Обзор утечек: 2-15 марта
Обзор утечек: 2-15 марта
Alexander Antipov
За период с 2 по 15 марта аналитический центр компании Perimetrix зафиксировал 9 масштабных утечек информации и еще несколько локальных инцидентов.
За период с 2 по 15 марта аналитический центр компании Perimetrix зафиксировал 9 масштабных утечек информации и еще несколько локальных инцидентов. Отметим, что в трех случаях из девяти пострадали более 50 тыс. человек, и, кроме того, впервые за довольно продолжительный период произошла публичная утечка в российской компании (МГТС).
Краткая информация обо всех случившихся инцидентах представлена в сводной таблице:
МГТС допускает утечку персональных данных с веб-сайта
Один из крупнейших российских операторов фиксированной связи МГТС допустил утечку информации с собственного сайта. Чтобы получить доступ к внутренним документам МГТС, а также к резюме соискателей работы, требовалось всего лишь сформировать поисковый запрос в соответствующей форме на сайте. Так, поиск по слову "Иванов" приводил к появлению страницы со списком из нескольких сотен доступных резюме и прочих документов МГТС. Большинство найденных документов содержали персональные данные, причем их владельцы не давали никаких разрешений на их публикацию.
Реакция пресс-службы МГТС на обнаруженную утечку оказалась весьма странной. Вначале представители компании заявили, что «то, что вы приняли за конфидeнциальную информацию - это лишь часть старых архивов МГТС», а «в резюме не содержится ни адресов, ни паспортных данных». Позднее было распространено еще одно заявление, согласно которому «имело место несанкционированное и неправомерное воздействие на сайт».
Впрочем, оба представленных заявления вызывают определенные вопросы. Во-первых, в резюме были опубликованы номера телефонов, а значит – эти документы уже содержат персональные данные. А во-вторых, называть поиск с использованием специально предназначенной для этого формы на сайте «несанкционированным воздействием» - довольно странно.
Представители МГТС не сообщили, когда произошла утечка, кто в ней виноват, и сколько времени информации пролежала на сайте. Вскоре после появления публикаций об инциденте, публичные сведения были удалены с публичных ресурсов МГТС.
Полицейский департамент Нью-Йорка арестовал инсайдера-грабителя
Недавно полицейское управление Нью-Йорка (New York Police Department, NYPD) объявило о весьма масштабной утечке информации. По данным аналитического центра Perimetrix, виновником утечки стал сотрудник NYPD, сумевший похитить из охраняемого помещения 12 резервных лент с персональными данными 80 тыс. бывших и нынешних офицеров. На украденных носителях хранились их имена, адреса, номера социального страхования, а также медицинские записи и номера зарплатных счетов.
Интересно, что в краже подозревается достаточно высокопоставленный чиновник - 46-летний Энтони Бонелли (Anthony Bonelli) работал директором по телекоммуникациям пенсионного фонда NYPD. Согласно доступной информации, в феврале нынешнего года, он сумел проникнуть в некое «защищенное помещение», предназначенное для хранения лент. Чтобы обмануть охрану, Бонелли использовал поддельный пропуск, а затем вручную отключил камеры видеонаблюдения.
Отметим, что вся информация на украденных носителях хранилась в незашифрованном виде. На данный момент неизвестно, какие мотивы двигали действиями грабителя, и что он хотел сделать с лентами дальше. Бонелли был пойман полицией с поличным – украденные ленты хранились у него дома.
Поскольку полиции удалось достаточно быстро обнаружить преступника, вероятность использования информации в незаконных целях расценивается как крайне незначительная. Тем не менее, NYPD уже разослал оповещения всем пострадавшим и предоставил им бесплатный кредитный мониторинг сроком на один год.
Утечка конфидeнциальных данных может привести к убийству
27-летняя жительница Калифорнии Джини Самайоа (Ginie Samayoa) сама совершала преступления, копировав у своего работодателя секретные сведения о кредитных картах. Однако она вряд ли могла представить, что ее ноутбук, на котором хранились украденные данные, станет причиной жестокого убийства.
По данным аналитического центра Perimetrix, трое мужчин в возрасте от 26 до 35 лет, жестоко убили Самайоа с целью украсть у нее ноутбук. В настоящее время подозреваемым уже предъявлены обвинения, предусматривающие суровые сроки наказания – вплоть до применения смертной казни.
Калифорнийская пресса не называет имени компании, в которой работала Самайоа, и не предоставляет информации о схеме утечки данных. Известно лишь, что убитая женщина незаконно скачала конфидe
нциальную информацию с помощью «корпоративных компьютерных систем». Отметим, что Самайоа действовала осторожно – получив доступ к корпоративным счетам с балансом в $100 тыс., она снимала с них минимальные суммы (до $2 тыс.) в целях остаться незамеченной. В общей сложности, Самайоа занималась кредитным мошенничеством в течение нескольких лет.
Национальная лаборатория Айдахо теряет сведения 60-летней давности
Национальная лаборатория штата Айдахо (Idaho National Laboratory, INL) недавно допустила беспрецедентную утечку информации. По информации аналитического центра компании Perimetrix, лаборатория потеряла «компьютерный» диск во время транспортировки. На пропавшем носители содержались строго конфидeнциальные сведения (номера социального страхования) 59 тыс. сотрудников INL, работавших в лаборатории с 1949 (!) года.
Информация, которая хранилась на диске, была предназначена для неких «медицинских программ» для сотрудников INL, имевших доступ к вредным веществам в ходе работы в лаборатории. Носитель потерялся со второй попытки – вначале он был отправлен из INL в местный колледж (Queens College), а затем – в некий исследовательский центр (Center for Construction Research and Training). В конце нынешнего января сотрудники колледжа сообщили, что диск потерялся в ходе транспортировки по второму адресату. Эксперты Perimetrix отмечают, что в качестве логистического субподрядчика по пересылке ленты выступала всемирно известная корпорация UPS.
В настоящее время все задействованные в утечке организации пытаются найти пропавший носитель. Однако если диск в итоге будет обнаружен, то определенная вероятность утечки в любом случае будет существовать. Бывшим и нынешним сотрудникам INL будут разосланы специальные оповещения с просьбой воспользоваться бесплатной услугой кредитного мониторинга сроком на 1 год.
Австралийский регистратор доменов теряет номера кредитных карт
Крупный австралийский регистратор доменов Bottle Domains подозревается в масштабной утечке информации. По данным австралийских СМИ, в результате хакерской атаки на сайт Bottle Domains были скомпрометированы банковские карты 60 000 человек.
Эксперты аналитического центра Perimetrix отмечают, что хакерское вторжение произошло еще в 2007 году, однако инцидент был предан широкой огласке только сейчас. Австралийская федеральная полиция (AFP) подозревает в организации атаки 22-летнего жителя города Перт, который в то время работал на одного из конкурентов Bottle Domains (название конкурента не сообщается). Предполагается, что этот человек похитил информацию, а затем пытался продать ее на одном из хакерских сайтов.
После того, как информация об утечке появилась в прессе, сразу несколько крупных австралийских банков заявили о возможных проблемах. Так, Национальный банк Австралии (NAB) и Commonwealth Bank (CBA) подтвердили информацию о том, что в рамках инцидента в Bottle Domains были скомпрометированы сведения «небольшого количества» клиентов. Другие банки из австралийской «большой четверки» Westpac и ANZ Bank выступили с прямо противоположными сообщениями, опровергающими их участие в утечке.
Оставшиеся утечки недели:
Краткая информация обо всех случившихся инцидентах представлена в сводной таблице:
|
Компания
|
Сфера деятельности
|
Причина утечки
|
Количество пострадавших (человек)
|
Примерный ущерб ($)
|
|---|---|---|---|---|
| МГТС | телеком | веб-утечка | нет данных | нет данных |
| New York Police Department | госструктура | инсайд / кража носителя (ленты) | 80 000 | 12 млн. |
| Pentel of America | FMCG | хакерская атака | 2 076 | 320 тыс. |
| Idaho National Laboratory | госструктура | потеря носителя (диска) | 59 000 | 5 млн. |
| Chicago Fire Department | госструктура | кража ноутбука | нет данных | нет данных |
| Bottle Domains | интернет | хакерская атака | 60 000 | 4 млн. |
| Organization of Staff Analysts | общественная организация | бумажная утечка | 3 470 | 200 тыс. |
| Landlord's Source Centre | услуги | веб-утечка | 1 393 | 370 тыс. |
| ИТОГО: | 206 040 | 21,9 млн. |
МГТС допускает утечку персональных данных с веб-сайта
Один из крупнейших российских операторов фиксированной связи МГТС допустил утечку информации с собственного сайта. Чтобы получить доступ к внутренним документам МГТС, а также к резюме соискателей работы, требовалось всего лишь сформировать поисковый запрос в соответствующей форме на сайте. Так, поиск по слову "Иванов" приводил к появлению страницы со списком из нескольких сотен доступных резюме и прочих документов МГТС. Большинство найденных документов содержали персональные данные, причем их владельцы не давали никаких разрешений на их публикацию.
Реакция пресс-службы МГТС на обнаруженную утечку оказалась весьма странной. Вначале представители компании заявили, что «то, что вы приняли за конфидeнциальную информацию - это лишь часть старых архивов МГТС», а «в резюме не содержится ни адресов, ни паспортных данных». Позднее было распространено еще одно заявление, согласно которому «имело место несанкционированное и неправомерное воздействие на сайт».
Впрочем, оба представленных заявления вызывают определенные вопросы. Во-первых, в резюме были опубликованы номера телефонов, а значит – эти документы уже содержат персональные данные. А во-вторых, называть поиск с использованием специально предназначенной для этого формы на сайте «несанкционированным воздействием» - довольно странно.
Представители МГТС не сообщили, когда произошла утечка, кто в ней виноват, и сколько времени информации пролежала на сайте. Вскоре после появления публикаций об инциденте, публичные сведения были удалены с публичных ресурсов МГТС.
Полицейский департамент Нью-Йорка арестовал инсайдера-грабителя
Недавно полицейское управление Нью-Йорка (New York Police Department, NYPD) объявило о весьма масштабной утечке информации. По данным аналитического центра Perimetrix, виновником утечки стал сотрудник NYPD, сумевший похитить из охраняемого помещения 12 резервных лент с персональными данными 80 тыс. бывших и нынешних офицеров. На украденных носителях хранились их имена, адреса, номера социального страхования, а также медицинские записи и номера зарплатных счетов.
Интересно, что в краже подозревается достаточно высокопоставленный чиновник - 46-летний Энтони Бонелли (Anthony Bonelli) работал директором по телекоммуникациям пенсионного фонда NYPD. Согласно доступной информации, в феврале нынешнего года, он сумел проникнуть в некое «защищенное помещение», предназначенное для хранения лент. Чтобы обмануть охрану, Бонелли использовал поддельный пропуск, а затем вручную отключил камеры видеонаблюдения.
Отметим, что вся информация на украденных носителях хранилась в незашифрованном виде. На данный момент неизвестно, какие мотивы двигали действиями грабителя, и что он хотел сделать с лентами дальше. Бонелли был пойман полицией с поличным – украденные ленты хранились у него дома.
Поскольку полиции удалось достаточно быстро обнаружить преступника, вероятность использования информации в незаконных целях расценивается как крайне незначительная. Тем не менее, NYPD уже разослал оповещения всем пострадавшим и предоставил им бесплатный кредитный мониторинг сроком на один год.
Утечка конфидeнциальных данных может привести к убийству
27-летняя жительница Калифорнии Джини Самайоа (Ginie Samayoa) сама совершала преступления, копировав у своего работодателя секретные сведения о кредитных картах. Однако она вряд ли могла представить, что ее ноутбук, на котором хранились украденные данные, станет причиной жестокого убийства.
По данным аналитического центра Perimetrix, трое мужчин в возрасте от 26 до 35 лет, жестоко убили Самайоа с целью украсть у нее ноутбук. В настоящее время подозреваемым уже предъявлены обвинения, предусматривающие суровые сроки наказания – вплоть до применения смертной казни.
Калифорнийская пресса не называет имени компании, в которой работала Самайоа, и не предоставляет информации о схеме утечки данных. Известно лишь, что убитая женщина незаконно скачала конфидe
нциальную информацию с помощью «корпоративных компьютерных систем». Отметим, что Самайоа действовала осторожно – получив доступ к корпоративным счетам с балансом в $100 тыс., она снимала с них минимальные суммы (до $2 тыс.) в целях остаться незамеченной. В общей сложности, Самайоа занималась кредитным мошенничеством в течение нескольких лет.
Национальная лаборатория Айдахо теряет сведения 60-летней давности
Национальная лаборатория штата Айдахо (Idaho National Laboratory, INL) недавно допустила беспрецедентную утечку информации. По информации аналитического центра компании Perimetrix, лаборатория потеряла «компьютерный» диск во время транспортировки. На пропавшем носители содержались строго конфидeнциальные сведения (номера социального страхования) 59 тыс. сотрудников INL, работавших в лаборатории с 1949 (!) года.
Информация, которая хранилась на диске, была предназначена для неких «медицинских программ» для сотрудников INL, имевших доступ к вредным веществам в ходе работы в лаборатории. Носитель потерялся со второй попытки – вначале он был отправлен из INL в местный колледж (Queens College), а затем – в некий исследовательский центр (Center for Construction Research and Training). В конце нынешнего января сотрудники колледжа сообщили, что диск потерялся в ходе транспортировки по второму адресату. Эксперты Perimetrix отмечают, что в качестве логистического субподрядчика по пересылке ленты выступала всемирно известная корпорация UPS.
В настоящее время все задействованные в утечке организации пытаются найти пропавший носитель. Однако если диск в итоге будет обнаружен, то определенная вероятность утечки в любом случае будет существовать. Бывшим и нынешним сотрудникам INL будут разосланы специальные оповещения с просьбой воспользоваться бесплатной услугой кредитного мониторинга сроком на 1 год.
Австралийский регистратор доменов теряет номера кредитных карт
Крупный австралийский регистратор доменов Bottle Domains подозревается в масштабной утечке информации. По данным австралийских СМИ, в результате хакерской атаки на сайт Bottle Domains были скомпрометированы банковские карты 60 000 человек.
Эксперты аналитического центра Perimetrix отмечают, что хакерское вторжение произошло еще в 2007 году, однако инцидент был предан широкой огласке только сейчас. Австралийская федеральная полиция (AFP) подозревает в организации атаки 22-летнего жителя города Перт, который в то время работал на одного из конкурентов Bottle Domains (название конкурента не сообщается). Предполагается, что этот человек похитил информацию, а затем пытался продать ее на одном из хакерских сайтов.
После того, как информация об утечке появилась в прессе, сразу несколько крупных австралийских банков заявили о возможных проблемах. Так, Национальный банк Австралии (NAB) и Commonwealth Bank (CBA) подтвердили информацию о том, что в рамках инцидента в Bottle Domains были скомпрометированы сведения «небольшого количества» клиентов. Другие банки из австралийской «большой четверки» Westpac и ANZ Bank выступили с прямо противоположными сообщениями, опровергающими их участие в утечке.
Оставшиеся утечки недели:
Если вам нравится играть в опасную игру, присоединитесь к нам - мы научим вас правилам!