Болезнь цифрового мира: как защититься от утечек персональных данных
Каждую неделю появляются новости о том, что злоумышленники получили доступ к данным тысяч, а то и миллионов клиентов очередной компании. Есть ли прививка от этой напасти?
В облачном хранилище Amazon 20 мая были обнаружены в открытом доступе данные примерно 49 млн пользователей Instagram (соцсеть признана в РФ экстремистской и запрещена). В основном это были аккаунты известных людей, блогеров, а также брендов. База данных содержала номера телефонов и адреса электронной почты.
Логины, пароли, адреса и телефоны, списки покупок или диагнозы — все это можно найти в продаже на форумах DarkNet. Вопрос только в том, скажут ли нам эксперты название компании, допустившей утечку и найдем ли мы себя в этих списках.
Цель — персональные данные
Рядовой пользователь может себя успокоить тем, что лично он никому не интересен. Но хакеры ломают не ваш компьютер, а государственные сервисы и информационные системы крупных компаний. Вопреки ожиданиям людей, далеких от информационной безопасности, их основная цель не корпоративные или военные секреты, а персональные данные. Например, в январе прошлого года был обнаружен взлом системы регионального управления здравоохранения Южной и Восточной Норвегии (Helse Sør-Øst RHF). Злоумышленники получили доступ к персональным данным и медицинским записям почти 3 млн норвежцев — более половины всех жителей страны. Похищенные медицинские данные содержали информацию о сотрудниках правительства, секретной службы, военных, политиках и других общественных лицах.
В марте 2018 года взлом популярного приложения для фитнеса и учета питания MyFitnessPal, принадлежащего Under Armor, стал причиной утечки данных. По заявлению компании, затронуто около 150 млн пользователей. Злоумышленникам стали известны имена пользователей, адреса электронной почты и хешированные пароли.
Почему так происходит? Первая причина в том, что секреты сложно продать, а персональные данные хоть и стоят дешево, но продаются большими объемами и всегда найдут покупателя. Их можно использовать для мошенничества, фишинга (в том числе и телефонного), а также продажи спамерам.
Например, в июне 2019 года сервис по продаже концертных билетов Ticketfly, принадлежащий компании Eventbrite, сообщил о хакерской атаке на свою базу данных. Клиентская база сервиса была похищена хакером IsHaKdZ, который требовал за ее нераспространение $7502 в биткоинах. База данных содержала имена, почтовые адреса, телефоны и адреса электронной почты клиентов Ticketfly и даже некоторых сотрудников сервиса — всего более 27 млн записей. Трудно оценить, сколько могли стоить данные сразу 92 млн аккаунтов (логины, хеши паролей) израильского генеалогического сервиса MyHeritage, которые утекли в июне 2018 года. Сервис хранит ДНК информацию пользователей и строит их генеалогические деревья.