Дайджест событий ИТ-безопасности
Хакеры заставили Терминатора извиняться
В статье рассматриваются наиболее важные события в области ИТ-безопасности, произошедшие за последний месяц в российских и зарубежных организациях. В минувшем месяце имел место целый ряд инцидентов: две утечки из российских банков, взлом ПК и кража данных у Арнольда Шварценеггера, саботаж бывшего сисадмина, утечка военных секретов США, предательство контрактного служащего в страховой фирме, а также две утечки в результате вопиющей халатности служащих.
Российские банки дали течь
Судя по событиям последнего месяца, возникает такое ощущение, что в России все продается и покупается. Исключением не стала и банковская тайна. Так, в Интернете появилась база кредитных историй 700 тыс. россиян. Купить ее можно за 90 тыс. руб.; однако целиком базу пока никто не видел (см. подробнее: http://www.infowatch.ru/threats?chapter=147151398&id=194910109). Журналистам и правоохранительным органам удалось раздобыть лишь фрагменты записей, содержащие Ф.И.О. заемщика, его адрес, название торговой сети, где была совершена покупка в кредит, сумму покупки, размер первоначального взноса, размер кредита, срок кредита, размер ежемесячного платежа, объем просрочки и сумму санкций. Откуда могла появиться вся эта информация? Версий много. Из банков, бюро кредитных историй, торговых сетей, агентств по сбору данных и даже из Центрального каталога кредитных историй при Банке России. Однако наиболее вероятны только две из них: во-первых, из банков, которые работают прямо в сетях магазинов, а во-вторых, никакой утечки не было, а продается лишь непонятная «кукла». Экспертам InfoWatch очень хочется верить, что второй вариант ближе к истине, так как в противном случае доверие граждан к российским банкам будет сильно подорвано. Да и не могла такая утечка состояться без помощи самых высокопоставленных банковских инсайдеров.
Возможная утечка кредитных историй просто шокировала российскую общественность. Но это еще не все. Спустя всего две недели нас ожидало еще одно потрясение — на рынке появилась база данных 3 тыс. неблагонадежных заемщиков банка «Первое ОВК» (см. подробнее: http://www.infowatch.ru/threats?chapter=147151398&id=197726973). Причем продавцы называют эту базу рекламной и обещают в ближайшее время выкинуть на прилавки полную версию — уже о 3 млн граждан, испытывающих проблемы с потребительским кредитом. Эксперты InfoWatch уверены, что если полная версия базы действительно появится на рынке, то российские банки получат сильнейший удар по своей репутации, которую им приходилось выстраивать по кирпичику начиная с 1998 года.
Сегодня банка «Первое ОВК» уже не существует — он был поглощен Росбанком еще в прошлом году. Тем не менее есть все основания полагать, что во время слияния двух кредитных организаций не все сотрудники были довольны процессом интеграции, и утечка информации могла стать своеобразной местью. Как бы то ни было, на Митинском радиорынке любой желающий за 900 руб. может купить диск с именами, номерами домашних и мобильных телефонов заемщиков, а в некоторых случаях еще и с паспортными данными и пропиской. По мнению аналитического центра InfoWatch, коммерческим банкам необходимо брать пример с Банка России, который залатал свои дыры довольно умело. Кроме того, Центробанк выпустил стандарт по ИТ-безопасности, предусматривающий в том числе и необходимость обеспечения защиты от утечек и инсайдеров. В любом случае, подчеркивают эксперты InfoWatch, если коммерческие банки будут допускать утечки своих баз данных, то они очень быстро растеряют клиентов.
Хакеры заставили Терминатора извиняться
Хакеры взломали персональный компьютер губернатора Калифорнии Арнольда Шварценеггера и поживились его личными файлами. В частности, преступники скачали MP3-файл, в котором был записан личный разговор Терминатора. В данной записи Арнольд Шварценеггер некорректно, по мнению американской общественности, отозвался о латиноамериканцах. В частности, он заявил, что у них горячая кровь и что они вспыльчивые. Шварценеггер публично извинился за свои слова, которые были записаны в ходе встречи с его помощниками. Речь шла о происхождении члена Законодательного собрания штата Бонни Гарсиа. Раздумывая, кубинка она или пуэрториканка, губернатор перешел к общим рассуждениям о латиноамериканцах. Инцидент может повлиять на выборы в ноябре этого года, в которых Арни собирается принять участие. Сама госпожа Гарсиа на пресс-конференции сообщила, что слова губернатора ее не расстроили. Информация о злополучной беседе была опубликована газетой «Лос-Анджелес Таймс». При этом издание не сообщает, каким образом была получена запись. У полиции пока нет определенной версии утечки данных. Однако анонимный источник в администрации Шварценеггера на страницах «Нью-Йорк Таймс» заявил (см. подробнее: http://www.nytimes.com/2006/09/12/us/12hack.html?_r=1&ref=us&oref=slogin) о том, что в конце августа и в начале сентября неизвестные получили доступ к компьютерам Шварценеггера из-за пределов офиса губернатора.
Саботажники наступают
Остановимся теперь на проблеме саботажа. Неприятный, но типичный и очень поучительный инцидент произошел на Украине. Бывший системный администратор провайдера решил отомстить своему начальству и лишить нескольких клиентов компании доступа к Интернету (см. подробнее: http://www.infowatch.ru/threats?chapter=147151398&id=197727316). Используя свое знание информационной системы, саботажник сконструировал специальное аппаратное средство на основе приемно-передаточной антенны и оставил клиентов фирмы без Интернета. Теперь по факту вмешательства в работу провайдера возбуждено уголовное дело. По мнению аналитического центра InfoWatch, к угрозе информационного саботажа следует подходить крайне внимательно, так как всего один такой инцидент может привести к многомиллионным потерям.
Но как же вычислить саботажника? Об этом рассказали эксперты Секретной службы США (см. подробнее: http://www.infowatch.ru/threats?chapter=147151396&id=196879744). Данное ведомство исследовало проблему информационного саботажа и сформулировало свои рекомендации для борьбы с ним. Прежде всего следует обратить внимание на масштаб проблемы — за 80% внутренних атак несут ответственность именно ненадежные сотрудники, а ущерб всего от одного такого инцидента может измеряться миллионами долларов и стоить всего бизнеса компании. Однако менеджмент может заранее выявить саботажника. Чаще всего это служащий, соответствующий следующему стереотипу: жалуется на свою зарплату, опаздывает или прогуливает, эмоционально спорит с коллегами, нарушает субординацию, ведет себя агрессивно. Правда, перечисленные элементы поведения следует учитывать в комплексе, ведь в отдельности они могут наблюдаться даже у самых лучших сотрудников фирмы. Эксперты InfoWatch советуют руководителям не проходить мимо этих простых рекомендаций, а присмотреться к своему персоналу. Если вовремя не заметить неуравновешенного саботажника, то он может разрушить бизнес фирмы и уничтожить ее самые ценные информационные активы. Причем саботажника не смущает, что остаток дней он может провести за решеткой. Главное отомстить и доказать свою значимость…
Инсайдеры или предатели?
Остановимся на очень интересном происшествии, которое полностью стерло грань между государственным и промышленным шпионажем, а также обычными инсайдерскими утечками. Речь идет об американском морском офицере, который украл ноутбук со сверхсекретной информацией о национальной обороне США и передал все данные иностранному правительству (какому именно — не разглашается). Сейчас 21-летнего преступника поймали (см. подробнее: http://www.infowatch.ru/threats?chapter=147151398&id=194377549). По военным законам ему грозит смертная казнь, но ведь информацию, как известно, обратно не вернуть. Как же произошла утечка? Да очень просто — инсайдеру доверили ноутбук с секретной информацией. Однако парень сбежал с подводной лодки, где проходил службу, посетил Мексику, а затем Австрию. В течение восьми месяцев он путешествовал по миру, а потом зачем-то вернулся в США, где его и арестовали прямо в аэропорту. Известно, что инсайдер передал иностранному правительству всю информацию и потом уничтожил ноутбук.
Возникает вопрос — есть ли какой-нибудь цивилизованный способ защитить информацию от такого рода утечек? Как указывают эксперты InfoWatch, достаточно было развернуть инфраструктуру открытых ключей и зашифровать все секретные сведения на ноутбуке. Каждый раз, когда пользователь будет пытаться получить доступ к информации, ему будет необходим ключ. Вне ведомственной или корпоративной сети инсайдер не сможет завладеть ключом, а после того, как о предательстве станет известно, можно просто отозвать цифровой сертификат данного пользователя, и доступ к зашифрованным данным похититель не получит никогда.
А вот еще один печальный пример подлого предательства. Страховая компания Sentry Insurance наняла 28-летнего консультанта для разработки программного обеспечения. Естественно, временный сотрудник получил все права обычного штатного служащего. Однако вместо того, чтобы честно выполнять свою работу, инсайдер легко и просто выкрал персональные сведения 112 тыс. клиентов фирмы. Заполучив такую ценную информацию, молодой человек пришел домой и начал продавать данные через Интернет. Случайно с инсайдером связался агент Секретной службы США. Оперативник представился покупателем и предложил 25 тыс. долл. за сведения о 36 тыс. граждан. Инсайдер клюнул и оказался за решеткой (см. подробнее: http://www.infowatch.ru/threats?chapter=147151398&id=194377216). Теперь «оборотню» угрожает до 45 лет тюрьмы и до 750 тыс. долл. штрафа. По мнению экспертов InfoWatch, это блестящий пример работы спецслужб и типичный случай корпоративной халатности. Очевидно, что временные сотрудники представляют угрозу не меньшую, чем штатные служащие. Так зачем же наделять консультанта столь широкими правами? В общем, утечки можно было избежать очень легко — на рынке существуют десятки решений, позволяющих отследить столь масштабную утечку.
Секреты мусорного бака
ЛЛюбопытный случай произошел недавно с поставщиком кредитных карт Chase Card Services. Его служащие просто выбросили на помойку пять магнитных лент с персональными данными 2,6 млн владельцев кредитных карт Circuit City. Как такое могло произойти? Просто сотрудники по ошибке решили, что эти резервные носители больше не нужны компании, а следовательно, их следует отправить в мусорный бак. Теперь злополучная компания пытается убедить всех, что на самом деле все отходы сжигаются и клиентам вроде бы не о чем волноваться. Однако американским спецслужбам так и не удалось установить, действительно ли магнитные ленты были уничтожены (см. подробнее: http://www.infowatch.ru/threats?chapter=147151398&id=197727710). По мнению экспертов InfoWatch, вполне вероятно, что носители попали в руки криминальных элементов. Ведь о том, что секретные данные следует искать в мусорном баке, известно еще со времен Кевина Митника.
Аналогичная утечка произошла в начале текущего года — в мусорном баке оказались данные нескольких тысяч постояльцев Гранд-отеля в Брайтоне (Великобритания). Служащие выбросили документы, содержащие имена, адреса, номера кредитных карт, телефонные номера и подписи клиентов гостиницы. Английская пресса сразу же окрестила инцидент «самым большим урожаем, когда-либо собранным мошенниками в мусорных баках» (см. подробнее: http://www.infowatch.ru/press?chapter=153986408&id=177949331). Владельцу Гранд-отеля пришлось извиняться перед постояльцами, ведь среди них было несколько членов британского парламента…
 |
|
