Защита на лични данни

Лични данни от над 250 млн. заявки за техническа поддържа на Microsoft са били оставени публично достъпни за 2 дни през декември 2019 г., съобщава welivesecurity.com. Причината е грешна конфигурацията на сървъри на компанията.

Тъй като личните данни са били оставени достъпни без необходимост от автентикация, на практика всеки с интернет връзка е можел да ги свали.

Сетът с над 250 млн. записа е бил съхраняван на пет отделни Elasticsearch сървъра, които са разкрити от изследователя Bob Diachenko на 29 декември 2019 г. Той е уведомил Microsoft незабавно, а компанията е започнала разследване и е заличила информацията в рамките на 2 дни.

Според официалната позиция на Microsoft не са засечени потенциално опасни опити за достъп до данните.

Прочетете още: Microsoft предупреди за нова уязвимост без патч в Internet Explorer

Каква информация?

Източената информация включва логове от комуникация между Microsoft и клиенти на компанията за период от 14 години между 2005 и 2019 г.

Въпреки че най-чувствителните данни – за плащания – е била обфускирана, в базите данни са били съхранявани и множество записи в текстов формат. В тях е имало IP адреси, локации и вътрешни бележки към комуникацията, маркирани като „конфиденциални“, имейл адреси на клиентите, описания на тикети за поддръжка, мейли на служители на Microsoft и т.н.

Защо?

Официално съобщената до момента причина за оставената на показ информация е неправилна конфигурация на правилата за защита на данните на сървърите. Подобни грешки не са нещо ново или непознато.

Ето 3 други примера:

• Над 1.2 млрд. записa крадени лични данни, обединени в една база данни
• Милиони потребителски данни от Facebook са били оставени публично достъпни на cloud сървър на Amazon
• Над 2 млрд. мейла оставени достъпни за „всеки с връзка с интернет“

Преди няколко месеца грешка в конфигурацията на Elasticsearch сървър засегна почти цялото население на Еквадор, чийто лични данни бяха оставени публично достъпни.

Последен ъпдейт на 30 януари 2020 в 08:33 ч.

Достъпът до домейна WeLeakInfo.com е бил спрян принудително от ФБР съвместно с организации за борба с организираната престъпност от Великобритания, Нидерландия и Германия.

Собствениците му са предлагали достъп до над 12 млрд. записи с лични данни „нелегално придобити при повече от 10 хил. пробива“, съобщава WeLiveSecurity, позовавайки се на данни от институцията.

В тях се е съдържала информация като лични имена, имейли, потребителски имена, пароли, телефонни номера и др. Цената за 24-часов достъп до базите е била 2 USD, като са били налични и абонаменти за по-дълъг период.

Задържани са и двама души, заподозрени в управлението на сайта – единият в Нидерландия а вторият – в Северна Ирландия.

Това не е първият подобен случай. През май 2019 г. LeakedSource.com, предлагам база данни с над 3 млрд. крадени потребителски профила, е спрян, а собственикът му се признава за виновен за трафик на крадена информация.

Важно е да знаете, че има и легитимни сайтове, в които може да проверите дали потребителското ви име и паролата ви не са жертва на кражба – например, haveibeenpwnd.com. Браузърите Chrome и Firefox предлагат подобни функционалности.

Facebook плаща на потребители ,за да инсталират на смартфоните си приложение, което събира личните им данни. От компанията са потвърдили тази информация пред TechCrunch.

Става дума за приложение, наречено Facebook Research. От 2016 г. насам компанията е предлагала суми до 20 долара на всеки потребител, който си инсталира приложението на своя смартфон. Основната работа на Facebook Research е да следи активността на потребителя онлайн.

Приложение, което изсмуква данни

Според Уил Страфах, консултант по информационна сигурност в Guardian Mobile Firewall, приложението може буквално да изсмуче личните данни от устройството, на което е инсталирано. „Ако от Facebook използват пълния достъп, който получават с това приложение, те ще могат да събират лични съобщения от приложения за социални медии; месинджъри; изпратени снимки и видеа; имейли; търсени думи в търсачките; история на уеб сърфирането и дори данни за настоящото ви местоположение, стига да сте инсталирали на телефона си приложение за геолокация“, посочва Страфах.

Пълен достъп до активността в приложенията

Преди да инсталират приложението, потребителите виждат следното предупреждение, публикувано от Engadget: „С инсталирането на този софтуер вие се съгласявате да събираме данни от вашия телефон, които ще ни помогнат да разберем как сърфирате в интернет и как използвате приложенията, които сте свалили… Това означава, че давате право да събираме информация за приложенията на телефона, как и кога ги използвате, данни за активността и съдържанието в тези приложения, както и как другите потребители общуват с вас през тези приложения“.

От Facebook потвърждават пред TechCrunch за съществуването на Facebook Research, което се разработва като част от Project Atlas. Според компанията целта на проекта е да събира информация за потребителските навици и е практика, която се използва и от други компании.

Почти веднага след публикуваната информация Facebook обяви, че версията на Facebook Research за iOS ще бъде свалена. По подобен начин през август 2018 г. Facebook свали Onavo VPN. Представено като безплатно VPN решение, Onavo също събираше данни за потребителите по начин, който нарушава правилата на App Store.

Facebook купи Onavo през 2013 г. именно за да следи потребителските навици на потребителите. Компанията използва данните от Onavo, за да види кои функции в конкурентните мобилни приложения са популярни сред потребителите, и така да може да направи свои алтернативи.

Над 95 хил. жалби на граждани за неспазване на GDPR са подадени от май 2018 г., когато директивата влезе в сила. България е една от петте страни в Европа, които закъсняват с практическото прилагане на директивата. Това са два от основните изводи в изявление на Европейския комитет за защита на данните.

България е една от страните, където практическото приложение на GDPR все още изостава. Другите са Гърция, Словения, Португалия и Чехия. Съгласуваният с GDPR законопроект беше внесен в българския парламент през септември 2018 г., но беше окончателно гласуван едва на 24 януари 2019 г.

От Европейския комитет за защита на данните отчитат, че до момента в ЕС се водят 255 разследвания за нарушения на изискванията по GDPR. Вече има и случаи на глобени компании.

Най-голямата до момента глоба е за 50 млн. евро. Тя беше наложена на Google. Според френските регулатори интернет гигантът не информира достатъчно добре потребителите си за това как използва данните им за таргетирана реклама.

През ноември Германия наложи глоба от 20 хил. евро на чат платформата Knuddels, след като хакери пробиха сървърите на компанията и откраднаха потребителски данни, които след това публикуваха в Pastebin.

„Случаят Facebook/Cambridge Analytica, както и неотдавнашните пробиви в сигурността на личните данни, показаха, че сме на прав път. На риск е изложена не само защитата на неприкосновеността на личния ни живот, но и защитата на нашите демокрации и гарантирането на устойчивостта на нашите основани на данни икономики“, коментират от комитета.

Около 59% от организациите изпълняват всички или почти изисквания по евродирективата GDPR. Това показват резултатите от проучване на Cisco сред 3200 експерти по информационна сигурност от цял свят.

Подготвените за GDPR организации отчитат по-малък риск от пробив на данни и по-кратки забавяния в продажбите, показват още резултатите от проучването.

Една трета ще са готови с GDPR след година

Анкетата е направена с респонденти от 18 страни, включително и няколко европейски. Данните показват, че в ЕС за най-подготвени се считат респондентите в Испания (76%) и Италия (72%). Данни за България няма.

29% от анкетираните очакват организацията им да покрива изискванията на GDPR, а други 9% казват, че ще им трябва повече от година.

Какво показва практиката досега

Проучването е установило, че компаниите, които са инвестирали в подготовка за GDPR, вече извличат ползи от това. Така например 74% от тях са регистрирали пробив на данни, но този дял е по-малък в сравнение на дела от компаниите(89%), които нямат готовност за GDPR.

Компаниите, които покриват изискванията на директивата, отчитат забавяне от средно 3.4 седмици при реализацията на продуктите им на пазара. Това забавяне се дължи на факта, че клиентите им се притесняват за защитата на данните.

При компаниите, които не покриват изискванията на директивата, този период е средно с две седмици по-дълъг: 5.4 седмици.

„Тези резултати показват, че спазването на стандарти за поверителност и защита на данните вече е конкурентно предимство за много компании. Организациите следва да оптимизират ползите от своите инвестиции в защита на данните. Тези инвестиции може да надхвърлят задълженията, които трябва да се спазват съгласно една или друга регулация“, коментират от Cisco.

Френският регулатор CNIL (Commission nationale de l’informatique et des libertés) глоби с 50 млн. евро интернет гиганта Google. Наказанието е за неспазване на евродирективата за защита на личните данни GDPR. Според CNIL американската компания не предоставя адекватна информация за начините, по които обработва лични данни при пласиране на онлайн реклами.

Рекордна глоба

Това е най-голямата глоба по GDPR, откакто евродирективата влезе в сила на 25 май 2018 г. Тя предвижда финансови наказания за компаниите, които оперират на територията на Европейския съюз и не могат да спазват правилата за защита на личните данни.

„Това е първият случай, в който CNIL налага санкция съгласно GDPR. Размерът на глобата е съобразен със степента на неспазване на основните принципи на директивата. А те са прозрачност, информираност и съгласие“, коментира френския регулатор.

Липса на прозрачност

Google не е успяла да информира потребителите за начините, по които събира данните им и ги използва за пласиране на онлайн реклама, се казва в решението. Въпреки че самата компания твърди, че получава информирано съгласие от страна на потребителите, преди да започне да използва данните им, според регулатора това не е така.

„Информацията за обработката на данни и персонализирането на рекламите е разводнена в няколко документа и не позволява на потребителя да добие представа за мащаба на процесите. Например в секция „Персонализиране на реклами“ няма как да се разбере ясно кои услуги, сайтове и приложения участват в обработката на данни (Google Search, Youtube, Google Home, Google Maps, Play Store, Google Pictures…)“, се казва в решението на френската комисия.

Предварително зададено съгласие

CNIL отчита факта, че потребителите могат да избират какви персонализирани реклами да виждат, когато си създават нов акаунт. „Това обаче не означава, че GDPR се спазва. Потребителят не само трябва да избере More Options, за да промени настройките, но и опцията за персонализация на реклами е избрана по подразбиране. Според GDPR обаче съгласието на потребителя е недвусмислено само ако той го е заявил с ясно изразено действие“, посочва френският регулатор.

GDPR предвижда глоби до 20 млн. евро или до 4% от годишния оборот на компаниите (избира се по-голямото от двете), които не спазват директивата.

През 2017 г. Google има приходи от 109.6 млрд. долара. Те формират 99% от консолидирания оборот на Alphabet, компанията-собственик на търсачката.

Все повече компании позволяват на служителите си да използват собствени устройства, когато достъпват фирмени данни. Този модел, известен като Bring Your Own Device (BYOD) спестява разходи и осигурява по-голям комфорт на служителите.

Но също така е свързан с определени рискове за информационната сигурност на компанията. Най-тривиалният пример е за служител, който забравя някъде лаптопа си, в който има чувствителна информация. Възможно е личният таблет на служителя да стане цел на малуер или хакерска атака, което отново е проблем за неговия работодател.

Растяща популярност

Общо 76% от компаниите в ИТ сектора позволяват на служителите си да използват собствени устройства, показва проучване на компанията за информационна сигурност Bitglass. Едва 15% от фирмите имат пълна забрана за използването на собствени устройства.

Липсват мерки за сигурност

В същото време компаниите са наясно, че този модел на работа крие опасности за информационната сигурност. Едва 30% от анкетираните фирми са уверени, че са предприели необходимите мерки за сигурност.

Защитата на лични лаптопи, смартфони и таблети не се различава съществено от защитата на работните станции във вътрешната мрежа на компанията. Ето няколко решения, които могат да сведат до минимум риска от изтичане на данни.

Антивирусен софтуер

Антивирусният софтуер защитава устройството от повечето онлайн заплахи. Предвид факта, че повечето ви служители използват устройствата си основно за сърфиране в интернет, инсталирането на добро антивирусно решение е задължително.

Софтуер за защита от източване на данни

Софтуерът за защита от източване на данни (Data Loss Prevention) е препоръчителен независимо дали компания ви използва модела BYOD. Това е решение, което намалява риска от изтичане на данни от вътрешната мрежа. С него може да контролирате дейността на служителите, както и да контролирате достъпа, модифицирането и изпращането на чувствителна информация.

Криптиране на устройствата

Ако устройството на служителя бъде откраднато (или просто го изгуби), информацията на него може да бъде открадната. Криптирането на устройството решава този проблем. Ако данните на един лаптоп са криптирани, те не могат да бъдат разчетени от външно лице. За да се случи това е необходима парола, която се знае само от собственика на устройството.

Избор на силни пароли

Старото правило за избор на трудни за разбиване пароли никога няма да се изтърка. В случая трябва да обучите служителите си да го правят на своите устройства. Това е както в техен интерес, така и в интерес на компанията. Ето няколко прости правила за избор на сигурни пароли.

Бъг в платформата за онлайн резервации Amadeus е позволявал неоторизиран достъп и подмяна на лични данни на пътниците. Това твърди израелският специалист по информационна сигурност Ноам Ротем, който е открил уязвимостта.

Бъгът позволява на външно лице да разглежда данните на пътниците и да прави промени като например избор на места и менюта или смяна на имейл и телефонен номер.

Amadeus се използва от над 200 авиокомпании от цял свят, включително и много такива, които оперират в България.

Какъв е проблемът

Ротем открил проблема, след като си направил резервация за израелския превозвач ELAL. Той получил линк, на който да провери своя резервационен номер PNR (Passenger Name Record). Но Ротем разбрал, че параметър в URL адреса съдържа PNR номера и ако го промени с валиден номер на друг пътник, той може да види името му. Разполагайки с име и PNR номер, Ротем можел да получи достъп до профила на пътника в онлайн портала на ELAL, да разгледа и променя данните му за контакт и дори да отменя полети от негово име.

„Уязвимостта може да се експлоатира само ако знаете PNR номера на пътника. Но ELAL изпраща тези номера в некриптирани имейл съобщения. Много пътници сами споделят PNR номерата си във Facebook и Instagram“, коментира Пол Кейн от Safety Detective, чийто екип работи с Ротем по откриването и докладването на уязвимостта.

Екипът открил още, че системата на израелския превозвач няма защита от brute force атаки. „Това ни позволи да използваме скрипт, с който открихме валидни PNR номера на случайни пътници, които дават достъп до всичките им данни“, посочва Кейн.

Доставчик на почти половината световен пазар

Amadeus обслужва над 200 авиопревозвачи по цял свят според информация в сайта на компанията. По оценка на Safety Detective превозвачите, които използват Amadeus, държат около 44% от световния пазар. Това означава, че от уязвимостта потенциално са били засегнати десетки милиони пътници, смятат от Safety Detective.

От Amadeus IT Group, която разработва едноименната платформа за резервации, твърдят, че проблемът вече е отстранен. „Даваме най-висок приоритет на сигурността и постоянно следим и обновяваме системите си. Техническите ни екипи незабавно предприеха необходимите действия и вече можем да потвърдим, че проблемът е отстранен. Добавили сме и допълнителни мерки, за да предотвратим достъп до лични данни от страна на злонамерени лица“, коментират от компанията.

Замисляли ли сте се колко важни са паролите за вашата дигитална същност? Тези комбинации от символи, букви и числа защитават всички онлайн услуги и устройства, които използвате. Те заключват дигиталния ви портфейл, защитават цялата ви онлайн комуникация, осигуряват неприкосновеност на профилите ви в социалните мрежи и т.н.

Въпреки че са толкова важни, паролите съвсем не са перфектния ключ. Те могат да бъдат разбити – точно като ключалка – и да доведат до кражба на вашите лични данни, важна информация и финансови средства. Много потребители правят разбиването им максимално лесно, избирайки слаби пароли или разчитайки само на една парола за достъп до всички онлайн услуги.

Компанията за информационна сигурност ESET дава пет съвета за разумно използване на пароли, които са лесни за спазване и могат да се превърнат в едно добро новогодишно обещание през 2019 г.

Използвайте фрази

Стандартните пароли са едновременно трудни за запомняне и лесни за отгатване. Ако вместо тях използвате фрази (няколко думи, събрани в една голяма комбинация), това прави паролата лесна за запомняне и трудна за отгатване. Колкото повече думи съдържа вашата фраза, толкова по-добре.

От ESET препоръчват да изберете фраза с поне 7 думи. „Броят на възможните комбинации нараства експоненциално с всяка следваща дума, а това намалява значително вероятността паролата ви да бъде отгатната“, коментират от компанията.

Избягвайте смислени комбинации от думи

Не правете грешката да избирате смислени фрази: например имена на филми, песни, любими цитати и т.н. Такива фрази са по-лесни за отгатване. Вместо това изберете комбинация от случайни думи, която лесно можете да запомните, но няма смисъл за никой друг.

Пример за такава фраза е drain hearings power homes. Със сегашните технологии ще отнеме стотици хиляди години, за да бъде разбита тази парола, според сайта Use A Passphrase.

Можете да направите паролата още по-трудна за разбиване като добавите числа или специални символи. Например: dr@1nhear1ngspowеrhome$

Забравете за многократното използване на една и съща парола

Никога не използвайте една и съща парола за две или повече онлайн услуги. „Ако по някаква причина някой разбере коя парола използвате, той вече разполага с един ключ, който отключва две или повече врати към дигиталната ви идентичност“, коментират от ESET.

Може би си мислите: „Но как някой ще разбере в кои акаунти използвам тази парола?“ По-лесно е, отколкото си мислите. Нарича се credential stuffing: автоматизиран процес, с който хакерите тестват дали някоя хакната вече парола няма да отключи вашия акаунт. И ако този акаунт се отключва със същата парола, която вече е била хакната, това ви оставя без никаква защита.

Разбира се, ако не трябва да използвате една парола повече от веднъж, това означава, че ще трябва да помните ужасно много пароли. От ESET препоръчват използването на мениджър за управление на пароли, който помни всички дигитални ключове вместо вас.

Използвайте двуфакторна автентикация

Двуфакторната автентикация е второ ниво на защита на вашия акаунт след паролата (тя е първото ниво). Дори и някой да знае паролата ви, двуфакторната автентикация го спира да получи достъп до вашата дигитална самоличност.

Много онлайн услуги като Facebook и Google предлагат двуфакторна автентикация, но тя се активира само по желание на потребителя. Можете да избирате между двуфакторна автентикация със SMS (получавате код за автентикация като текстово съобщение на телефона си), с допълнително приложение (приложението генерира кода) или с физически носител (т.нар. тоукън, който обикновено прилича на флашка).

„Малкото допълнително усилие, което правите, за да се впишете в акаунта си с двуфакторна автентикация, се отплаща. Най-малкото защото няма как да станете жертва на престъпник, който знае вашата парола“, посочват от ESET.

Използвайте по-малко пароли

Звучи като противоречие с казаното дотук, но не е така. Важно е да използвате различни пароли за различните онлайн услуги. Но ако сте се регистрирали в онлайн услуги, които вече не използвате, следва да ги деактивирате. Тук говорим за електронна поща, форуми, сайтове за онлайн игри и каквото друго ви хрумне.

Защо ви е да го правите?

„Проблемът е, че всяка такава услуга носи риск. Доставчикът на услугата може да претърпи пробив и паролата ви да се озове в грешните ръце“, коментират от ESET.

Помислете и за закриване на акаунтите, които са обвързани със социалните ви мрежи. Много онлайн услуги(включително и мобилни приложения) дават възможност да ги достъпвате чрез профила си във Facebook или Google.

В повечето случаи деактивирането на онлайн услуга става бързо и с няколко клика. Достатъчно е да влезете в профила си и да посетите настройките за поверителност.

Двайсетгодишен младеж е задържан по подозрения, че е публикувал в интернет данните на над 1000 обществени личности в Германия, съобщава DW. Според немската полиция задържаният е признал вината си, но разследването по случая продължава.

Полицията е обискирала жилището на задържания в Хесен в неделя, а ден по-късно (7 януари) е бил разпитан. Във връзка с разследването е обискиран домът и на 19-годишен младеж от Хайлброн, който е общувал със задържания и е разпитан като свидетел.

В продължение на месец задържаният младеж от Хесен е публикувал в Twitter акаунт с името G0d данни за германски политици, журналисти, водещи и други популярни лица. Все още не е ясен произходът на данните, но те включват адреси, телефонни номера, снимки и чатове. Сред жертвите са имена като Ангела Меркел и Торстен Швейгер, член на управляващия Християндемократически съюз.

Публикуването на данните е станало през декември 2018 г., но случаят доби популярност в първите дни на януари 2019 г.