Opłaty dodatkowe w biurze podróży

Biuro podróży z Edmonton jest właśnie przedmiotem śledztwa. Śledztwa na temat oszustwa za pomoca kart kredytowych po fali skarg klientów, którzy stracili  ponad 50 000 USD. Według odpowiedzialnych za policyjne śledztwo, były pracownik jest oskarżony w tej sprawie, ale podobno także moga być z tą sprawą powiązani także inni pracownicy.

Cały czas śledczy są we mgle, ale jasne jest to, że 11 byłych klientów, którzy korzystali z usług agencji, zauważyło, że nie tylko oni korzystają ze swoich kart kredytowych. Na początku, skarga spłynęła od klienta, który został obciążony 20 000 USD długu na karcie kredytowej. Wszystkie razem pozwy stworzyły sumę ponad 50 000 USD.

Wprawdzie niewiadomo, do ilu kart kredytowych uzyskano dostęp, skoro praktycznie każdy pracownik miał dostęp do tych danych. Policja może zebrać wystarczajaco dowodów, żeby zatrzymać i ukarac sprawców. Teraz potrzebują czasu.

Twoje dane w śmietniku

Wszyscy martwimy się dziurami w ochronie naszych danych, słabymi politykami bezpieczeństwa, które otwierają drogę dla najgorszych koszmarów świata IT, kradzieżą i oszustwem… a zopominamy o jednej kwestii. Są firmy, których nie obchodzie co się stanie z informacjami o nas. Tak po prostu.

Wyobraź sobie taką sytuajcę: firma X kończy swoją działalność, z racji, że kiedyś było lepiej i nie warto się przejmować, tylko należ uniknąc strat i taktycznie się wycofać. Przez lata zbierali prywatne dane od swoich wszystkich klientów. Tych danych powinni sie teraz skutecznie pozbyć.  Właściwie to wystarczyłoby kliknąć ‘delete’ i cieszyć się świętym spokojem. A co jak te dane spoczywają w wydrukowanej formie, w jakimś segregatorze? Są dwa wyjścia – czasochłonne i nieczasochłonne. Czasochłonne oznacza, że ktoś przepuści te dokumenty przez niszczarkę. Nieczasochłonne to scernariusz, w którym worek z dokumentami ląduje w najbliższym koszu na śmieci. Jak myślisz, które z tych rozwiązań jest częściej wybierane?

Tak się stało przy okazji likwidacji sklepu-wypożyczalni Hollywood Video w centrum handlowym w Baring Village. Z powodu upadku całej sieci, sklepy były likwidowane. A setki deklaracji członkowskich wylądowały w koszu na śmieci na tyłach centrum. Nieświadomi klienci byli narażenie na kradzież ich tożsamości i oszustwa. Większość formularzy zawierała nazwiska, adresy, daty urodzin, numery dowodów osobistych oraz wzoty podpisów. A część nawet dane kart kredytowych.

Na szczęście, część formularzy została odnaleziona i zwrócona sygnotariuszom, a pozostałe zostaną zniszczone przez policję. A kto ponosi winę za to? Byli pracownicy? Firma? A może użytkownicy, którzy nie interesowali się co się dzieje z ich danymi?

Kto może ucierpieć na kradzieży jednego laptopa?

AvMed Health Plans (dostarczyciel usług medycznych w USA) właśnie stara się „posprzątać” po utracie danych. Otóż na początku grudnia, z biura firmy w Gainsville skradziono 2 firmowe laptopy. Najgorsze jest to, że złodzieje zyskali dostęp do informacji osobistych 200 000 obecnych i byłych klientów i członków ich rodzin – poinformowała firma na łamach Gainesville.com.

Co zawierały te 2 laptopy? Nazwiska, adresy, numery telefonów, numery ubezpieczenia społecznego i informacje o zdrowiu pacjentów. Z drugiej strony, firma informuje, że ryzko kradzieży tożsamości jest dość niskie, ze wzgledu na to, że dane były zapisane bez szczególnej kolejności. Szkoda tylko, że 12 dni po zdarzeniu, firma odkryła, że dane na jednym z dwóch laptopów nie były odpowiednio szyfrowane.

AvMed informuje, że na razie nie było żadnych informacji o kradzieży tożsamości, a oni sami mają o wiele lepszą perspektywę na cała sytuację, od czasu gdy klienci zaczęli przystępować do programu ochrony tożsamości, zapewnionego przez firmę na najbliższe 24 miesiące.

Które dane w końcu wyciekły?

Ostatni atak w stylu DoS (Denial of Service) na serwer nie tylko pozwolił na przełamanie się przez ochronę sieci, ale także na dostęp do komputera, który zawierał nazwiska, numery identyfikatorów, a także numery telefonów 2500 obecnych i byłych pracowników. Mimo, ze takie dane, jak numery ubezpieczenia społecznego, nie były przechowywane na serwerze, był on połaczony z innymi maszynami, które zawierały prywatne dane 26000 osób i dostawców.

Na szczęście wszystkie dane uczniów znajduja się w różnych sieciach w Eugene School District, więc nikt z nich nie ucierpiał na wycieku danych. Tak jakby jednymi ofiarami byli dorośli.

Z kolei zbiór danych 26000 osób wcale nie ma tkaiej pewności. Nie ma dowodów ani na to, że dane wyciekły, ani na to, że pozostały w spokoju. Cały czas jest prowadzone śledztwo w tej kwestii, a strona internetowa szkoły opublikowała informację o wycieku. Oczywiście do tego zostąły podjęte wszelkie działania, żeby zabezpieczyć serwer, aby wszystkie informacje, które nie padły ofiarą ataku, pozostały bezpieczne.

Więcej informacji znajdziesz  tutaj.

Wszyscy kochamy kradzione dane. Nawet Francuzi.

Francuskie władze pokazały, jak kreatywnie można podejść do oskarżenia o unikanie płacenia podatków. Okazało się, że głównym materiałem dowodowym w śledztwie są skradzione dane. Otóż, wypłynęła lista 3000 francuskich obywateli, którzy wykorzystywali konta w szwajcarskich bankach po to, aby płacić mniejsze podatki, lub w ogóle ich uniknąć. A wypłynęła, ponieważ przekazał jąbyły pracownik działu IT w szwajcarskim HSBC… bez zgody banku.

Szwajcarskie HSBC potwierdziło, że jeden z pracowników był posądzany o kradzież danych (2007 – 2008), ale podobno dotyczyło to tylko listy 10 kont. Według niepotwierdzonych źródeł, wspomniany pracownik dziłu IT, uciekł do Francji, gdzie korzysta z gościnności gospodarzy i ochrony przed oskarżeniem o kradzież informacji.

The Register cytuje francuskie gazety, które zapewniają, że 4000 osób na liście posiadają konta o łącznej wartości 6 miliardów Euro, ale tylko część z nich jest posądzana o unikanie płacenia podatków.

Co chcą kraść pracownicy?

Jeżeli którykolwiek z managerów zastanawia się jeszcze, czy jego pracownicy mogliby wynieść poufne dane z firmy, to odpowiedź jest prosta. Tak. I wiedzą, że jest to niezgodne z prawem. A większość firm zdaje sobie sprawę, że niebezpieczeństwo leży wewnątrz ich struktur, ale robią niewiele żeby je zażegnać. Takie wnioski wysnuło Dark Reading po porównaniu dwóch badań stworzonych przez producentów oprogramowania do ochrony.

Jedno z nich skupiło się na 600 pracownikach z działów finansowych w Nowym Yorku, USA, i Londynie. Wielu z respondentów przyznało, że często „zabierali pracę” do domu i zatrzymywali dla własnych korzyści. Podczas gdy zdecydowana więksozść wiedziała, że jest to nielegalne, częśc przyznała się, że zmieniając pracę, zabierali ze sobą informacje z poprzedniej firmy, a inni stwierdzili, że podzielili by się poufnymi informacjami z rodziną, przyjaciółmi, lub wtedy gdy pomogłoby im to w znalezieniu lepszej pracy. Niektórzy, po prostu traktowali takie dane jako swoją „polise ubezpieczeniową”.

To co najchetniej zabraliby z Twojej firmy? Na pewno list klientów i podpisanych kontrkatów, oferty, plany współpracy. Rzadziej informacje o produktach. Read more

Naruszenie bezpieczeństwa danych w BCBS pod mikroskopem.

BCBS (Blue Cross Blue Shield) zajmuje się ubezpieczeniami zdrowotnymi dużej części amerykańskiego społeczeństwa. Innymi słowy przechowuje dane takie jak infomacje o podatniku i numer ubezpieczenia społecznego, które wcześniej pobiera od 800000 dostarczycieli usług medycznych w całych Stanach Zjednoczonych. I wszystko jest dobrze, póki te dane są bezpieczne i wykorzystywane jedynie przez firmę ubezpieczeniową. Jednak w momencie, kiedy pojawia się naruszenie bezpieczeństwa danych w firmie, sytuacja przestaje byc przyjemna. Szczególnie, gdy instytucja nie poinformuje głównych zainteresowanych, o tym, co się stało.

Nie tylko prowadzi to do utraty dobrego wizerunku, ale też przyciąga uwagę służb porzadkowych. Wyciek danych w BCBS jest właśnie pod lupą Prokuratury Genralnej w Connecticut. Dlaczego? Prawo Stanowe dokładnie podkreśla ważność tego, aby w razie wycieku danych klientów, niezwłocznie poinformować ich o zdarzeniu. BCBS podobno tego nie zrobiło.

Cała sytuacja zadziała się w sierpniu, kiedy to laptop z poufnymi danymi został skradziony. W dniu dzisiejszym, jedynie stan Connecticut prowadzi na ten temat śledztwo, w imieniu 18 817 dostarczycieli usług medycznych na swoim terytorium. Stawką jest roczny monitoring tego, co się dzieje z bezpieczeństwem informacji w firmie i nakaz wprowadzenia dodatkowej ochorny danych.

Z drugiej strony, BCBS wyraźnie podkreśla, że zaczęli powiadamiać zainteresowanych w kilka dni po incydencie, a nie miesiąc później, tak jak informuje prokuratura. W każdym razie, wspomniany monitoring wcale im nie przeszkadza, wręcz mogliby rozszerzyć go na 2 lata – przynajmniej w jednym z oddziałów.

Jak się (nie) chronią najlepsi…

Kiedy myślisz o instytucjach, takich jak Brytyjskie Ministerstwo Obrony, podejrzewasz pewnie, że ochrona jest tam wręcz nie do przejścia. Tak, że nie zadrzesz z nimi już drugi raz. Niestety, jak rzeczone ministerstwo podaje (V3.co.uk) w ostatnich latach, przypadki utraty danych wzrosły 4 razy. Według nieoficjalnych źródeł w 2008 i 2009 roku stało się to 8 razy, co wobec 2 w poprzednim okresie jest imponujacą liczbą. Najbardziej poważne okazało się zaginięcie przenośnego dysku twardego z posiadłości jednego z wykonawców dla ministerstwa. Były tam imiona i nazwiska, numery paszportów i dane do kont bankowych 1,7 miliona osób.

Wśród innych wypadków było zgubienie trzech pamięci USB z „bezpiecznej posiadłości rządowej”. Na nich z kolei były dane wszystkich członków personelu pomocniczego RAF, kótrzy odbywali służbę od 2002 do 2008 roku, a także ich krewnych.

Z kolei w kwietniu zeszłego roku, nieszyfrowany laptop został skradziony z budynku ministerstwa, wraz z danymi osobistymi 300 ludzi.

Ministerstwo Obrony przyznaje, że traciło urządzenia elektroniczne, pamieci przenosnie lub wydrukowane dokumenty ponad 15 razy – w tym 6 razy z biur rządowych.

Mam wrażenie, że prywatna firma zrobiłaby coś z tym jakieś 8 utrat danych temu. Ale w końcu to sa fundusze publiczne. Może teraz zainwestuja w jakiś system ochrony?

Atak na Twittera

Okazuje się, że Twitter staje się coraz modniejszy i bardziej popularny nie tylko wśród internautów. Jak widać przestępcy również ulegli modzie na Twitter’a, ponieważ stał się on celem ich ostatnich ataków.  Jedna z pracownic administracyjnych została zaatakowana, dzięki czemu złoczyńcy wykradli dane niezbędne do włamania się na firmowe konta w usłudze Google Apps. W konsekwencji łupem padły notatki, dokumenty finansowe, umowy i wiele innych istotnych danych.

Oprócz krytyki za przechowywanie tak istotnych dokumentów na serwerach zabezpieczonych jedynie hasłem można przeczytać dość ironiczne komentarze: „To wspaniała lekcja na temat bezpieczeństwa chmur obliczeniowych. Przypuszczam, że gdy już hakerzy zdobędą dostęp do konta e-mail i wykorzystają obecną w Google Apps opcję ‘zapomniałem hasła’, mogą włamać się na konto. Oczywiście takie coś może zdarzyć się też w przypadku sieci firmowej, jednak tam trzeba jeszcze przejść dwa dodatkowe poziomy zabezpieczeń”, jak mówi Amichai Shulman z Imprevy.

Chcących dowiedzieć się więcej na temat tego incydentu zachęcam do zapoznania się z artykułem w serwisie Locos.

Tajne dane T-Mobile „pod młotek”?

Poufne dokumenty T-Mobile trafiły w ręce przestępcy (lub grupy przestępców), który próbował je sprzedać konkurentom operatora. Jednak żaden operatorów nie pokusił się na współpracę z posiadaczem danych, więc ten postanowił je sprzedać temu, kto zaproponuje większą cenę.

Wszystko zaczęło się od informacji na grupie dyskusyjnej Full Disclosure, gdzie pojawił się post od jednego z użytkowników, iż posiada on tajne dokumenty T-Mobile, takie jak raporty finansowe czy dane z baz danych. Wkrótce operator przyznał, iż tajne informacje rzeczywiście wpadły w ręce przestępcy. T-Mobile uspokajał jednocześnie, iż nie znajdują się tam żadne dane klientów, więc wyciek ten w żaden sposób nie może narazić ich na niebezpieczeństwo.

Po przeprowadzonych analizach stwierdzono, iż przestępca niemal na pewno nie uzyskał dostępu do systemów informatycznych firmy. Pozostaje więc pytanie w jaki sposób doszło do kradzieży danych. Jedną z przypuszczalnych hipotez jest wyciek danych za pomocą urządzeń USB (przenośny dysk czy pendrive). Być może jeden z pracowników zgubił dane przechowywane na urządzeniu magazynującym.

Warto przypomnieć, iż bardzo podobna sytuacja miała miejsce w październiku 2008. Wtedy to Deutsche Telecom przyznał, iż dane dotyczące 17 milionów klientów T-Mobile zostały skradzione za pomocą urządzenia USB i sprzedane na czarnym rynku. Widać historia lubi się powtarzać. Choć miałam nadzieję, iż uczymy się na własnych błędach.

Monitoring danych i kontrola urządzeń USB wcale nie jest trudna! Na stronie www.Kontrola-USB.com znajdziecie szybki i prosty sposób jak radzić sobie z narastającym problemem wycieku danych i kontroli urządzeń, z jakich korzysta się w sieci komputerowej.

Nie pozwólcie, aby podobne przypadki jak T-Mobile spotkały również Was i Wasze firmy

Tutaj dowiecie się więcej o opisanej kradzieży danych.