Reakcja to podstawa

Zwracamy się do Państwa z informacją o możliwości dojścia do nieautoryzowanego dostępu do niektórych informacji z Państwa konta klienckiego, w tym Państwa imion (nazwisk), adresu e-mail, adresów wysyłki, daty urodzin, numeru telefonu oraz chronionego hasła.
Dostęp nie obejmował informacji dotyczących płatności, w tym dotyczących Państwa kart kredytowych.
Chociaż przechowujemy nasze hasła w zabezpieczonej postaci, z daleko posuniętej ostrożności, zalecamy, aby dokonali Państwo zmiany hasła na stronie BuyVIP, a także na wszystkich innych stronach, na których używają Państwo tego samego lub podobnego hasła. Ponadto, proszę pamiętać, że BuyVIP nigdy nie prosi o podanie żadnych osobistych danych lub danych związanych z państwa kontem za pośrednictwem poczty elektronicznej. Proszę zachować szczególną ostrożność, jeżeli otrzymają Państwo jakąkolwiek wiadomość e-mail zawierającą prośbę o podanie jakichkolwiek informacji osobistych oraz w wypadku otrzymania wiadomości, która skieruje Państwa na stronę internetową, na której zostaną Państwo poproszeni o podanie takich informacji.
Przepraszamy za zainstniałe trudności. Jeżeli mają Państwo obecnie złożone zamówienie, zapewniamy, że nasz zespół zajmuje się nim i zostanie ono dostarczone zgodnie z ustaleniami.
Zespół Obsługi Klienta BuyVIP

Taką wiadomość otrzymali niedawno klienci Buy VIP, internetowego outletu. Informacja o tym pojawiła się w poniedziałek rano w gazeta.pl. Z racji, że serwis należy do Grupy Allegro, firma zastrzegła, że wyciek danych nie ma nic wspólnego z czwartkową awarią.

Tak jak wyklarowała Joanna Wagner, rzecznik Grupy Allegro dla niebezpiecznik.pl:

Do włamania na serwery Buyvip rzeczywiście doszło, ale ofiarą padły hiszpańskie serwery — co w istocie dla polskich użytkowników buyvip nie robi żadnej różnicy, bo na zaatakowanych serwerach znajdowały się ich dane. (…) E-maila o naruszeniu bezpieczeństwa wysłała centrala z Hiszpanii — dostali go wszyscy użytkownicy BuyVIP, nie tylko Polacy.

Teraz czekamy na informacje, jakie były przyczyny tego wycieku, znając już jego rozmiar.

Kup trochę CV

Rozbudowujesz bazę klientów? Poszukujesz danych kilku tysięcy osób? Super, poszukaj w sieci ofert sprzedaży bazy CV z serwisu terazpraca.pl. Naprawdę, to nic, że Główny Inspektor Danych Osobowych straszy, zę i sprzedający i kupujący sa narażeni na przykre konsekwencje, włącznie z grzywną, karą ograniczenia wolności lub pozbawienia wolności do dwóch lat.

Z informacji, które dotarły do biura GIODO, od osób, które skarżą się na wyciek, wynika, że poszkodowanych może być kilkanaście tysięcy.

Takie stanowisko przekazała Małgorzata Kałużyńska-Jasak, rzecznika prasowa GIODO. Powiedziała też, że na razie nie można mówić o przyczynie wycieku, ale jeżeli się okaże, że portal niewłaściwie zabezpieczył swoje bazy danych, zostaną zawiadomione odpowiednie służby. Każda z ofiar może też samodzielnie zgłosić się na policję lub do prokuratury.

Teraz pytanie – co to znaczy dla ofiar? Całkiem sporo. Zastanówcie się co umieszczacie w CV. W moim są szczegółowe dane kontaktowe (w tym adres), dane o wykształceniu i pracy, a nawet o tym, że interesuję się kuchnią fusion i MTB. Na tej podstawie, „znalazca” mojego CV, lepiej dostosuje spam, który mi wysyła, będzie mógł ukraść moja tożsamość (np. podszywając się pode mnie w serwisie allegro.pl) albo po prostu uprzykrzy mi życie w internecie.

Dlatego ten wyciek wygląda dość groźnie dla użytkowników serwisu i otwiera dyskusję pt. „Na co mam zwracać uwagę, jak rejestruję się do jakiegoś serwisu, w którym będę przechowywał moje osobiste dane”

Co się dzieje z informacjami na nośnikach

Nie ważne, czy wydrukowane, zapisane na komputerze, pendrive’ie, i tak Twoje dane nie są bezpieczne. Wszystkie dane, które mają firmy, z którymi pracujesz, lekarze, fundacje… w końcu wyciekną. Jeżeli masz szczęście, trafią do osób, które nie wykorzystają ich, żeby dokonać przestępstwa. A jak będziesz miała pecha, pewnego dnia Twoje konto bankowe będzie puste, zostanie popełnione oszustwo przy użyciu Twojej tożsamości a przed Tobą będzie duuużo do wyprostowania i spore straty finansowe.

Tylko ostatnio mielismy  skradziony komputer, który zawierał imiona, nazwiska, adresy i stan zdrowia 700 dzieci. Potem okazało się, że kopie zapasowe klientów banku krwi zostały skradzione z samochodu, co doprowadziło do wypłynięcia prawie 300 000 wpisów. Do tego w innym przypadku, w skradzionej teczce z dokumentami znalazła sie lista 113 pacjentów i ic numerów ubezpieczeń. Oczywiście teczka była w samochodzie.

Nie wszystkie dane się kradnie. Część z nich po prostu zostaje zgubiona. Możesz poczytać o zaginionej pamięci flash, na której było 2777 nazwisk. numerów ubezpieczeń i wyników badań, lub o innej zaginionej pamięci flash, na której dane 59 pacjentów, włącznie z diagnozą i numerami dokumentów części z nich.

Najgorsze jest to, że utrata danych kosztuje – nie tylko klientów, ale i firmy. Najpierw to pracownik odpowiada za zaginione dane. Potem pojawiają się kary, pozwy do sądu i najgorsze możliwe rozwiązanie: utrata zawiedzionych klientów.

Także wygląda na to, że utrata jednego nośnika to całkiem sporo kłopotów. Pytanie, czy nie lepiej zabezpieczyć się zawczasu i znaleźć oprogramowanie, który pomoże skontrolować, co jest wynoszone z firmy na przeróżnych nośnikach.

Co chcą kraść pracownicy?

Jeżeli którykolwiek z managerów zastanawia się jeszcze, czy jego pracownicy mogliby wynieść poufne dane z firmy, to odpowiedź jest prosta. Tak. I wiedzą, że jest to niezgodne z prawem. A większość firm zdaje sobie sprawę, że niebezpieczeństwo leży wewnątrz ich struktur, ale robią niewiele żeby je zażegnać. Takie wnioski wysnuło Dark Reading po porównaniu dwóch badań stworzonych przez producentów oprogramowania do ochrony.

Jedno z nich skupiło się na 600 pracownikach z działów finansowych w Nowym Yorku, USA, i Londynie. Wielu z respondentów przyznało, że często „zabierali pracę” do domu i zatrzymywali dla własnych korzyści. Podczas gdy zdecydowana więksozść wiedziała, że jest to nielegalne, częśc przyznała się, że zmieniając pracę, zabierali ze sobą informacje z poprzedniej firmy, a inni stwierdzili, że podzielili by się poufnymi informacjami z rodziną, przyjaciółmi, lub wtedy gdy pomogłoby im to w znalezieniu lepszej pracy. Niektórzy, po prostu traktowali takie dane jako swoją „polise ubezpieczeniową”.

To co najchetniej zabraliby z Twojej firmy? Na pewno list klientów i podpisanych kontrkatów, oferty, plany współpracy. Rzadziej informacje o produktach. Read more

Wycieki danych w instytucjach to także problem ich klientów.

Jeżeli firma, bank lub szpital, które przechowują Twoje dane, ucierpiały nie dawno wyciek, niezbieczeństwo kradzieży Twojej tożsamości wzrasta czterokrotnie. Więc jeżeli dostałeś już informację o takim wycieku danych, poczuj się ostrzeżony, wynika ze studium zrealizowanego przez Javelin Research, cytowanego na DarkReading.

Ten właśnie raport pokazuje, że to co mówiły do tej pory firmy, w któych doszło do takich sytuacji, wcale nie ma pokrycia w rzeczywistości.Do tej pory, każdy zapewniał, ze nie ma żadnych dowodów na to, że dane zostały użyte do popełnienia przestępstwa.

“W ostatnich trzech latach, co roku średnio11% konsumentów otrzymało informację o wycieku ich danych,” podaje Javelin. “Wyciekły między innymi: numery ubezpieczenia społecznego – u około 33% ofiar wycieków i PINy kar bankomatowych u około 15%. I chociaż 19,5% ofiar wycieków doświadczyło jakiejś formy oszustwa w ciągu ostatniego roku, tylko 2% przypisują to właśnie wyciekowi danych.”

Czego brkauje w DuPont?

DuPont zdecydowanie powinno unikać swoich pracowników. Kolejny raz udowodnili, że ich specjalnością jestkradzież sekretów firmy  i ich sprzedaż. Po poprzednim incydencie, kiedy firma straciła prawie 400 000 000 USD, zwolniony został (a także oskarżony) pracownik chińskiego pochodzenia – z powodu nieodpowiedniego obchodzenia się z tajemnicami handlowymi.Tak jak wyjaśnia portal DarkReading, DuPont odkryło, co tka naprawdę robił pracownik całkiem przypadkiem. Po prostu przegladano jego twardy dysk przed transferem do Chin (pracownika, nie dysku ). Znalzło się tam zbyt dużo plików na temat m-in. technologii OLED.

“Jako firma, która opiera się na rozwoju nowych technologii, DuPont stara się chronić swoje wyjątkowe i poufne patenty,” było napisane w oświadczeniu firmy. „Takie wydarzenia podburzają nasze dążenia do ochrony przed naruszeniem naszych praw do nauki i technologii, które przynoszą korzyści nie tylko naszym udziałowcom, ale także pracownikom, a przede wszystkim, klientom”

W takim sytuacji całkiem niezłym rozwiązaniem jest zamykanie pracowników w więzieniach i obciążanie ich wysokimi karami finansowymi. Z drugiej stronu, czy to jest naprawdę skuteczne? Ja bym raczej wybrał jakieś oprogramowanie chroniace przed kradzieżą tkaich danych 

Kolejni Specjaliści opuszczają Obamę

No i co z tego, że Biały Dom ma ma nowy, wspaniały plan bezpieczeństwa w sieci, skoro większość osób odpowiedzialnych za jego wprowadzenie i ugruntowanie zrezygnowało z pracy w administracji Barracka Obamy w ciągu ostatnich kilu miesięcy.

Najpierw, w marcu, Rod Beckstrom zrezygnował z funkcji dyrektora National Cybersecurity Center, wydziału w Departamencie Bezpieczeństwa Wewnętrznego. Rzeczone centrum zajmuje się koordynowaniem ochrony sieci komputerów cywilnych, wojskowych i wywiadu. Dlaczego Beckstrom zrezygnował? Otóż, w liście, który przekazał, pisze, że zbyt mały budżet którym dysponował i nieudolna kontrola ze strony National Security Agency nie pozwalały mu na rzetelne wykonywanie pracy.

Kolejną osobą, która ogłosiła swoją rezygnację była Melissa E. Hathway. Melissa była głównym dyrektorem ds. bezpieczeństwa w sieci w administracji Obamy. Miesiące opóźnienia w powłaniu osoby odpowiedzialnej za nadzorowanie bezpieczeństwa sieci krytycznych dla Stanów Zjednoczonych. The Register wskazuje, że Hathway była jednym z najlepszych kandydatów na „cara bezpieczeństwa sieci”, osoby która miałaby możliwość zabezpieczać sieci i infrastrukturę, które pracuja dla banków, szpitali i giełdy w USA.

Jako trzecia, całkiem nie dawno zrezygnowała Mischel Kwon. Szefowa wydziału wewnątrz Departamentu Bezpieczeństwa Wewnętrznego, który zajmował się zarządzaniem kryzysowym w wyjątkowych sytuacjach zagrożenia sieci. Plotka rozpowszechniona przez Washington Post mówi, że Kwon była sfrustrowana biurokratyzacją i brakiem faktycznej władzy, co powstrzymywało ją przed spełnianiem swojej pracy. Właściwie, to nie jest pozycja, którą zajmuje się długo. W ciągu ostatnich 5 lat dyrektorzy zmeiniali się 4 razy.

Mam nadzieję, że mimo tych przeszkód, plan bezpieczeństwa w sieci zostanie wprowadzony bez kolejnych rezygnacji, opóźnień etc.. Trzymam kciuki!

Jak się (nie) chronią najlepsi…

Kiedy myślisz o instytucjach, takich jak Brytyjskie Ministerstwo Obrony, podejrzewasz pewnie, że ochrona jest tam wręcz nie do przejścia. Tak, że nie zadrzesz z nimi już drugi raz. Niestety, jak rzeczone ministerstwo podaje (V3.co.uk) w ostatnich latach, przypadki utraty danych wzrosły 4 razy. Według nieoficjalnych źródeł w 2008 i 2009 roku stało się to 8 razy, co wobec 2 w poprzednim okresie jest imponujacą liczbą. Najbardziej poważne okazało się zaginięcie przenośnego dysku twardego z posiadłości jednego z wykonawców dla ministerstwa. Były tam imiona i nazwiska, numery paszportów i dane do kont bankowych 1,7 miliona osób.

Wśród innych wypadków było zgubienie trzech pamięci USB z „bezpiecznej posiadłości rządowej”. Na nich z kolei były dane wszystkich członków personelu pomocniczego RAF, kótrzy odbywali służbę od 2002 do 2008 roku, a także ich krewnych.

Z kolei w kwietniu zeszłego roku, nieszyfrowany laptop został skradziony z budynku ministerstwa, wraz z danymi osobistymi 300 ludzi.

Ministerstwo Obrony przyznaje, że traciło urządzenia elektroniczne, pamieci przenosnie lub wydrukowane dokumenty ponad 15 razy – w tym 6 razy z biur rządowych.

Mam wrażenie, że prywatna firma zrobiłaby coś z tym jakieś 8 utrat danych temu. Ale w końcu to sa fundusze publiczne. Może teraz zainwestuja w jakiś system ochrony?

Twoje Dokumenty w Social Media

Facebook, LinkedIn, Twitter, codziennie odwiedzane przez pracowników prawie każdej firmy. Dzielimy się informacjami – nawet czasem w zbyt dużych ilościach – z każdą osobą obecną w sieci. Nie chodzi o to, żebyśmy rezygnowali z korzysci jakie daje networking online, ale musimy być świadomi, które na nas tam czychają. Jak we wszystkich dziedzinach powiązanych z ochroną danych – niezbezpieczeństwo jest albo wewnątrz, albo na zewnatrz organizacji. Zarówno złośliwe oprogramowanie, które obrało na cel social media jak i Twoi właśni pracownicy, pozbawieni odpowiedniego przeszkolenia, bądź umyślnie umieszczają poufne informacje w sieci.

To jak tego uniknąć? Na pewno nie można tego zignorować. Na pewno nie zatrzaśniesz tych drzwi, skoro social media mają taki wpływ na Twoją firmę. Ograniczenia czasu użytkowania też raczej nie pomogą. W końcu, żeby opublikować jeden post, potrzebne jest kilkanaście sekund, a może trafić on do każdego.

Czytając pewien artykuł na temat social media w pracy, natrafiłem na wnioski z pewnego badania (badanie Sophos), które pokazało, że 62.8% firm nie było zadowolone z tego, że ich pracownicy dzielą się zbyt wieloma informacjami na Facebooku, a 66% jednoznacznie stwierdziło, że pracownicy używający social networks narażaja bezpieczeństwo firmy.

Prawda. I co z tym zrobisz? Masz 3 sposoby. Najpierw ogranicz dostęp pracownikom do poufnych dokumentów (np. poprzez system białej listy). To tylko jest chwilowe rozwiązanie. Potem przeszkol ich. Powiedz co jest dobrym zachowaniem, a co naraża dobro firmy. Na koniec – obserwuj ich ruchy. Jakie pliki, na czym i gdzie przenoszą. Albo módl się o cud.

Atak na Twittera

Okazuje się, że Twitter staje się coraz modniejszy i bardziej popularny nie tylko wśród internautów. Jak widać przestępcy również ulegli modzie na Twitter’a, ponieważ stał się on celem ich ostatnich ataków.  Jedna z pracownic administracyjnych została zaatakowana, dzięki czemu złoczyńcy wykradli dane niezbędne do włamania się na firmowe konta w usłudze Google Apps. W konsekwencji łupem padły notatki, dokumenty finansowe, umowy i wiele innych istotnych danych.

Oprócz krytyki za przechowywanie tak istotnych dokumentów na serwerach zabezpieczonych jedynie hasłem można przeczytać dość ironiczne komentarze: „To wspaniała lekcja na temat bezpieczeństwa chmur obliczeniowych. Przypuszczam, że gdy już hakerzy zdobędą dostęp do konta e-mail i wykorzystają obecną w Google Apps opcję ‘zapomniałem hasła’, mogą włamać się na konto. Oczywiście takie coś może zdarzyć się też w przypadku sieci firmowej, jednak tam trzeba jeszcze przejść dwa dodatkowe poziomy zabezpieczeń”, jak mówi Amichai Shulman z Imprevy.

Chcących dowiedzieć się więcej na temat tego incydentu zachęcam do zapoznania się z artykułem w serwisie Locos.