самые крупные утечки мировых брендов, скомпрометированные данные каждого десятого швейцарца, кража данных коллег проверенным способом и слив конфиденциальной информации о зарплате сотрудников.
Стажер украл исходный код ключевого компонента устройств Apple
В начале февраля 2018 года неизвестный опубликовал на ресурсе GitHub исходный код iBoot, который отвечает за доверенную загрузку iOS. Утечку уже назвали самой крупной в истории компании. Обнародование данных способно упростить хакерам взлом операционной системы устройств Apple. Итоги расследования показали, что к краже причастен стажер, который в 2016 году работал в офисе компании в Купертино: он украл часть кода по настоянию друзей, которые занимаются джейлбрейком.
Ресурс Motherboard сообщает, что доступ к украденной информации был у пятерых друзей. Они изначально не собиралась распространять код или использовать его против Apple. Однако ситуация вышла из-под контроля: данные опубликовал один из знакомых друзей, которому показали код. Неназванный сотрудник Apple рассказал журналистам, что компания якобы знала об утечке еще до публикации на GitHub.
По информации анонимных источников, украденный код относится к релизу iOS 9.3.x 2015 года, однако может использоваться и в 11-й версии ОС. Исходный код iBoot – тщательно охраняемый и наиболее ценный. Выплаты за сбои и ошибки, обнаруженные в процессе начальной загрузки, достигают 200 тысяч долларов, это самое крупное вознаграждение по программе поиска уязвимостей Apple.
Компания Apple потребовала удалить опубликованные на GitHub материалы, ссылаясь на нарушение «Закона об авторском праве в цифровую эпоху». Публикацию удалили с ресурса, однако код успел распространиться по Сети.
Утечка данных из облачного хранилища Amazon Web Services S3: обнародование данных медиаперсон
Маркетинговая компания Octoly с головным офисом в Париже допустила утечку данных 12 000 блогеров. Из-за ошибочной конфигурации облачного хранилища, принадлежащего организации, пострадали медиаперсоны Instagram, Twitter и YouTube. Они занимались продвижением косметических брендов и игр таких компаний, как Dior, Estée Lauder, Lancôme и Blizzard Entertainment.
По данным компании UpGuard, облачное хранилище Amazon Web Services S3 в субдомене «octoly», было обнаружено 4 января 2018 года. Одним из файлов была резервная копия базы данных «octoly_production.sql», содержащая всю информацию о маркетинговых операциях в Европе и Северной Америке. Резервная копия SQL была удалена из репозитория к 12 января 2018 года, а регулярно обновляемые электронные таблицы с персональными данными оставались в открытом доступе вплоть до 1 февраля 2018 года.
Произошедший инцидент скомпрометировал три вида данных:
· персональные данные блогеров: имена, адреса, номера телефонов, адреса электронной почты и даты рождения блогеров, привязанные к логинам YouTube и Instagram или используемые для учетных записей PayPal.
· аналитическую информацию, раскрытие которой может нанести ущерб бизнес-операциям Octoly.
· данные компаний-клиентов: Dior, Estée Lauder, Lancôme, L’Oreal и Pierre Fabre, Beauty Solutions, Ltd. и Birchbox.
Эксперты UpGuard считают, что по шкале кибер-рисков утечка данных Octoly набрала 760 очков из максимальных 950.
Утечка в Swisscom: персональные данные 10% населения Швейцарии
Оператор сотовой связи Swisscom признал, что в конце прошлого года скомпрометированными оказались персональные данные каждого десятого жителя Швейцарии.
7 февраля 2018 года, компания заявила, что имена, адреса, номера телефонов и даты рождения около 800 000 клиентов были получены третьим лицом через неназванного партнера Swisscom, который занимался продвижением услуг оператора среди уже существующих клиентов.
Инцидент был обнаружен в ходе регулярной проверки. Swisscom подчеркивает, что их система не была взломана. Также компания сообщила о ряде изменений для улучшения информационной безопасности: ужесточении контроля доступа, отмене осуществления запросов информации о клиентах в большом объёме при одном обращении и введении двухфакторной аутентификации для доступа партнеров к своим данным.
«Действия инсайдера, умышленные или спонтанные, приводят не только к финансовому ущербу, но и к репутационным потерям компании, поэтому необходимо страховать бизнес от подобных угроз. По данным Gartner, сегодня свой бизнес при помощи DLP-систем защищают порядка 50% компаний мира, а к 2020 году их число вырастет до 85%. Обеспечить комплексную защиту бизнеса – первоочередная задача современной DLP-системы», – считает Рикардо Мартинес глава представительства в Латинской Америке.
Кража информации о коллегах проверенным способом
15 февраля 2018 года Департамент охраны рыбных ресурсов и дикой природы Калифорнии (California Department of Fish and Wildlife) разослал своим сотрудникам сообщение о краже персональных данных организации.
Об инциденте стало известно 22 декабря 2017 года. Бывший сотрудник департамента, скачал персональные данные своих коллег и сторонних подрядчиков, работавших на департамент по контракту, на личное переносное устройство хранения файлов и вынес его за периметр сети организации.
Украденными оказались данные сотрудников департамента, работавших в 2007 году, 2300 человек, а также персональная информация сторонних подрядчиков, заключавших контракты с департаментом в период с 2007 по 2010 годы.
Расследованием инцидента занимается Калифорнийский дорожный патруль (CHP).
Мессенджер как инструмент слива
Утечка информации из базы Service and Payroll Repository of Kerala (SPARK), содержащей персональные данные государственных служащих и пенсионеров Индии, произошла в результате нарушения доступа в подсистеме Supplyco Employee Information and Payroll System (SEIPS). Данная подсистема содержит записи о сотрудниках, вознаграждениях, кредитных отчетах и других персональных данных.
Информация о зарплате одного из сотрудников распространялась в WhatsApp, в сообщении сравнивались зарплаты сотрудников Департамента продовольствия Индии и компании Civil Supplies Corporation. О проблеме стало известно, после того, как помощник менеджера, связанный с офисом снабжения в городе Коллам, подал жалобу руководству, в которой утверждалось, что сведения о его зарплате были распространены в группе в WhatsApp.
Согласно нашему исследованию, 47% утечек информации происходит по вине бывших сотрудников компании и статистика не утешительна. Пришло время целенаправленно бороться с действиями инсайдеров и утечками конфиденциальной информации: с одной стороны, использовать решения для предотвращения внутренних утечек данных (DLP-системы), а с другой, проводить обучающие ИБ-мероприятия для сотрудников.