Поставяте кредитната си карта в често използвания от вас банкомат, за да изтеглите желаната сума. Избирате сума. Въвеждате ПИН код. За съжаление, на екрана се изписва съобщение, че не разполагате с достатъчно средства. Вие знаете със сигурност, че в сметката ви има достатъчно пари, но може би грешите…
Статистиката за 2007 г. показва, че броят на кражбите на лични данни, данни за кредитни и дебитни карти, а също и на конфиденциална служебна информация е нараснал значително. Новите похвати, използвани от хакери и фишъри, нанасят големи финансови и други загуби на бизнеса и частните лица.
Цифрите за пробиви в сигурността
и кражби на потребителски данни – от регистрационни данни на сайтове, имена и имейл адреси до цели бази данни на търговски вериги, банки и институции – определено са тревожни. Само за САЩ в периода от януари 2005 г. до началото на ноември 2007 г. са били компрометирани или откраднати лични данни на над 215 милиона физически и юридически лица.
Често става дума за чисто физическо открадване или загубване на цели компютри, сървъри, лаптопи, хард дискове, изнасяне на данни през имейл, CD и DVD, USB флаш памети, iPod и др., но при кражби на огромни количества данни, хакерите използват уязвимости в сървъри и мрежи, които не са били забелязани и отстранени от администраторите навреме.
Бързото нарастване на броя физически и юридически лица, използващи онлайн банкиране и различни Интернет услуги в България, неминуемо ще доведе до чести опити на хакери и престъпни групи да пробият в системите на всяка достъпна организация онлайн или офлайн. Това е само въпрос на време и новините от последния месец потвърждават тенденцията. Ето част от заглавията: “Бизнесмен от Враца стана жертва на виртуален банков обир”; “Над 50 българи ужилени от нова система за точене на банкови сметки”; “Парите ни в банките – лесна плячка за хакери”; “Троянски коне пробиват стотици компютри”….
Фрапиращи случаи на онлайн кражби
бяха изнесени в американската преса през 2007 г.. На 17 януари медиите съобщиха за откраднати лични данни на над 94 милиона клиенти. Атакувани са магазините TJ (TJX) в САЩ, Winners and HomeGoods в Канада и TKMaxx във Великобритания и Ирландия. Установено е, че хакери са имали достъп до системите още от 2003 г. Според открити следи, от магазина са били източени $8,000,000 по схемата за „карти-сертификати за подаръци“.
Скоро банковите асоциации на три щата започват процеси срещу TJX, които трябва да заплатят разходите за преиздаване на кредитни и дебитни карти на клиентите, което струва десетки милиони долари. През април 2007 г. се доказва, че тъй като TJX е използвал несигурни безжични връзки, не е имал инсталирани защитни стени и актуален софтуер за сигурност, крадците са можели безпрепятствено да събират данните, предавани от ръчни устройства и скенери в обектите на веригата. Заведени са още 21 процеса от американски и канадски банки във връзка с преиздаването на откраднати кредитни карти.
През юли 2007 г. американските тайни служби успяват да открият част откраднатите данни за кредитни карти (около 200,000), които трябва със сигурност да бъдат заменени. Сред крадците са кибер престъпници от Източна Европа и кубинци, живеещи във Флорида, САЩ. Разследването продължава.
На 19 май беше съобщено за откраднати данни за над 300,000 лиценза и кандидати. Атакуван е отделът за финансови и професионални регулации в Илиноис. Била е използвана уязвимост в компютърния сървър, като хакерите са си осигурили достъп до номера на социални осигуровки, данъчни номера, клиентски адреси за банкиране и адреси на недвижими имоти.
В началото на юли медиите съобщиха за откраднати 8,5 милиона лични данни на клиенти на Certegy Check Services, Inc. Служител в едно от подразделенията на компанията е откраднал клиентски данни, съдържащи информация за кредитни карти, банкови сметки и друга лична информация. По случая е заведен процес за небрежност при използване на данни.
Същия месец фирма в договорни отношения с Пентагона е изложила на опасност и твърде вероятно е допуснала кражба на 580,000 лични данни. Многократно е била изпращана некриптирана информация онлайн, съдържаща имена, адреси, рождени дати, номера за социално осигуряване и здравна информация за военния персонал и техните близки.
Пак през юли на уеб сървъра на FoxNews е открита уязвимост, която е позволявала извличането на лични данни на над 1,5 милиона регистрирани потребители. Дупката в сигурността е изложила на опасност в публичното пространство чувствителна информация, включваща данни за вход в сайта, имена, телефонни номера и имейл адреси.
На 23 август Monster обявява, че данните на около 1,6 милиона търсещи работа са били откраднати. Става въпрос за информация за имена, адреси, телефонни номера и имейл адреси. След една седмица хакери открадват още 146,000 записа от USAJOBS.gov, като използват системата за споделяне на данни на Monster.com.
В средата на септември е хакната една от базите данни на Ameritrade и е открадната контактна информация за повече от 6.3 милиона клиенти. Говорителят на базираната в Омаха компания е заявил, че са откраднати контактни данни, но изглежда, че чувствителната информация, съдържаща номера на социални осигуровки и сметки, не е била открадната. Клиенти на компанията са получавали спам вследствие на откраднатите имейл адреси.
На 4 октомви номера на социални осигуровки на около 450,000 лицензирани професионалисти са били пуснати в мрежата по невнимание от масачузетското подразделение за професионално лицензиране. Информацията била изпратена под формата на компютърни дискове до 23 агенции, които да използват данните за маркетингови и промоционални цели. Подобни дискове обикновено съдържали данни за имена и адреси, но този път, поради невнимание, включвали и номерата на социалните осигуровки.
Целите на хакерски атаки
и кражба на лична информация и банкови данни са различни: от местния супермаркет, използващ безжичен баркод четец и устройства за кредитни карти, през писмо, приканващо ви да промените банковите данни с прикачен троянски кон, до банковия клон, в който някой е подхвърлил „случайна“ картичка с прикрепена USB флаш памет, най-вероятно заразена с троянски кон или рууткит.
Много компании и частни лица погрешно предполагат, че след като имат закупен антивирусен софтуер, те са достатъчно защитени. Всъщност те не могат да бъдат по-далеч от истината. Антивирусният софтуер се справя само с една заплаха или само с един от възможните подходи за кражба и унищожаване на информация. За пълна компютърна и мрежова сигурност са необходими
допълнителни действия на активна и проактивна защита
Така например, постоянно трябва да се проследява потокът от данни, който влиза и излиза от организацията чрез крайните устройства (USB флашове, iPod, CD и др.) в компютърната мрежа. Задължително е бързо внедряване на последните кръпки на операционните системи и инсталираните продукти (patches), както и редовно подробно преглеждане и архивиране на файловете със събития (log файлове).
Достъпът на отделните потребители трябва да е ограничен само до нивото на секретност, отговарящо на позицията им в организацията. Необходимо е цялостно архивиране на данните, разположени на сървъри и работни станции, справяне с фишинга и спам писмата, ограничаване на достъпа до определени сайтове и ресурси в мрежата и пр.
Като се има предвид, че превенцията при защитата на данните във всяка една организация е много по-евтина от евентуалното открадване или загубване на лични и конфиденциални данни, обикновено сигурността би трябвало да бъде приоритет на ръководителите, собствениците или акционерите. Те са тези, които са най-заинтересовани от запазване на клиентите.
За съжаление, поради недостатъчна информираност или по други причини, това често не е така. Последиците при открадване на лични и фирмени данни са винаги неприятни и могат да бъдат костват огромна загуба на доверие към организацията, разходи за разследване и възстановяване на загуби на потребителите, промяна на идентификационни номера и потребителски имена и пароли и др.
Подценяването на компютърната и мрежова защита
в определена организация е не по-малко опасно от подценяването на физическата защита, осигурявана от хора-гардове и електронни системи за сигурност като камери, аларми или датчици за пожар. Проникването дори и на един хакер или зловреден код в компютърната мрежа може да бъде фатално за съхранените данни и секретните документи.
Внедряването на хардуер и софтуер с цел зашита и сигурност е инвестиция, която не само се изплаща многократно веднага и във времето, но спомага за запазване на доброто име на организацията пред клиентите и потребителите, докато държи хакерите и проблемите при бедствия и аварии настрана.
* Авторът на статията инж. Ивайло Тинчев е управител на „Бизнес Софтуер Дистрибутор“ ЕООД
* Статията е публикувана със съкращения. Заглавието е на редакцията.