Крупнейшая утечка данных о клиентах у них. А что нам?

Инцидент с глобальной утечкой персональных данных клиентов крупнейших компаний мира из почтовой системы компании Epsilon для России не стал значимым событием. Однако на него, на мой взгляд, стоит обратить внимание: похоже на то, что мир столкнулся с принципиально новой атакой на приватные данные. Очень коротко – суть события, информация о котором прошла 4 апреля.

Крупнейший в мире аутсорсер Epsilon, специализирующийся на электронной рассылке сообщений, отправляет в интересах своих клиентов более 40 миллиардов писем в год. Корпоративные клиенты Epsilon  – это более двух с половиной тысяч серьезных компаний, среди которых – U.S. Bank, JPMorgan Chase, Citibank, Visa, Capital One, McKinsey, Ritz-Carlton, Disney, Dell Australia и многие другие.

Взлом почтового сервера и хищение данных о клиентах неприятны сами по себе. Однако компания то ли не может установить масштаб инцидента, то ли старательно его скрывает, подчеркивая, что похищены только фамилии, имена и адреса электронной почты пользователей, что по ее мнению, не очень опасно. Такое поведение является весьма типичным -  по данным, полученным в исследовании McAfee, большинство компаний неохотно идут на расследование несанкционированных доступов в свои системы, опасаясь имиджевых потерь и просто элементарно экономя – качественное расследование стоит недешево. Каждая седьмая компания вообще не сообщала о проникновении злоумышленников в свою компьютерную сеть или об утечке информации, а о произошедшей утечке и понесенных убытках дает информацию только треть пострадавших. И это на западе, где законодательство значительно строже относится к попыткам скрыть негативную информацию, затрагивающую третьих лиц.

После кражи данных с сервера Epsilon большинство зарубежных экспертов в своих комментариях говорили о том, что сведения о принадлежности списков рассылки конкретным корпоративным клиентам значительно повышают шансы успешного фишинга – письма будут приходить от имени того банка или интернет-магазина, услугами которым получатель реально пользуется. Рик Фергюсон, директор Trend Micro по исследованиям в области безопасности и телекоммуникаций в регионе EMEA, советует клиентам пострадавших компаний внимательно относиться к электронным письмам в течение нескольких месяцев, а, может быть, даже и лет! Яркой иллюстрацией успешности целевого фишинга стал перевод в течение нескольких месяцев американским издательством Condé Nast оплаты за услуги типографии на подложный счет, который был изменен на основании простого электронного письма.

В прошедшую пятницу в сети появилась информация о том, что специалисты WebSense обнаружили на сайте Epsilon подмену веб-страниц. Пользователь, зашедший на сайт, при попытке проверить, была ли украдена его персональная информация, получает предложение загрузить специальную программку безопасности - Epsilon Secure Connect Tool, которая на самом деле является трояном. Еще раз подчеркиваю, все это происходит на официальном сайте пострадавшей ранее компании! Похоже, что атака является многоходовой, и на каждом последующем этапе будут использоваться результаты предыдущих.

Ситуацию существенно ухудшает стремительное повышение защищенности вредоносных программ. Обфускации (шифрованию) теперь подвергаются не просто имена функций, а целые блоки кода, при этом используются весьма стойкие алгоритмы шифрования, такие, как DES, а также механизмы управления электронными правами.

В этих условиях обычными средствами защиты распознать вредоносный код все сложнее и сложнее, а повсеместно применять реверсинг в пользовательских антивирусных программах и системах обнаружения вторжений дорого и сложно технически. В результате используемый направленными атаками вредоносный код не распознается средствами защиты и может работать на зараженной машине месяцами, а может быть, и годами. Чтобы не говорили производители антивирусов, но они пока не успевают за кибер-преступниками.

Мой сосед вчера поставил домашний компьютер на полную проверку. Антивирус в нем никогда не отключается, обновляется ежедневно, иногда даже – несколько раз в день. Нашел 17 вирусов и троянов. А сколько не нашел? И откуда они взялись? Вопросы риторические, ответ очевиден. Но крайне неприятен.

            Складывающаяся ситуация требует уже сегодня коренного изменения к безопасности систем, основанных, в первую очередь, на веб-технологиях. Разделение приложений и баз данных, вынос баз данных за дополнительные экраны, сплошное шифрование чувствительной информации – это уже не паранойя. Это реалии сегодняшнего дня для тех, кто действительно думает о защите информации.