Спешите видеть, отечественные компании заботятся о наших данных

Закон «О персональных данных» с прошлого года начали активно расширять. Так, с 1 сентября оператор, допустивший утечку, обязан в течении суток уведомить об этом РКН, а в течении трёх — предоставить результаты внутреннего расследования и полный список виновных лиц. Кроме того, с 1 марта этого года были усилены и меры по контролю за обработкой ПДн, в частности, о трансграничной передаче и уведомлении РКН о ней.

Как оказалось, 75% компаний не выполнили и сентябрьских требований, а к мартовским полностью готовы и вовсе лишь 3%. Компании-респоденты в основном строили из себя дурачков:
• 56% говорят, что возникают сложности при уведомлении об инцидентах
• 53% заявили, что пока не разобрались в нюансах оценки вреда (касается внутренних расследований)
• 43% и вовсе сочли сложным уничтожение персональных данных.

Самое смешное, что многие компании не понимают, что относить к понятию «трансграничной» передачи данных.

Мы понимаем, что нормативные акты, выкатываемые РКН бывают размытыми, но с момента вступления в силу сентябрьских поправок прошло уже более полугода, но большинство так и не выполнило их положения. Мотивация не подпитана оборотными штрафами?

НеКасперский

Самые важные киберинциденты за прошедшую неделю в одном дайджесте

За всеми утечками и атаками не уследить, расскажем вам о наиболее интересных, не попавших в нашу ленту:

• Вчера отечественный букинг-сервис TVIL.ru сообщил о массированной DDoS-атаке из различных стран, сайт упал еще 4 марта. С атакой справлялись совместно с российским Центром Обработки данных. Данные пользователей не пострадали, но от финансовых потерь из-за простоя никуда не деться.

• В результате кибератаки утекли порядка 12 тыс. электронных анкет с резюме бывших и действующих сотрудников Британского ритейла WHSmith. По предварительным данным расследования финансовая информация не пострадала, а по факту — плюс 12 тыс. потенциальных жертв фишинговых рассылок и последующей утечки финансовой информации пользователей.

• Около 70 тыс. строк данных посетителей утекло у американской сети ресторанов Chick-fil-A. Киберпреступники в течении двух месяцев находились в сети компании и сливали данные пользователей, в т.ч финансовую информацию. В ходе расследования инцидента предполагают, что утекли полные сведения о банковских картах клиентов, включая пин-коды и коды безопасности, но сама компания это отрицает.

• Украинские хакеры из Ukrainian Hacker Group слили на теневые площадки дамп веб-ресурса издательства «Открытые системы», а это порядка 210 тыс. пользователей. Данные актуальны на февраль и включают в себя: ФИО, адрес эл.почты, номер телефона, место работы и должность, а также хеш. пароль.

НеКасперский

Не Роскомнадзор, а Министерство дедлайнов

РКН не изменяет себе и своим убеждениям. На этот раз они выкатили новый дедлайн для операторов связи, дав им 224 дня на подключение к системе блокировки звонков с подменных номеров «Антифрод».

Система представляет собой информационный хаб, верифицирующий и блокирующий номера мошенников. Тестирование началось еще в 2022 году, а первыми технологию внедрили МТС, Билайн и Мегафон.

Весьма любопытно, что уже появились сведения о первых компаниях, отключающих от своих услуг мелких операторов. Оправдываются размерами штрафов до 1млн. руб.

Важно и то, что срок на подключение плавающий — 224 дня с момента получения уведомления от РКН.

В любом случае, подобная модернизация за две трети года не выглядит пугающей для главных игроков рынка телеком. услуг, а вот что будут делать с бюджетами и сроками маленькие организации – вопрос, на который пока трудно дать ответ.

НеКасперский

⚡️ В сети появился дамп ещё одного сервиса Сбера

Хакеры из NLB выложили базу «СберПраво», которая актуальна на начало февраля и, кроме прочего, содержит:

• ФИО
• Телефон (115 тыс. уникальных)
• Email (75 тыс. уникальных)
• Дату рождения

Сам по себе дамп не представляет особой ценности, данные этих пользователей весьма вероятно уже были где-то слиты. Интересно то, что слитая ранее база всё-таки относится к «СберЛогистике». Как бы Сбер не пытался оправдаться, проукраинская группировка сдерживает слово.

Если верить хакерам, то у них в запасе ещё не одна база экосистемы банка, поэтому с нетерпением ждём пресс-релизов с оправданиями о том, как сервис был продан ещё 2 недели назад.

НеКасперский

В открытом доступе оказалась биометрия граждан РФ, Казахстана и Белоруссии

Один из бывших сотрудников НИИ «Восход» слил продуктовую базу компании, накопившуюся за всю историю её существования (с 2006 года).

Институт с 2009 года участвовал в разработке системы биометрических паспортов, которую сделали для упрощённого пересечения границ. Паспорт предполагает сбор отпечатков пальцев, фотографии лиц и прочее. Восход может иметь доступ к этим данным. Кстати, организация также имеет отношение и к разработке чипов для загранников.

В открытом доступе базу никто не видел, а Минцифры уже опровергли утечку. Заявляют, что данные хранятся в зашифрованном виде, а ключи хранит Госзнак. Тем не менее, совместно с ФСБ они уже начали проверку по этому вопросу.

НеКасперский

Тёплые слова направляем нашим читательницам

В нашем деле нет понятия «сильный пол», мы с вами на равных оберегаем пользователей от атак и угроз. Поэтому пожелаем вам в этот замечательный праздник счастья, успехов, ярких эмоций и профессионального роста.

Спасибо, что согреваете наши сердца, с праздником!

НеКасперский

Никогда такого не было, и вот опять!

РКН хочет унифицировать текущие правила сбора наших персональных данных в сети, проработав актуальный порядок заключения пользовательских соглашений с интернет сервисами.

Именно, нас с вами ждут очередные, а за этот неполный месяц уже вторые по счету, поправки в 152-ФЗ от РКН. Только вот на этот раз инициатива внушает доверие к регулятору.

Предполагается, что унификация уменьшит случаи необоснованного сбора и обработки ПДн и значительно минимизирует риски их утечки. Не передали в обработку – ничего не утекло через 0,0001 сек. Довольно примитивные компенсирующие меры, которые, как не странно, должны сработать.

Помимо этого, предлагается запретить сценарии автоматического согласия на обработку данных. Как это будет реализовано — вопрос.

Факт в том, что сейчас никакого порядка нет и эти соглашения составляются компаниями, как правило, без оглядки на безопасность ПДн, каждый исходит из своих возможностей и грамотности.

НеКасперский

⚡️ Killnet скомпроментировали оборонную промышленность Германии

Вчера была объявлена коллективная атака на один из крупнейших производителей военной техники в Германии и Европе. Концерн Rheinmtall является главным подрядчиком по снарядам и военной технике, поставляемой Украине.

Сейчас же пророссийская группировка сообщила, что украденные данные выставлены на продажу.

«Я продам данные всех сотрудников Rheinmmetall за символические 5 BTC 😘», — написал лидер группировки.

По всей видимости, объединение с Phoenix и Anonymous Sudan приносит свои плоды.

НеКасперский

Предупреждай — не предупреждай, всё равно произойдёт

Атаковать российские системы с целью кражи данных становится всё более бессмысленно, ведь с каждым новым разом уникальных данных всё меньше и меньше. Поэтому следующей глобальной целью хакеров может стать дестабилизация российской промышленности как отдельными атаками на предприятия, так и на отрасль в целом.

Эксперты отмечают, что на теневых площадках начали появляться новые инструменты для нарушения работы предприятий. И если в прошлом данные воровались, сейчас они могут полностью уничтожаться. При этом, наиболее эффективный способ совершить атаку — вредонос, который сейчас используется в 70% атак.

Кстати, не так давно наша химическая промышленность уже была атаковала. Полагаем, что если не ужесточать кибергигиену среди сотрудников, они могут начать получать письма, схожие по содержанию с палестинскими в адрес израильских рабочих.

НеКасперский

Вот и СберСпасибо слили

На этот раз хакеры из NLB выложили дамп сервиса. В открытом доступе два .txt файла – базы данных пользователей и транзакций размером в 48 и 6.3 млн. строк соответственно. Актуальность – июнь и январь прошлого года. Помимо прочего в базах содержатся:

Файл users.txt

• email (3 млн. уникальных)
• Номер телефона (48 млн. уникальных)
• Дата рождения
• Хеш номера карты

Файл orders.txt

• email (1 млн. уникальных)
• Номер телефона (1,5 млн. уникальных)

Если не учитывать сливы СберЛогистики и СберПраво, в общей сложности, почти у трети населения страны утекли номера телефонов.
Как мы видим проукраинские хакеры пока держат слова, а что теперь будет делать Сбер? – вопрос риторический. Видимо не за горами формирование департамента оправданий.

UPD: DLBI сообщили, что номера карт захешированы алгоритмом SHA-1, а значит расшифровку значений возможно реализовать методом простого перебора.

НеКасперский

Пять стадий принятия

Вчера мы опубликовали новость об очередном сливе данных пользователей Сбера, и если вам вдруг показалось, что за этим не последовало ничего интересного, то вот вам ряд фактов, которые сложат в голове картинку реальной ситуации.

• Представители Сбера заявили, что слитая база — компиляция ранее слитых данных. Хотя, сливов СберСпасибо мы ранее и не наблюдали.

• Посты о сливе в некоторых телеграм-каналах быстро изменили повестку с порицательной на хвалебную. Полагаем, не без участия PR-отдела банка.

• Минцифры и глазом не моргнули, а ведь утекли данные трети населения страны. Сутки спустя никаких пресс-релизов так и нет. Вспомним сентябрьскую поправку в 152 ФЗ про сутки на реагирование…

• На данный момент сам сервис «СберСпасибо» не работает, тот же МегаМаркет выдает ошибку при попытке подключить бонусную программу от Сбера.

• Полагаем, что про оборотные штрафы напоминать не стоит, ведь такими темпами, уже к июлю, в сети будут гулять данные всех 140 млн. россиян.

НеКасперский

Рассказываем, какие атаки произошли за минувшую неделю

• Проукраинские хакеры слили базу данных «Российской газеты», а именно двух её подразделов: pravo.rg.ru и works.rg.ru. Кроме прочего, слитые данные содержат: имена, email, хеш паролей (MD5 без соли), адреса, телефоны. Всего пострадало около 210 тыс. пользователей.

• Атаке подвергаясь Высшая Школа Экономики. Хакеры опубликовали два архива, содержащих сканы паспортов сотрудников, студентов и выпускников ВШЭ. Кроме того, в сеть попали дела студентов, логины и пароли для СЭД и к другим внутренним сервисам.

• Хакер-одиночка выкачал с внутреннего сервера Acer более 160 Гб конфиденциальной информации. По заявлениям хакера, файлы содержат подробную информацию о внутренней структуре компании, презентации, руководства и т.д. Полученные данные выставлены на продажу.

• С американского сайта по продаже оружия GunAuction.com хакеры выкрали данные о более чем 500 тыс. человек. В результате утечки, были скомпроментированы имена, адреса, email, пароли в открытом виде и номера телефонов. Выборочная проверка подверни-ка принадлежность данных к сайту-продавьцу оружия, а инцидентом уже заинтересовалось ФБР.

• Российская Acronis признала кражу 12,2 Гб данных. Внутреннее расследование показало, что хакеры смогли скомпроментировать только одного клиента и выгрузить хранимые им данные, сертификаты, логи, настройки и прочее. Другие клиенты, как и сервисы компании не пострадали.

НеКасперский

Мегафон — такой «мегафон»

Оператор в обновленном приложении выкатил новую форму соглашения с пользователями. Теперь появился пункт, позволяющий компании передавать данные пользователей банкам и микрофинансовым организациям.

Забавно, что под этим пунктом можно отказаться от передачи, но кнопка согласится с правилами не пропадает, вот и гадайте теперь — согласились или нет.

Тут и вспоминается новая инициатива РКН о переработки правил формирования соглашений с пользователями, особенно в части обработки ПДн.

НеКасперский

Конгресс США протек

Конфиденциальная и личная информация, хранимая на серверах DC Health Link, была выставлена на продажу на хакерском форуме пользователем IntelBroker. Организация управляет медицинскими страховками представителей нижней Палаты Конгресса США, а также их семей.

Дамп включает данные порядка 170 тыс. человек. Помимо прочего, утекли:

• ФИО
• даты рождения
• Адреса
• e-mail
• Номера телефонов
• Номера мед. страховки

Хакер-одиночка заявил, что кто-то уже купил дамп, а ФБР подтвердили подлинность украденных данных и ведут расследование.

Мы уже писали ранее, что ПДн утекают не только в РФ, и проблема действительно носит глобальный масштаб, так может РКН уже пора «проконсультировать» коллег из США, как правильно бороться с утечками.

НеКасперский

Как там дела у Сбера

На минувшей неделе знакомили вас с очередной утечкой у Сбера, а сегодня DLBI подробнее проанализировали дамп и пришли к выводу, что слитые данные – полностью подлинные. Более того, они содержат в себе гораздо больше информации, чем было известно ранее.

Из файлов удалось вытащить количество запусков мобильного приложения и ошибки выполнения запросов к spasibosberbank.events. А перебор восстановленных номеров карт из хешей SHA-1 подтвердил, что они действительно выданы Сбербанком, при чем большинство еще активные.

Сбер, как и правовые регуляторы, до сих пор никак не прокомментировал ситуацию. Теперь им остается только подтвердить подлинность источника данных и тогда утечка СберСпасибо займет почетное второе место после нашумевшего инцидента 2019 года, тогда у Сбербанка утек архив на 5,7 Гб с персональными данными клиентов.

К слову, в сети уже ходят слухи, что утечка произошла в ходе неудачного переезда Мегамаркета (ранее – СберМегамаркет) со своей бонусной программы на программу СберСпасибо. Кстати, раздел с подключением таковой так и не заработал. А сам маркетплейс уже запустил 40% кешбэк «спасибами», которые должны прийти после 20 марта после переезда. Верим?

В любом случае, реакция компании, а точнее — её отсутствие, говорит о многом. Мало того, что кто-то оказался не готов не просто пресекать такие утечки, но и отвечать за них и ликвидировать их последствия. Что уж тут говорить, если не нашлось даже желания посвятить общественность в подробности расследования инцидента, если таковое вообще началось. Сбер уже проигнорировал требование поправки РКН предоставить информацию в течению суток, а теперь, 72 часа спустя — никакой информации о проведении внутреннего расследования с указанием причины и виновных лиц.

НеКасперский

В России появилась единственная корпоративная почта с действующим сертификатом ФСТЭК России

МойОфис, российская компания-разработчик офисного программного обеспечения, объявила о выпуске почтовой системы «Mailion. Сертифицированный» для работы с конфиденциальной информацией в крупных коммерческих компаниях, госорганизациях и субъектах КИИ.

В настоящий момент «Mailion. Сертифицированный» единственное сертифицированное почтовое решение на российском рынке с действующим сертификатом ФСТЭК России (№ 4648). Подтверждает соответствие требованиям безопасности по 4 уровню доверия и реализацию более 60 мер защиты информации. Функционирует в защищенной среде операционной системы Astra Linux SE 1.7, которая также сертифицирована ФСТЭК России.

Согласно техническим условиям, продуктом обеспечиваются меры по идентификации и аутентификации (ИАФ), управлению доступом (УПД), регистрации событий безопасности (РСБ), ограничению программной среды (ОПС), контролю защищенности (АНЗ) и целостности информации (ОЦЛ), обеспечению доступности информации(ОДТ) и защите информационной системы (ЗИС).

Применение "Mailion. Сертифицированный" позволяет решить задачу безопасной работы с электронной почтой внутри защищенных информационных систем и облегчает их аттестацию за счет реализованных мер защиты информации.

Подробнее о новом почтовом решении можно узнать по ссылке.

#promo

Не лезь туда – оно тебя сожрет

Мы уже рассказывали вам о чат-боте от Microsoft и его угрозах расправы над пользователями. Теперь Snapchat вот показывает, к чему проводит бесконтрольная интеграция ИИ в нашу жизнь. Чат-бот, интегрированный в приложение, посоветовал 13-летней девочке как лучше всего потерять девственность в поездке с 31-летним мужчиной в свой день рождения и солгать об этом родителям. Такой результат получил один из исследователей, представившись боту подростком.

Эксперты считают, что причина такой нейрогонки – безрассудное желание обойти конкурентов, а для большинства компаний подобные инциденты – лишь издержеки. Мало кто прислушивается к призывам о необходимости контроля развития ИИ.

Такими темпами можно ждать неадекватного поведения и от РКН с их «Окулусом», а с учетом общей нарастающей тенденции и гос.поддержки подобных технологий в РФ, скоро в отечественной сети будут гулять мемы про чат-боты от ВК, Госуслуг и Яндекса.

НеКасперский

Есть идея, как освоить миллиард рублей

С 2007 года в фонде «Росинфокоминвест» зависли ₽1,3 млрд., которые сейчас Минцифры предложили направить на развитие национального репозитория. Деньги на отечественный GitHub отдадут в АНО «Открытый код», учредителями которой являются VK, Ростелеком, Иннополис, Т1 и другие.

Причина, почему российские компании могут не иметь возможности использовать западные решения понятна — опасность хранения кода вне РФ. Вопрос в том, почему государство решает не вложится в существующие решения, а создать что-то своё. Нам известен, например, GitFlic, который как раз и позиционируется как отечественная разработка для российских компаний, чтобы те могли хранить код в контуре страны. Однако, создание сервиса с нуля несёт большее количество рисков и финансовых затрат, что, скорее всего, как не странно, и привлекло Минцифры.

НеКасперский