Защита на лични данни

Бъг в платформата за онлайн резервации Amadeus е позволявал неоторизиран достъп и подмяна на лични данни на пътниците. Това твърди израелският специалист по информационна сигурност Ноам Ротем, който е открил уязвимостта.

Бъгът позволява на външно лице да разглежда данните на пътниците и да прави промени като например избор на места и менюта или смяна на имейл и телефонен номер.

Amadeus се използва от над 200 авиокомпании от цял свят, включително и много такива, които оперират в България.

Какъв е проблемът

Ротем открил проблема, след като си направил резервация за израелския превозвач ELAL. Той получил линк, на който да провери своя резервационен номер PNR (Passenger Name Record). Но Ротем разбрал, че параметър в URL адреса съдържа PNR номера и ако го промени с валиден номер на друг пътник, той може да види името му. Разполагайки с име и PNR номер, Ротем можел да получи достъп до профила на пътника в онлайн портала на ELAL, да разгледа и променя данните му за контакт и дори да отменя полети от негово име.

„Уязвимостта може да се експлоатира само ако знаете PNR номера на пътника. Но ELAL изпраща тези номера в некриптирани имейл съобщения. Много пътници сами споделят PNR номерата си във Facebook и Instagram“, коментира Пол Кейн от Safety Detective, чийто екип работи с Ротем по откриването и докладването на уязвимостта.

Екипът открил още, че системата на израелския превозвач няма защита от brute force атаки. „Това ни позволи да използваме скрипт, с който открихме валидни PNR номера на случайни пътници, които дават достъп до всичките им данни“, посочва Кейн.

Доставчик на почти половината световен пазар

Amadeus обслужва над 200 авиопревозвачи по цял свят според информация в сайта на компанията. По оценка на Safety Detective превозвачите, които използват Amadeus, държат около 44% от световния пазар. Това означава, че от уязвимостта потенциално са били засегнати десетки милиони пътници, смятат от Safety Detective.

От Amadeus IT Group, която разработва едноименната платформа за резервации, твърдят, че проблемът вече е отстранен. „Даваме най-висок приоритет на сигурността и постоянно следим и обновяваме системите си. Техническите ни екипи незабавно предприеха необходимите действия и вече можем да потвърдим, че проблемът е отстранен. Добавили сме и допълнителни мерки, за да предотвратим достъп до лични данни от страна на злонамерени лица“, коментират от компанията.

Замисляли ли сте се колко важни са паролите за вашата дигитална същност? Тези комбинации от символи, букви и числа защитават всички онлайн услуги и устройства, които използвате. Те заключват дигиталния ви портфейл, защитават цялата ви онлайн комуникация, осигуряват неприкосновеност на профилите ви в социалните мрежи и т.н.

Въпреки че са толкова важни, паролите съвсем не са перфектния ключ. Те могат да бъдат разбити – точно като ключалка – и да доведат до кражба на вашите лични данни, важна информация и финансови средства. Много потребители правят разбиването им максимално лесно, избирайки слаби пароли или разчитайки само на една парола за достъп до всички онлайн услуги.

Компанията за информационна сигурност ESET дава пет съвета за разумно използване на пароли, които са лесни за спазване и могат да се превърнат в едно добро новогодишно обещание през 2019 г.

Използвайте фрази

Стандартните пароли са едновременно трудни за запомняне и лесни за отгатване. Ако вместо тях използвате фрази (няколко думи, събрани в една голяма комбинация), това прави паролата лесна за запомняне и трудна за отгатване. Колкото повече думи съдържа вашата фраза, толкова по-добре.

От ESET препоръчват да изберете фраза с поне 7 думи. „Броят на възможните комбинации нараства експоненциално с всяка следваща дума, а това намалява значително вероятността паролата ви да бъде отгатната“, коментират от компанията.

Избягвайте смислени комбинации от думи

Не правете грешката да избирате смислени фрази: например имена на филми, песни, любими цитати и т.н. Такива фрази са по-лесни за отгатване. Вместо това изберете комбинация от случайни думи, която лесно можете да запомните, но няма смисъл за никой друг.

Пример за такава фраза е drain hearings power homes. Със сегашните технологии ще отнеме стотици хиляди години, за да бъде разбита тази парола, според сайта Use A Passphrase.

Можете да направите паролата още по-трудна за разбиване като добавите числа или специални символи. Например: dr@1nhear1ngspowеrhome$

Забравете за многократното използване на една и съща парола

Никога не използвайте една и съща парола за две или повече онлайн услуги. „Ако по някаква причина някой разбере коя парола използвате, той вече разполага с един ключ, който отключва две или повече врати към дигиталната ви идентичност“, коментират от ESET.

Може би си мислите: „Но как някой ще разбере в кои акаунти използвам тази парола?“ По-лесно е, отколкото си мислите. Нарича се credential stuffing: автоматизиран процес, с който хакерите тестват дали някоя хакната вече парола няма да отключи вашия акаунт. И ако този акаунт се отключва със същата парола, която вече е била хакната, това ви оставя без никаква защита.

Разбира се, ако не трябва да използвате една парола повече от веднъж, това означава, че ще трябва да помните ужасно много пароли. От ESET препоръчват използването на мениджър за управление на пароли, който помни всички дигитални ключове вместо вас.

Използвайте двуфакторна автентикация

Двуфакторната автентикация е второ ниво на защита на вашия акаунт след паролата (тя е първото ниво). Дори и някой да знае паролата ви, двуфакторната автентикация го спира да получи достъп до вашата дигитална самоличност.

Много онлайн услуги като Facebook и Google предлагат двуфакторна автентикация, но тя се активира само по желание на потребителя. Можете да избирате между двуфакторна автентикация със SMS (получавате код за автентикация като текстово съобщение на телефона си), с допълнително приложение (приложението генерира кода) или с физически носител (т.нар. тоукън, който обикновено прилича на флашка).

„Малкото допълнително усилие, което правите, за да се впишете в акаунта си с двуфакторна автентикация, се отплаща. Най-малкото защото няма как да станете жертва на престъпник, който знае вашата парола“, посочват от ESET.

Използвайте по-малко пароли

Звучи като противоречие с казаното дотук, но не е така. Важно е да използвате различни пароли за различните онлайн услуги. Но ако сте се регистрирали в онлайн услуги, които вече не използвате, следва да ги деактивирате. Тук говорим за електронна поща, форуми, сайтове за онлайн игри и каквото друго ви хрумне.

Защо ви е да го правите?

„Проблемът е, че всяка такава услуга носи риск. Доставчикът на услугата може да претърпи пробив и паролата ви да се озове в грешните ръце“, коментират от ESET.

Помислете и за закриване на акаунтите, които са обвързани със социалните ви мрежи. Много онлайн услуги(включително и мобилни приложения) дават възможност да ги достъпвате чрез профила си във Facebook или Google.

В повечето случаи деактивирането на онлайн услуга става бързо и с няколко клика. Достатъчно е да влезете в профила си и да посетите настройките за поверителност.

Двайсетгодишен младеж е задържан по подозрения, че е публикувал в интернет данните на над 1000 обществени личности в Германия, съобщава DW. Според немската полиция задържаният е признал вината си, но разследването по случая продължава.

Полицията е обискирала жилището на задържания в Хесен в неделя, а ден по-късно (7 януари) е бил разпитан. Във връзка с разследването е обискиран домът и на 19-годишен младеж от Хайлброн, който е общувал със задържания и е разпитан като свидетел.

В продължение на месец задържаният младеж от Хесен е публикувал в Twitter акаунт с името G0d данни за германски политици, журналисти, водещи и други популярни лица. Все още не е ясен произходът на данните, но те включват адреси, телефонни номера, снимки и чатове. Сред жертвите са имена като Ангела Меркел и Торстен Швейгер, член на управляващия Християндемократически съюз.

Публикуването на данните е станало през декември 2018 г., но случаят доби популярност в първите дни на януари 2019 г.

Португалската болница Centro Hospitalar Barreiro Montijo е първата институция в страната, глобена за неспазване на евродирективата GDPR. Според International Association of Privacy Professionals болницата е получила три глоби на обща стойност 400 хил. евро. Глобата е била наложена още през юли, а болницата е обжалвала решението.

Глобите са за три различни нарушения. Според местния регулатор здравното заведение е предоставило достъп до данните на пациентите на твърде много потребители. За това нарушение е наложена глоба от 150 хил. евро.

Друга глоба от 150 хил. евро е наложена, тъй като болницата не е приложила технически и организационни мерки, за да пази данните на пациентите си.

Третата глоба е за неспособността на болницата да осигури конфиденциалност и интегритет на данните в информационните й системи. Размерът на глобата е 100 хил. евро.

Според Comissão Nacional de Protecção de Dados (CNPD – португалският еквивалент на Комисията за защита на личните данни) са налице множество нарушения на процедурите за работа с лични данни. Така например липсва документ, който урежда създаването на нови потребители в информационната система на болницата.

Също така лекарите – независимо от тяхната специалност – са можели свободно да разглеждат личните данни на всички пациенти.

Нещо повече – в системата фигурират почти 1000 души с профил „лекар“. Но официално на отчет в болницата се водят едва… 296 лекари.

Това е един от първите случаи в Европа на глоби за неспазване на GDPR. През ноември германската компания Knuddels беше глобена с 20 хил. евро за нарушения съгласно директивата.

Бъг във Facebook е позволявал на външни разработчици да получат достъп до снимките на 6.8 млн. потребители на социалната мрежа. Става дума за снимки, до които външните разработчици обикновено нямат достъп: например публикации в Marketplace и дори непубликувани снимки.

„Проблемът вече е решен, но между 13 и 25 септември някои външни приложения са имали достъп до повече снимки от обикновено“, съобщават от Facebook. Според компанията уязвимостта е дала достъп на 1500 приложения до снимките на потребителите.

Какъв е проблемът

Обикновено приложенията, които искат достъп до снимките във Facebook, получават такъв само за албума Timeline (изображенията, които потребителите публикуват на стените си). Но бъгът е позволил на приложенията да получат достъп и до други снимки в профилите, като например публикуваните в Marketplace или Stories.

Според Facebook е било възможно да се получи достъп дори до снимки, които не са публикувани. Това са изображения, които потребителят не е успял да качи в профила си по една или друга причина – например спиране на достъпа до интернет.

Засегнат ли е профилът ви

Ако профилът ви е засегнат, Facebook ще ви изпрати предупреждение за това. Можете също така да проверите дали профилът ви е засегнат по някакъв начин на тази страница.

Поредната уязвимост

Това е поредната уязвимост, позволяваща изтичане на данни за потребители на Facebook. През септември социалната мрежа съобщи за проблем, който е позволил кражбата на лични данни на 29 млн. потребители. Авторите на атаката са злоупотребили с бъг във функцията View As, който позволява да получите достъп до информация в чужди профили.

През април Facebook закри функцията за търсене на потребители по имейл адрес или телефонен номер, след като разкри, че с нея се злоупотребява. Тогава съоснователят на Facebook Марк Закърбърг направи шокиращото предположение, че „ако функцията е била включена, данните ви в някакъв момент са попаднали в някого“. „Предвид мащабите на активността, която наблюдаваме, ние смятаме, че повечето потребители на Facebook са били застрашени от кражба на лични данни“, съобщи компанията в официално изявление.

Световният пазар на крадени данни генерира 160 млрд. долара годишно според оценка на експерта по компютърни престъпления Майк Макгуайър. В това число влизат както големи информационни масиви – например списъци с данните на клиенти – така и данните на индивидуални потребители.

На нелегалните пазари за данни се продава всичко: от лични съобщения във Facebook до данни за достъп до сървъри. В повечето случаи цените са много достъпни и позволяват кражба на самоличност и пробив в информационната сигурност на една организация срещу съвсем скромна инвестиция.

Ценни данни за жълти стотинки

Има случаи, в които данни за достъп до критично важни информационни системи се продават на поразително ниски цени. Изследователите на McAfee посочват пример, в който данните за достъп до устройство на територията на американско летище се продават за едва 10 долара. Става дума за достъп през RDP (Remote Desktop Protocol), като данните за влизане в устройството са били откраднати и пуснати за продажба в един от нелегалните онлайн пазари UAS Shop.

„Атака срещу определена мрежа може да се окаже изключително лесна и евтина. Престъпници като авторите на рансъмуера SamSam например трябва да похарчат само 10 долара. Срещу това те получават данни за достъп през RDP, с които могат да заразят устройството с рансъмуер и да искат откуп от порядъка на 40 хил. долара. Това не е никак лоша възвращаемост на инвестицията“, коментира Джон Фокър от McAfee.

Лични документи, разплащателни инструменти

Цената на фалшив американски паспорт с откраднати лични данни може да достигне 2000 долара по данни на Experian. Фалшива диплома може да се купи за между 100 и 400 долара, а шофьорска книжка – за около 20 долара. Между 20 и 200 долара струват крадени данни за достъп до платежна услуга като PayPal.

В нелегалните онлайн магазини могат да се намерят и големи масиви лични данни като имейл адреси, телефонни номера, физически адреси и други. Според Trend Micro цената на списък с мобилни номера може да струва до 1240 долара, а списък със стационарни номера – около 1930 долара.

Откраднати данни от Facebook

През ноември 2018 г. BBC съобщи за данни от 81 хил. хакнати Facebook профили, които се продават в интернет. Данните са предимно лични съобщения между потребители. Допълнителна проверка установи и данни от 176 хил. профили като например имейли и телефонни номера.

През септември 2018 г. данните на 29 млн. потребители на Facebook бяха откраднати след атака срещу социалната мрежа. Откраднатите данни включват имена, телефонни номера, имейл адреси, пол, религия, местоживеене, рожденна дата, образование, месторабота, места, на които потребителят се е тагнал и други.

Как да се предпазите от кражба на лични данни

Няма пълна защита от кражбата на лични данни, но има мерки, които можете да предприемете, за да намалите рисковете.

• Научете се да разпознавате и предпазвате от фишинг
• Използвайте силни пароли и ги сменяйте често
• Използвайте двуфакторна автентикация
• Инсталирайте защитна стена;
• Използвайте софтуерно решение, което защитава от източване на лични данни;
• Не използвайте уебсайтове без SSL;
• Създайте политики за достъп до информация във вашата организация;
• Използвайте софтуерно решение за криптиране на данните;

През първото деветмесечие на 2018 г. Alphabet, компанията-майка на Google, е генерирала 97 млрд. долара приходи. От тях 83.7 млрд. долара(или 86% от общия оборот) идват от реклама.

За да поддържа този гигантски поток от пари, Google има нужда от възможно най-много потребителски данни. Търсачката и свързаните с нея услуги има обширно досие за дигиталната самоличност на потребителите си: какво търсят, какви места са посещавали, какви покупки са направили, какви клипове в Youtube са гледали, какво е здравословното им състояние (ако използват Google Fit), албумите им със снимки и много друга информация.

Този масив от данни позволява на компанията да таргетира реклами в зависимост от интересите и необходимостите на потребителите, превръщайки се по този начин в ефективен маркетингов канал.

Как да видите с какви данни за вас разполага Google

Съгласно GDPR можете да видите на тази страница какви данни за вас пази Google, както и да поискате копие от тези данни. Имате възможност да избирате дали да свалите данни, събрани от всички продукти на Google, или само някои от тях.

След като направите избора си, потвърдете го с Next.

Следващата стъпка е да изберете в какъв формат да е файлът с вашите данни. Можете да избирате между два архивни формата: .zip и .tgz. Ще трябва да определите и какъв да е размерът на всеки архивен файл. Това е важно, ако съхранявате голям обем данни в продуктите на Google. Ако например размерът на вашите данни е 100 гигабайта, но изберете максимален размер на архивния файл от 2 гигабайта, данните ще бъдат разпределени в много архивни файлове с този размер.

Последната стъпка е да изберете как искате да получите вашите данни. Можете да получите линк за сваляне на имейл, или да ги получите на облачна услуга като Google Drive, Dropbox или OneDrive. Линкът за сваляне е активен една седмица, след като го получите.

След като сте приключили с всички настройки по създаването на архива, можете да го потвърдите с Create Archive.

Личните данни на около 100 млн. потребители на сайта за въпроси и отговори Quora са били компрометирани. Една от информационните системи на компанията, която поддържа сайта, е била пробита от неизвестна засега трета страна, съобщи Quora в блога си.

„Голяма част от съдържанието, което е достъпено, така или иначе е публично, но компрометирането на акаунти и лични данни е сериозно“, коментират от Quora. сайтът се посещава от около 300 млн. уникални потребители месечно. Няма официална статистика каква част от тях са българи.

Всички засегнати потребители ще трябва отново да влязат в профилите си в Quora. Ако удостоверяват самоличнотта си с парола (Quora позволява да се впишат в платформата и с профила си във Facebook или Google), те ще трябва да сменят паролата си, тъй като старата ще бъде невалидна.

Какви данни са откраднати

От компанията посочват, че следните потребителски данни може да са компрометирани:

• Данни за профила – име, имейл адрес, парола в хеширан вид, данни от свързани социални мрежи;
• Публично достъпна информация – зададени въпроси, написани отговори и коментари, положителни гласувания;
• Непублична информация – отрицателни гласувания и директни съобщения между потребители;

„Анонимни въпроси и отговори не са засегнати, тъй като не пазим данни за хора, които публикуват анонимно“, посочват от Quora.

Каква е причината

Засега няма информация как точно са достъпени данните на потребителите на Quora. Пробивът е открит в петък и от тогава компанията се опитва да установи точните причини за него. „Разследването ни продължава, но сме взели мерки, за да ограничим последствията от пробива. Основен приоритет за нас като компания е да предотвратим подобни инциденти в бъдеще“, казват от Quora.

Какво да направите, ако използвате Quora

Ако профилът ви е засегнат по някакъв начин, ще получите имейл, който ви известява за това.

Възможно е паролата ви административно да е направена невалидна. В такъв случай ще трябва да я смените следващия път, когато се опитате да влезете в Quora. Дори и паролата ви да не е невалидна, можете да я смените като превантивна мярка от настройките на профила.

Ако профилът ви е засегнат и използвате същата парола и за други профили, добрата практика изисква да промените паролата си и за тях.

Последен ъпдейт на 4 декември 2018 в 11:14 ч.

Oператорът на хотели Starwood е претърпял пробив на базата данни с резервации, съобщи собственикът Marriott International. Откраднати са лични данни на около 500 млн. гости, въпреки че все още се проверява каква част от тях се дублират.

Неизвестният засега извършител е имал достъп до базата данни от 2014 г., твърди Marriott International. Компанията придоби Starwood през 2016 г. На 19 ноември 2018 г. мениджмънтът на Marriott е разбрал, че е разбита базата данни, съдържаща информация за гостите на тези хотели.

Индикации за пробив е имало и преди това, но не е било ясна коя база данни е пострадала. За проблема са информирани властите и съответните регулатори.

Имена, адреси, номера на банкови карти

За около 327 млн. гости откраднатите данни са различни комбинации от име, адрес за кореспонденция, телефонен номер, имейл, номер на паспорт, рожденна дата, пол, дата на пристигане и заминаване и други.

„За някои от гостите информацията включва и номера на карти за разплащания, но те са криптирани с AES-128. За декриптирането им са необходими два компонента. Към този момент не можем да изключим вероятността тези компоненти да са откраднати. За останалите гости откраднаните данни се ограничават до име, адрес за кореспонденция, имейл адрес, или друга информация“, съобщават от Marriott.

„Дълбоко съжаляваме за този инцидент“, заяви Арни Сорънсън, главен изпълнителен директор на компанията. Акциите на Marriott, които се търгуват на NASDAQ, поевтиняха с 5% още преди отварянето на борсовата сесия в САЩ.

От 30 ноември компанията е започнала да информира за пробива гостите, чиито имейли са били в базата данни на Starwood. Съзаден е и специален сайт, на който гостите могат да следят за информация и да задават въпроси.

Един от сериозните инциденти на 2018 г.

Инцидентът със Starwood със сигурност ще е един от най-големите пробиви на данни за 2018 г., ако се вземе предвид статистиката на Breach Level Index. През първото полугодие на годината има само два по-мащабни пробива.

Единият е свързан с Facebook и по-точно с функционалност в социалната мрежа, която позволяваше да се идентифицира собственикът на определен имейл или телефонен номер. Другият засяга индийската система за раздаване на идентификационни номера Aadhaar. Тя беше хакната, а данните на 1.2 млрд. граждани – откраднати.

Последен ъпдейт на 28 ноември 2018 в 10:54 ч.

Чат платформата Knuddels е първата компания в Германия, глобена за неспазване на изискванията на евродирективата GDPR. Глобата е в размер на 20 хил. евро. Наложена е, защото 1.8 млн. потребителски имена и пароли на нейни потребители бяха публикувани в интернет.

Кражбата на лични данни се е случила през юли 2018 г., твърди BleepingComputer. Knuddels не е криптирала по никакъв начин данните за достъп до потребителските профили. Tе са били откраднати  от сървърите й и качени в Pastebin, където традционно се публикуват крадени лични данни. Публикувани са и в облачната услуга Mega. Освен 1.8 млн. имена и пароли са изтекли и малко над 800 хил. имейл адреси.

Knuddels е информирала потребителите си и местните регулатори за пробива. „Данни за достъп на наши потребители бяха публикувани в интернет. Нямаме данни за злоупотреба. Въпреки това временно деактивирахме всички профили, чиито данни са изтекли“, съобщава компанията в публикация в своя форум от началото на септември.

GDPR влезе в сила в края на май 2018 г. и предвижда глоби до 20 млн. евро или 4% от годишния оборот на компанията (взима се по-голямото от двете) за неспазване на изискванията на директивата. При определяне размера на глобата се вземат различни фактори като брой на засегнатите потребители, превантивни мерки и взаимодействие с регулаторните органи.