwa.

Oczywiście najprostsze jast odebranie pracownikom możliwości używania tych portów. Nie jest to na pewno najsprytniejsze rozwiązanie, ale jest skuteczne. Dla każdego kto boi się utraty danych, a w efekcie pozwów sądowych, odwrócenia sie klientów wydaje się to najlepsze, aczkolwiek takie obawy nie powinny nikogo powstrzymać przed optymalnym rozwiązaniem problemu.

W końcu porty USB, to także np. drukarki. Czyli nikt z Twoich pracowników nie może podłączyć laptopa do żadnej biurowej drukarki, żeby wydrukować raport, ofertę albo kontrakt. Jedyne dopuszczone drukarki, to te w sieci, z któych każdy chce skorzystać, więc tworzą się kolejki, sprzeczki etc. A co za tym wszystkim idzie- marnują czas.

Do tego, każdy zakaz budzi niezadowolenie pracowników i obraca się przeciwko decydentowi. I w takim momencie, każdy chce rzeczony zakaz jak najefektywniej ominąć. Na pewno pamiętacie kolegów, którzy omijali firewalle w firmie, żeby ogladać seriale on-line. I na pewno pamiętacie jak narzekaliście, kiedy takie zakazy były wprowadzane w firmie.

A, do tego pamiętaj, że to wcale nie znaczy, że jesteś bezpieczny. Każdy może wysłać poufny dokument emailem albo wydrukować listę klientów i zanieść do konkurencji. Mógłbyś monitorowac tkaie zachowania, ale skoro myślisz, że jesteś już bezpieczny, to po co?

To w takim razie po co denerwować praconików zakazami w imię fałszywego poczucia bezpeiczeństwa, skoro mógłbyś im pozwolić na używanie autoryzowanych urządzeń i obserwowanie transferu plików? Po co masz się martwić, skoro wystarczy biała lista plików, żeby ograniczyć pracownikom dostęp do poufnych danych? Dlaczego nie masz ułatwić sobie i im życia, użwając oprogramowania do ochrony przed utratą danych i kontroli urządzeń?

Które dane w końcu wyciekły?

Ostatni atak w stylu DoS (Denial of Service) na serwer nie tylko pozwolił na przełamanie się przez ochronę sieci, ale także na dostęp do komputera, który zawierał nazwiska, numery identyfikatorów, a także numery telefonów 2500 obecnych i byłych pracowników. Mimo, ze takie dane, jak numery ubezpieczenia społecznego, nie były przechowywane na serwerze, był on połaczony z innymi maszynami, które zawierały prywatne dane 26000 osób i dostawców.

Na szczęście wszystkie dane uczniów znajduja się w różnych sieciach w Eugene School District, więc nikt z nich nie ucierpiał na wycieku danych. Tak jakby jednymi ofiarami byli dorośli.

Z kolei zbiór danych 26000 osób wcale nie ma tkaiej pewności. Nie ma dowodów ani na to, że dane wyciekły, ani na to, że pozostały w spokoju. Cały czas jest prowadzone śledztwo w tej kwestii, a strona internetowa szkoły opublikowała informację o wycieku. Oczywiście do tego zostąły podjęte wszelkie działania, żeby zabezpieczyć serwer, aby wszystkie informacje, które nie padły ofiarą ataku, pozostały bezpieczne.

Więcej informacji znajdziesz  tutaj.

Co chcą kraść pracownicy?

Jeżeli którykolwiek z managerów zastanawia się jeszcze, czy jego pracownicy mogliby wynieść poufne dane z firmy, to odpowiedź jest prosta. Tak. I wiedzą, że jest to niezgodne z prawem. A większość firm zdaje sobie sprawę, że niebezpieczeństwo leży wewnątrz ich struktur, ale robią niewiele żeby je zażegnać. Takie wnioski wysnuło Dark Reading po porównaniu dwóch badań stworzonych przez producentów oprogramowania do ochrony.

Jedno z nich skupiło się na 600 pracownikach z działów finansowych w Nowym Yorku, USA, i Londynie. Wielu z respondentów przyznało, że często „zabierali pracę” do domu i zatrzymywali dla własnych korzyści. Podczas gdy zdecydowana więksozść wiedziała, że jest to nielegalne, częśc przyznała się, że zmieniając pracę, zabierali ze sobą informacje z poprzedniej firmy, a inni stwierdzili, że podzielili by się poufnymi informacjami z rodziną, przyjaciółmi, lub wtedy gdy pomogłoby im to w znalezieniu lepszej pracy. Niektórzy, po prostu traktowali takie dane jako swoją „polise ubezpieczeniową”.

To co najchetniej zabraliby z Twojej firmy? Na pewno list klientów i podpisanych kontrkatów, oferty, plany współpracy. Rzadziej informacje o produktach. Read more