16 декабря 2023

Данные в утечках заметно посвежели

Объ­ем дан­ных, утек­ших из рос­сий­ских ком­па­ний за 10 ме­сяцев 2023 г., вы­рос на треть, при этом ко­личес­тво ин­ци­ден­тов сни­зилось на 6%. Боль­шая часть слу­чаев прои­зош­ла в мел­ких и сред­них ком­па­ниях, од­на­ко по объ­емам ли­диро­вали утеч­ки из круп­ных. Сре­ди от­рас­лей ли­дера­ми по объ­ему уте­чек ока­зались ИТ и те­леком, роз­нич­ная тор­гов­ля и фи­нан­сы.

По данным отчета "О значимых утечках данных в России" от Kaspersky Digital Footprint Intelligence, в январе-октябре 2023 г. зафиксировано 133 случая публикаций в открытом доступе баз данных российских компаний, которые содержали более 5000 записей или их публикация вызвала широкий резонанс. По сравнению с 2022 г. самих объявлений об утечках стало меньше на 6%, но объем опубликованных злоумышленниками данных вырос на 33%.

"По сравнению с предыдущими годами количество публикаций в открытом доступе полных файлов утечек заметно сократилось. Однако нельзя с уверенностью сказать, что самих утечек стало ровно на столько же меньше. В 2022 г. хактивисты с высокой регулярностью размещали в открытом доступе ПДн (персональные данные) тысяч клиентов различных компаний, преследуя при этом разные цели, в том числе нанесение репутационного урона российским компаниям и создание массового недовольства в обществе", - обращает внимание руководитель Центра противодействия киберугрозам Innostage CyberART Максим Акимов.

"По данным центра мониторинга внешних цифровых угроз Solar AURA ГК "Солар", с января по октябрь 2023 г. в публичный доступ попали данные более 330 российских организаций. Первое место по количеству опубликованных данных в этом году заняла ИT-отрасль (4,09 млрд строк), крупная утечка произошла в сентябре этого года. На втором месте оказались услуги (209,23 млн), на третьем - ретейл (187,66 млн). Финансовый сектор (157,76 млн) и игровая индустрия (48,05 млн) расположились на четвертом и пятом местах соответственно", - отметила пресс-служба ГК "Солар".

Где больше течет

По количеству утечек лидирует сегмент малого и среднего бизнеса (87 инцидентов), однако более двух третей объема пришлось на крупные компании. "Инвестиции в защиту данных в компаниях СМБ редко превышают базовые, а самый частый способ их взлома - социальная инженерия. Если же мерить в количестве утекших данных, то тут в лидерах не компании СМБ (среднего и малого бизнеса), а крупные корпорации и госструктуры. Основная причина инцидентов в них - неправильное проектирование и эксплуатация сложной гибридной инфраструктуры", - комментирует заместитель генерального директора ГК "Гарда" Рустэм Хайретдинов.

"Утечки чаще случаются у средних и небольших компаний. На сегмент крупного бизнеса приходится до 19% утечек, в то время как на средний и малый бизнес - 43% и 38% соответственно. Лидеры рынка стараются выстраивать киберустойчивую ИТ-инфраструктуру и минимизируют такие бизнес-риски", - привел статистику Максим Акимов.

"Можно предположить, что из компаний СМБ действительно утекало чаще. Во-первых, таких организаций намного больше, чем крупных. Во-вторых, не все имеют специальные службы информационной безопасности, а компетенций или ресурсов айтишников, на которых могут возлагать такие задачи, часто не хватает. В-третьих, для небольших компаний может быть дорого внедрение специализированных технических средств контроля информационных потоков, - полагает руководитель аналитического центра Zecurion Владимир Ульянов. - Однако по объемам информации и ее критичности утечки из крупных компаний могут иметь несоизмеримо больший эффект. Даже на уровне инцидентов, которые стали публичными, утечки многомиллионных баз впечатляют".

"В целом это логично. В таких компаниях хранятся огромные массивы клиентских данных, а внимание информационной безопасности в них уделяется меньше, так как требование регуляторов к хранению и обработке данных для СМБ ниже, - обращает внимание руководитель отдела аналитики ООО "СерчИнформ" Алексей Парфентьев. - Кроме того, в небольших компаниях зачастую просто нет средств, защитных решений и профильных специалистов, чтобы качественно закрывать задачи ИБ. Отсюда высокие риски утечек данных".

Новые тенденции 2023 г.

71% скомпрометированных данных датируются текущим годом. При этом более половины (55%) изученных баз становились публичными в течение месяца после предполагаемой даты выгрузки из пострадавшей компании. Ровно две трети баз злоумышленники размещали в Telegram. По мнению аналитика сервиса Kaspersky Digital Footprint Intelligence Игоря Фица, популярность этого ресурса начала стремительно расти с марта 2023 г., когда был закрыт популярный форум Breached, куда обычно хакеры выкладывали украденные ими данные.

Чаще всего размещенные на специализированных площадках сообщения указывали на утечки из организаций в сфере ретейла, финансов, карьеры и образования, а также из интернет-сервисов и ИТ-компаний. Наиболее значительный рост публичных инцидентов, связанных с утечками информации в 2023 г., произошел в сфере финансов, ИТ и медицины. По мнению Игоря Фица, существенный рост утечек чувствительных медицинских данных может стать источником большой опасности - в частности, появления новых мошеннических схем, в том числе таргетированных.

Алексей Парфентьев назвал основными тенденциями 2023 г. в плане утечек два фактора - ускорение цифровизации и издержки импортозамещения: "Увеличение количества утечек прежде всего связано с ускоренными темпами цифровизации. И из года в год эта тенденция не меняется. Информация во всем мире становится цифровой, появляется все больше новых хранилищ данных, которые порождают дополнительные угрозы утечек ПДн. К примеру, в госорганизациях в 80,3% случаев основными каналами утечек становились интернет-ресурсы - облачные хранилища, файлообменные сервисы, социальные сети. В уходящем году добавилась еще одна тенденция - импортозамещение. Если для госструктур установлен четкий дедлайн по миграции на отечественное ПО, то для частного бизнеса, в том числе крупного, никаких требований по внедрению отечественных продуктов в последние годы не было. И этот процесс "переезда" сейчас для множества компаний становится весьма болезненным. И если компания не может обновить операционную систему, которая патчами закрывает проблемы безопасности, соответственно с каждым днем множатся и угрозы утечек данных".

Руководитель отдела реагирования и цифровой криминалистики Angara Security Никита Леокумович обращает внимание на значительный рост атак на цепочки поставок в 2023 г.: "Основные способы взлома и причины последующих утечек информации - это фишинговые атаки на сотрудников и клиентов, использование уязвимостей цифровых сервисов и клиентских платформ и взломы через дочерние компании, подрядчиков и субподрядчиков, которые занимаются ИT-разработкой. Например, в первой половине 2023 г. доля таких взломов через третьи компании (по цепочке поставок) выросла на 30% по сравнению с 2022 г. При этом часто подрядчики получают удаленный доступ к критической инфраструктуре, информационная безопасность этих компаний не регулируется, они не подпадают под требования ГосСОПКА и зачастую ФСТЭК".

"Значительная часть утечек в 2023 г. происходила в результате эксплуатации уязвимостей в системе разработки и управления сайтами. Злоумышленники могут использовать скомпрометированные учетные записи для получения доступа к корпоративным ресурсам компаний-жертв. Мы рекомендуем бизнесу заранее разработать план по реагированию на случай кибератаки или публикации украденных данных, чтобы снизить ущерб в случае инцидента, а также регулярно проводить для сотрудников тренинги по повышению цифровой грамотности", - рекомендует Игорь Фиц.

Никита Леокумович также называет атаки на веб-сайты с использованием уязвимостей систем управления контентом весьма распространенным явлением: "Каждый сайт управляется CMS, обычно это Wordpress и Bitrix. Эти системы очень похожи, и зачастую у них общие уязвимости. Разработчики их регулярно устраняют, но мы часто наблюдаем, что компании не обновляют приложения ИT-инфраструктуры. Мы часто сталкиваемся с уязвимостями, датированными 2018 г. или 2019 г. Далее отметим несколько классов критичных уязвимостей, содержащих среды программирования сайтов, которые могут привести к утечке данных, переходу прав администратора от компании к злоумышленникам и пр. Например, в PHP есть такие уязвимости: кросс-сайт скриптинг (XSS), SQL-инъекции, уязвимости, связанные с загрузкой файлов, авторизацией и др.".

"В большинстве случаев хакеры получили доступ к массивам данных в ходе успешных кибератак на инфраструктуры компаний, - считает пресс-служба ГК "Солар". - В последнее время цели злоумышленников изменились: если до 2022 г. подавляющее большинство баз выставлялось на продажу с целью монетизации, то сегодня минимум две трети данных хакеры выкладывают бесплатно на всеобщее обозрение, чтобы нанести максимальный репутационный и финансовый ущерб российским организациям".

Изнутри или снаружи?

"Подавляющее число утечек спровоцировано действиями внешних злоумышленников: таргетированными атаками и проникновениями через уязвимости в системе с прицелом именно на кражи баз данных. Первым шагом нередко бывает захват корпоративных аккаунтов методами социальной инженерии. С повышением цифровой гигиены, которую необходимо прививать сотрудникам, таких случаев должно стать в разы меньше", - убежден Максим Акимов.

Однако, как показало исследование, проведенное ГК InfoWatch совместно с ассоциацией BISA в сентябре-октябре 2023 г., лишь 59% компаний, где произошли утечки, расследовали их причины. Еще меньше - 51% проводит мероприятия, направленные на устранение причин данных инцидентов. При этом в 87% утечек данных виновниками были или действующие, или бывшие сотрудники компаний, в ряде случаев вступившие в сговор с внешними хакерами.

По результатам исследования интегратора "Инфосистемы Джет", также выросли угрозы со стороны инсайдеров: по итогам девяти месяцев 2023 г. рост составил 50% в годовом выражении и 25% с начала 2023 г. Главным залогом успеха посягательств на данные со стороны внутренних злоумышленников является то, что в 70% обследованных компаний есть серьезные недостатки в управлении доступом к корпоративным ресурсам.

По мнению Алексея Парфентьева, на долю инсайдеров приходится до 80% инцидентов, связанных с утечками данных: "По данным наших исследований, в среднем восемь из 10 случаев - это утечки по вине внутреннего нарушителя, инсайдера. Чаще всего в инцидентах информационной безопасности замешаны линейные сотрудники - в 2022 г. на них приходилось 73% всех нарушений. Основная мотивация инсайдеров связана с получением личной выгоды. Хотя в 2022 г. треть опрошенных нами компаний столкнулись с ростом внешних атак, как правило, со стороны хактивистов".

"Чисто внешних атак практически не бывает - всегда есть внутренний "соучастник": либо программист написал уязвимые функции, либо администратор халатно отнесся к настройке и обновлениям ПО, либо сотрудник попался на фишинг. Если же называть внешними инцидентами любые взломы, где прямо не участвовали сотрудники компании, то таких инцидентов приблизительно половина", - считает Рустэм Хайретдинов.

Как повлияет ужесточение ответственности за утечки

По мнению Владимира Ульянова, рост штрафов на ситуации с утечками скажется слабо, прежде всего из-за сложности выявления виновников: "Увеличение штрафов окажет некоторое влияние, но не стоит его переоценивать. В конце концов и сейчас есть основания для привлечения к ответственности виновных в утечке информации. И не надо думать, что после изменения законодательства процесс станет простым. По-прежнему нужно будет собирать доказательную базу. Поэтому в данном случае скорее стоит рассчитывать на психологический эффект. Часть инсайдеров откажутся от намерения украсть данные или станут действовать более осторожно".

По мнению Максима Акимова, в малом и среднем бизнесе, с одной стороны, и крупном, с другой, влияние роста ответственности будет разным: "Угроза применения карательных мер, таких как штрафы и лишение свободы, призвана стимулировать к более ответственному обращению с информацией и ее защите. В крупных компаниях риск высоких штрафов может побудить руководство пересмотреть в большую сторону бюджет, выделяемый на ИБ. Таким образом, киберзащита критической инфраструктуры и клиентских сервисов усилится. А вот для среднего и малого бизнеса - скорее просто добавит проблем и рисков".

"Рост штрафов на ситуацию с утечками данных повлияет довольно быстро. Потому что сейчас они ни к чему не мотивируют: заплатить штраф в несколько десятков тысяч рублей в разы дешевле, чем выстроить надежную систему информационной безопасности. Внедрение средств защиты, их сопровождение и оплата труда специалиста требуют немалых бюджетов. Значительный рост штрафов за утечки данных мотивирует компании посчитать риски и заложить средства на защиту информации, - уверен Алексей Парфентьев. - Однако с введением уголовной ответственности нужно быть предельно аккуратным. Потому что будет абсолютно неправильно, если из-за разночтений в законодательстве пострадает хотя бы один невинный человек, который случайно отправил данные не туда, ошибся с настройками доступа к ним и т.д. Уголовная ответственность должна распространяться лишь на ситуации, когда группа лиц в сговоре и на регулярной основе совершала преступления".

Директор по сервисам ООО "Рукс солюшенс" (RooX) Егор Леднев уверен, что рост штрафов вынудит компании навести порядок в управлении данными заняться страхованием киберрисков: "Угроза введения оборотных штрафов за утечку персональных данных клиентов станет одним из факторов, стимулирующих бизнес мигрировать на более безопасные и надежные системы защиты информации и развивать их. Так, многие компании до законопроекта продолжали нарушать 152-ФЗ, а планируемые нововведения подстегнут их быстрее собирать команды и переходить на отечественное ПО. Кроме того, инициатива введения оборотных штрафов образовала новую статью в расходах бизнеса на ИБ - киберстрахование, в том числе от утечек персональных данных. Компании начинают интересоваться этой услугой и постепенно пользоваться ей. Согласно одному из опросов, в 2022 г. 6% российских компаний застраховали киберриски и еще 21% планировали воспользоваться этой услугой".

Однако по мнению Рустэма Хайретдинова и Игоря Фица, увеличение ответственности не скажется на частоте утечек.

Источник: Comnews

Клиенты iTrend — в числе лучших ИТ-работодателей России

13 февраля 2024

Клиенты коммуникационного агентства iTrend вошли в рейтинг лучших ИТ-работодателей страны по версии HeadHunter. В сегменте «IT и интернет» были отмечены технологическая корпорация VK, консалтинговая компания Axenix (ранее Accenture), а также компании IT_ONE, Innostage и «Эдит Про» (группа «Борлас»).

 

iTrend начал работу с одним из лидеров в области высокотехнологичных разработок для Интернет-рекламы — компанией Hybrid

16 января 2024

Компанией Hybrid занимает 2 место в рейтинге Программатических закупок в интернете от AdIndex.

 

iTrend займется личным брендингом ИТ-предпринимателей

15 января 2024

Мы запустили новое направление в агентстве — личный брендинг топ-менеджеров и предпринимателей в ИТ.

 

Российские ИТ в эпоху санкционных войн - точки роста и проблемы: вышла наша обзорная статья

7 января 2024

Материал подготовлен специально для авторитетного журнала "Россия в глобальной политике".

 
Все новости iTrend