Утечки данных

Согласно результатам опроса, проведенного InfoWatch, каждая четвертая российская компания не считает утечки данных серьезной угрозой: 21% участников опроса полагают, что это несущественная проблема, а 5% уверены, что это вовсе не проблема для компаний.

Как отмечают аналитики, компрометация конфиденциальных данных стала одной из главных угроз для бизнеса. Только за прошлый год зарегистрировано 656 утечек информации, в результате которых утекло более 1,1 млрд записей персональных данных и множество коммерческих секретов. Несмотря на огромные риски, которые несут случаи компрометации данных, далеко не всегда компании могут оценить реальный ущерб от инцидентов и объективно воспринимать их последствия. Отсутствие такого понимания мешает выстраивать эффективную систему защиты данных, что, в свою очередь, часто приводит к новым утечкам.

Персонал российских компаний хорошо осведомлен об утечках данных из своей организации – сотрудники 25% компаний подтвердили, что за последние три года в их организации происходили такие инциденты. Причем больше половины из них (54%) заявили, что за последние три года утечек было две или больше двух. Такой высокий уровень осведомленности сотрудников компаний еще раз подтверждает всю серьезность ситуации.

Важно отметить, что большинство участников все же осознают риски и считают проблему утечек информации серьезным вызовом. Из числа респондентов 53% ответили, что в последние три года эта проблема стоит довольно остро, еще 14% считают, что она стоит очень остро. При этом представители бизнеса (58%) сходятся во мнении, что утечки данных приводят к существенному ущербу – материальному, репутационному и т.д. В то же время 42% респондентов назвали такой ущерб ощутимым, а 16% – несущим угрозу существования компаниям.

По данным отчета «О значимых утечках данных в России» от команды Kaspersky Digital Footprint Intelligence, в 2023 году зафиксировано 133 случая публикаций значимых баз данных российских компаний. По сравнению с 2022 годом самих объявлений об утечках стало меньше, но объем опубликованных данных вырос на 33%.

Информация о паролях

Более половины (54%) опубликованных утечек содержали парольную информацию. Пароли хранятся в базах данных преимущественно в хешированном виде. Это значит, что обычный человек, получивший к ним доступ, не сможет ими воспользоваться, так как они представляют собой альтернативную комбинацию символов. Однако если алгоритм преобразования пользовательских паролей слабый, злоумышленник может вычислить исходную комбинацию, задействовав свои вычислительные мощности или обратившись к специализированным сервисам. В некоторых опубликованных базах злоумышленники целенаправленно удаляли столбцы, связанные с парольной информацией. Это может говорить о том, что они планируют либо продать такие данные, либо использовать их для проведения кибератак.

В кого целились злоумышленники

Большинство утечек, как и в 2022 году, фиксировалось в сегменте малого и среднего бизнеса, но более чем в 1,5 раза вырос объем данных, полученных в результате инцидентов в крупных компаниях.

Чаще всего размещенные на специализированных площадках сообщения указывали на утечки из организаций в сфере ретейла, финансов, карьеры и образования, а также из интернет-сервисов и ИТ-компаний. Наиболее значительный рост публичных инцидентов, связанных с утечками информации в 2023 году, произошел в сфере финансов и ИТ. Большая часть данных включает информацию о пользователях ресурсов и их историю заказов. Базы данных сотрудников в этом году публиковались реже.

В основном утечки свежие

Большинство скомпрометированных данных (71%), которые оказались в открытом доступе, датируются текущим годом. Соответственно, сами инциденты произошли недавно, а данные актуальны. Более половины (55%) изученных баз становились публичными в течение месяца после предполагаемой даты выгрузки из систем компании.

Где публикуют информацию

В отличие от 2022 года, когда основным каналом распространения публичных утечек были специализированные теневые форумы, в 2023-м им стал Telegram. Именно в этом сервисе было выявлено большинство (67%) всех объявлений. Предпосылок к тому, что ситуация изменится, в ближайшее время не предвидится, несмотря на периодические блокировки отдельных сообществ, связанных с киберпреступными группами.

Как отмечают аналитики, в 2023 году количество публично подтвержденных инцидентов уменьшилось, поскольку компании предпочитают занимать осторожную позицию либо полностью отрицать факт утечки. Тем не менее атаки, направленные на компрометацию пользовательских данных, происходят регулярно. Значительная часть утечек в 2023 году происходила в результате эксплуатации уязвимостей в системе разработки и управления сайтами. Злоумышленники могут использовать скомпрометированные учетные записи для получения доступа к корпоративным ресурсам компаний-жертв.

Сколько «весит» серьезная утечка

Самыми «дорогими» утечками, согласно результатам исследования, стали сведения, составляющие коммерческую тайну и ноу-хау (секреты производства), а также утечки персональных данных. Практически никто из респондентов, которые ответили, что оценивали понесенный ущерб, не назвал точные цифры. На просьбу указать сумму понесенного ущерба, большая часть (37%) сообщила, что не рассчитывала убытки, а 23% ответивших указали, что организация не понесла ущерба.

Ущерб оценивали, в основном, крупные и средние предприятия и финансовые организации. В тех структурах, где ущерб был подсчитан, в 14% случаев он составил свыше 1 млн руб. К таковым, например, можно отнести ошибку топ-менеджера из-за потери съемного носителя — произошла утечка информации, составлявшей коммерческую тайну, которая обошлась организации в «более 1 млн рублей».

К ущербу такого же масштаба приводили:

• ошибка сотрудника, который скопировал секреты производства на съемный носитель;
• умышленные действия подрядчика организации, в результате которых произошла утечка персональных данных, а также банковской и служебной тайны;
• умышленные действия сотрудника, в результате которых через корпоративную электронную почту произошла утечка коммерческой, служебной тайны и персональных данных.

К ущербу от 100 до 500 тыс. руб. в половине случаев также привели утечки персональных данных, зачастую одновременно с утечками коммерческой тайны.

Как отмечают аналитики, утечки информации ограниченного доступа несут для пострадавшей организации угрозу причинения различных видов ущерба — от материального до репутационного. В современной практике ИБ проблема оценки ущерба от утечек информации заключается в отсутствии проверенных и экономически обоснованных методик, которые позволили бы объективно и комплексно оценить ущерб и структуру понесенных затрат и подготовить оценку рисков ущерба и финансово-экономическое обоснование для создания и эксплуатации системы защиты от утечек информации. Но можно уверенно утверждать, что затраты на обнаружение и ликвидацию последствий утечки по вине внутреннего нарушителя обходятся дороже, чем комплекс реагирования на утечки в результате хакерских атак.

Что за границей?

Согласно последним данным из отчета «Cost of a Data Breach Report 2023», средний ущерб после утечки составил 4,5 млн долл., что на 15% больше, чем три года назад. При этом ущерб от утечки по вине внутреннего нарушителя выше — сумма потерь в таком случае составила 4,9 млн долл. В совместном отчете компаний Proofpoint и Ponemon Institute отмечается, что для пострадавшей организации на Западе средняя стоимость кражи учетных данных в результате действий внутреннего нарушителя составила 4,6 млн долл., а утечка из-за халатности работника (неумышленная) — 6,6 млн долл.

При этом ущерб от инцидентов ИБ может затрагивать не только отдельные организации, но и целые города. Так, недавно городской совет Далласа выделил из бюджета города 8,6 млн долл. на оплату услуг ИБ-компаний, участвовавших в восстановлении информационной инфраструктуры города после кибератаки. Используя программу-вымогатель, злоумышленники украли персональные данные 26 тыс. человек.

В то же время структура затрат, статьи финансового учета, размеры оплаты услуг и штрафов в США, Канаде, странах Евросоюза значительно отличаются от российских. Поэтому приводимые в зарубежных отчетах данные практически не соотносятся с российскими реалиями. В связи с этим InfoWatch разработала и зарегистрировала собственную методику сбора достоверной информации для оценки ущерба от утечки данных, которая частично использована в данном исследовании.

Что утекает и кто виноват?

Первую тройку «утекших» данных составили следующие категории: персональные данные (39%), коммерческая тайна (24%), служебная тайна (18%).

В подавляющем большинстве случаев (70%) утечка данных является следствием умышленных действий. Эти показатели соотносятся с выводами последних аналитических отчетов InfoWatch по утечкам в России, согласно которым последние годы отмечается рост доли утечек данных в результате умышленных нарушений. В 79% случаев утечек произошли по вине внутреннего нарушителя. В большинстве случаев к ущербу привела утечка данных через корпоративную электронную почту.

Почти половина утечек (46%) произошли через подключение корпоративной сети или ЦОД к сети Интернет, а также через корпоративную электронную почту. Далее по частоте инцидентов идут потеря и кража съемных носителей (14%). В 9% случаев утечка информации произошла через бумажные носители, информация также «утекала» вследствие нелегитимного использования мобильных устройств и через облачные сервисы.

Как выяснили специалисты InfoWatch, почти у половины организаций (47%) вообще отсутствует методика оценки ущерба от утечки информации. Наличие в организации такой методики и, одновременно, отсутствие у них за последние три года утечек позволяет предположить, что подобные организации имеют более высокий уровень зрелости информационной безопасности.

Трудно оценить иначе, как парадоксальный, факт, что подавляющее большинство организаций (71% опрошенных) не застрахованы от ущерба в случае утечки информации. Именно в большинстве из них за последние три года произошли утечки данных. Застрахованными оказались организации только из трех секторов — образование, банки и финансовые услуги, топливно-энергетический комплекс.

HFLabs опросила представителей 172 российских компаний, чтобы понять, как бизнес реагирует на произошедшие громкие утечки и планирует ли менять подходы к работе с персональными данными. 53% опрошенных сказали, что в их компании «утечки вероятны», а еще 9% сообщили, что они уже происходили. И только 37% респондентов полагают, что в их организации утечки данных клиентов не произойдут.

Число таких инцидентов в России выросло в первом полугодии 2022 года в восемь раз по сравнению с аналогичным периодом прошлого года. Так, по данным телеграм-канала «Утечки баз данных» в 2022 году в этот период произошли 33 «слива» персональных данных россиян – в открытом доступе оказались 167 млн строк с личными сведениями клиентов разных организаций.

Среди мер, которые компании предпринимают прямо сейчас для защиты сведений о клиентах, участники опроса чаще всего называли ограничение доступа сотрудников к персональным данным, внедрение ИТ-систем для защиты данных и ужесточение правил работы с данными. При этом почти 50% опрошенных сообщили, что их организации не планируют увеличивать бюджет на защиту персональных данных.

План действий на случай утечек имеют 10% компаний, еще 11% понимают его необходимость, но плана у них еще нет. Интересно, что в 2022 году значительно выросло количество утечек с ФИО, телефонами и адресами электронной почты россиян. А вот количество утечек с контактами из мессенджеров, хешами паролей, логинами и IP-адресами, напротив, сократилось.

Только 5% компаний из числа опрошенных HFLabs зафиксировали значительное количество обращений от клиентов после крупных утечек данных. Еще 15% респондентов сообщили о единичных потребителях, которые были обеспокоены сохранностью личных сведений.

Атаки на медицинские организации приобрели беспрецедентный размах еще в 2020 году. Сотни больниц оказались жертвами программ-вымогателей Maze и Ryuk. Компании превратились в мишени для независимых хакерских группировок и профессиональных команд. Цели злоумышленников были самые разные – от банального вымогательства до кражи результатов исследований COVID-19. Росла и инсайдерская угроза, которая, в сочетании с человеческими ошибками, стала причиной массовых утечек конфиденциальных данных.

Начало 2021 года показало, что уязвимость медицинских компаний остается высокой. Аналитики Varonis установили, что среднему сотруднику медицинской организации доступны более 11 млн файлов. Причем, чем меньше компания, тем меньше в ней ограничений на доступ к файлам. В небольших медицинских организациях рядовому работнику доступно 25% файлов. В крупных организациях этот показатель составляет уже 16%.

Глобальные группы доступа предоставляют широкие возможности по обмену информацией. В результате этого чувствительные данные быстро расползаются по инфраструктуре: их копируют, пересылают, изменяют и удаляют. Все это ведет к потере контроля над распространением важных сведений и превращает организацию в легкую добычу киберпреступников, которым достаточно завладеть всего одной учетной записью. После этого атака может беспрепятственно развиваться вплоть до получения полного контроля над инфраструктурой.

Отдельной проблемой является и присутствие в инфраструктуре организации фантомных учетных записей – неиспользуемых, но все еще активных. Они являются для хакера удобным способом незаметного перемещения по файловой структуре компании и доступа к критичным внутренним системам. По данным Varonis, в секторе здравоохранения 77% компаний используют аккаунты с бессрочными паролями, а у 79% организаций в системе активно свыше 1 тыс. «аккаунтов-призраков».

Результаты исследования Varonis показали, что жизненный цикл утечки в сфере здравоохранения – от совершения атаки до ее обнаружения и устранения последствий – составляет рекордные 329 дней. В 2020 году средний ущерб от утечки данных составил 7,13 млн долл., и по сравнению с 2019 годом он вырос на 10,5%.

Как показало исследование, проведенное направлением «Информационная безопасность» компании «Крок» по итогам 2020 года, основной причиной инцидентов безопасности стал человеческий фактор: работа целенаправленных и случайных инсайдеров. Общий ущерб от этих инцидентов, по оценке экспертов, превышает 3 млрд руб., а их количество возросло на 38% по сравнению с 2019 годом.

Возросшее число инсайдерских утечек в 2020 году эксперты связывают с пандемией и началом массовой удаленной работы. В этих условиях ИБ-периметр компаний ощутимо размылся, а подрядчики получили удаленный доступ к критичным данным и системам, зачастую без соблюдения требований политик и стандартов безопасности.

Важным стимулом для активизации инсайдеров стали значительные сокращения сотрудников в ряде компаний и резкое падение доходов. Влияние также оказало отсутствие контактов с коллегами, повысившее уязвимость работников к методам фишинга и социальной инженерии. На массовую удаленную работу наложились общие тенденции роста киберпреступности во всех сегментах: таргетированные и DDoS-атаки, вирусы-вымогатели и социальная инженерия.

Кроме того, частым источником утечек стали тестовые базы данных, вокруг которых разработчики и заказчики приложений не всегда выстраивают достаточную защиту, рассчитывая, что их данные не станут объектом интереса со стороны злоумышленников. Отсутствие маскирования данных и бесконтрольный доступ стали основной причиной инцидентов с текстовыми базами.

Основной объем утечек информации связан с персональными данными пользователей, мошенников интересует любая информация: ФИО, номера телефонов и банковских карт, паспортные данные, электронная почта. Все зависит от целей злоумышленников.

Лидером по числу утечек остается финансовый сектор. Однако, каждая третья пришлась на ретейл. Это связано с необходимостью быстрого перехода сервисов для взаимодействия с потребителями в онлайн без соответствующей подготовки систем информационной безопасности и внедрения практик Security Awareness среди сотрудников. Замечены практики кражи данных подарочных и бонусных карт.

Согласно результатам анализа, 61% утечек за 2020 год произошел по недосмотру, то есть, когда сотрудники безответственно отнеслись к защите и сохранению конфиденциальных данных, и они оказались в публичном доступе. Оставшиеся 39% утечек связаны с целевыми действиями, которые могут использовать различные методики: фотографирование экрана и скринкастинг, отправку фотографий через мессенджер, почту, облачные сервисы, копирование на внешние носители.

Независимо от источника утечек, как показал опрос, 65% компаний узнают об утекших данных только после появления их в публичном доступе либо на торговых площадках.

35% заявили о том, что контролируют свой информационный периметр благодаря созданным внутри Центрам информационной безопасности (Security Operations Center). SOC позволяет объединить разрозненные средства защиты, выстроить процессы обнаружения и реакции на инциденты, а также эффективнее использовать человеческий капитал. Отдельно отмечено положительное влияние внедренных алгоритмов машинного обучения и искусственного интеллекта.

По сравнению с 2019 годом количество утечек, появившихся в открытом доступе, в глобальном масштабе снизилось на 7,3%. Однако исследовании InfoWatch отмечается, что такое снижение, вероятнее всего, связано с влиянием пандемии, поэтому публичные сообщения об утечках «ушли» в серую зону и остались незамеченными. Маловероятно, что ситуация с утечками данных вдруг улучшилась.

Интересно, что по данным отчета процент утечек данных, произошедших по вине сотрудников пострадавших предприятий, в России сильно выше, чем по миру в целом – 82% (51% в мире). Думается, что этот показатель не говорит об отличиях России в сфере защиты данных, а лишь о толковании утечки. Дело в том, что во многих западных странах закон предусматривает обязательную публикацию факта утечки данных со стороны самой компании, допустившей утечку. Естественно, компании хотели бы представить это так, что в утечке виновны не они, а некие «сторонние хакеры». В России же такого требования нет.

Между тем, опыт показывает, что большинство краж данных происходит с использованием инсайдера, то есть внутреннего сотрудника, имеющего представление о том, как на предприятии организована безопасность. Случаи, когда всю информацию вытащили исключительно внешние злоумышленники, относительно редки.

Тем не менее, такие случаи встречаются. Например, летом 2020 года бюро кредитных историй Experian стало жертвой фишинговой атаки. Мошеннику, который выдавал себя за клиента компании, удалось обманным путем получить доступ к базе южно-африканского подразделения. Проникнув в хранилище компании, мужчина смог узнать персональные данные до 24 млн граждан ЮАР и сведения более 793 тыс. предприятий. Мошенник планировал использовать украденные данные в маркетинговых целях, но, к счастью, был вовремя остановлен.

В подавляющем большинстве случаев каналом компрометации конфиденциальной информации по-прежнему остается Сеть (почти 80%, в том числе, облачные хранилища – 23%). Это говорит о том, что доверять конфиденциальную информацию «облакам» не стоит. А уж если это необходимо, то информацию надо обязательно шифровать.

В России вторым по числу утечек каналом оказались мессенджеры. В мире этот канал только третий по частоте, а на втором остается электронная почта. Вероятно, это говорит о более частом использовании мессенджеров для делового общения и передаче информации в России по сравнению с общемировой практикой.

В 2019 году по вине внутренних нарушителей (рядовые сотрудники, руководители, системные администраторы) произошло 54% всех утечек, зарегистрированных экспертно-аналитическим центром InfoWatch. Это меньше чем в 2018 году, когда внутренние нарушители случайными или преднамеренными действиями спровоцировали 62% всех утечек. При этом объем скомпрометированных записей данных в результате внутренних нарушений вырос в 3,6 раза.

В расчете на одну утечку для внутренних нарушителей в среднем скомпрометировано 7,3 млн записей. Данный показатель фиксирует общее число скомпрометированных записей, относящихся к персональным данным и платежной информации. Эти типы данных характеризует высокая способность к формализации: они легко поддаются машинной обработке и, как следствие, утечки такой информации чаще выявляются средствами контроля. Значительный рост утекших записей во многом связан с неисполнением сотрудниками правил работы с охраняемыми данными или, что более вероятно, со стремлением ряда компаний максимизировать полезность корпоративных данных для их дальнейшего «обогащения», что порой предполагает доступ к данным со стороны длинной цепочки партнеров. Часто подобная практика оборачивается человеческими ошибками. Так, в 2019 году 58% случаев компрометации данных в компаниях и госорганах носили ненамеренный характер. При этом в результате внутренних утечек случайного характера утекло более 98% всех записей пользовательских данных (персональные и платежные данные).

Как отмечают аналитики, в том случае, когда утечка происходит по злому умыслу, объем похищенной информации (по числу записей) обычно оказывается сравнительно небольшим — только действительно ликвидные сведения, относящиеся, в том числе, к категории «коммерческая тайна». Стоит отметить, что умышленные утечки, составляющие коммерческую тайну, присутствуют во всех отраслях экономики, но чаще всего случаются в сфере ИТ, телекоммуникационных и промышленных компаниях. Не менее интересно распределение случайных утечек внутреннего характера – здесь впереди оказываются медицинские организации, где количество зафиксированных утечек стабильно растет уже много лет.

Стоит отметить, что 80% утечек коммерческой тайны, спровоцированных внутренними нарушителями, являются умышленными. В то же время утечки персональных данных в большинстве случаев (70%) носят непреднамеренный характер.

Авторы исследования обращают внимание на развитие тенденции роста различных видов утечек через сетевые каналы. В таких инцидентах практически нет ограничений по объему данных, которые могут быть скомпрометированы. Однако стоит отметить, что потенциально опасным является любой канал передачи информации, и даже небольшая утечка несет угрозу бизнеса – от репутационных потерь и снижения лояльности клиентов до штрафных санкций регуляторов и компенсаций по коллективным искам. Поэтому компания должна серьезно задуматься над обеспечением полноценной защиты корпоративных данных как от внешних, так и от внутренних угроз.

Организации часто открывают поставщикам и партнерам доступ к внутренней информации, чтобы те могли выполнять обязательства по контракту, но, конечно, это может привести к утечке. Подобный тип киберинцидента входит в топ-3 самых дорогостоящих: средняя сумма ущерба от него в мире составляет 2,57 млн долл. Вот почему многие организации устанавливают для третьих лиц правила работы с совместными ресурсами и данными, а также принимают меры на случай несоблюдения требований. Это позволяет чётко обозначить зону ответственности каждой из сторон. Такие политики внедрены в 79% компаний в мире.

Также исследование показало, что организации, в которых внедрены политики доступа к данным третьих лиц, в целом более внимательны к инцидентам, связанным с утечками, и тщательно анализируют их. Так, об утечках данных по вине поставщика сообщила почти каждая четвертая крупная компания (24%), в которой оговорены политики для третьих лиц. Только 9% из тех, где таких политик, так же внимательны.

Как показали результаты исследования, основными деструктивными действиями со стороны увольняющихся сотрудников являются: неправомерный доступ к информации (16%), модифицирование и уничтожение информации (10%), неправомерное копирование информации (86%), неправомерное предоставление и распространение информации (69%). При этом значительная часть увольняющихся сотрудников совершают не одно, а несколько нарушений.

В 2018 году 53% нарушителей решили воспользоваться ценной информацией работодателя уже фактически в ходе сбора вещей, зачастую в последний день работы в компании. Основным информационным активом, который уносили злоумышленники, стала коммерческая тайна. Рост интереса к данному типу конфиденциальной информации обусловлен не только новым витком конкуренции и торговых войн. Вообще, бизнес и СМИ по всему миру стали пристальнее рассматривать случаи промышленного шпионажа, конкурентной разведки и политически мотивированных атак на объекты с интеллектуальной собственности. Как следствие, компании больше ресурсов направляют на защиту коммерческих секретов.

По сравнению с 2017 годом, злоумышленники из числа увольняющихся сотрудников стали значительно чаще копировать конфиденциальные данные. Примерно две трети всех случаев привели к передаче корпоративных секретов конкурентам или распространению их среди других заинтересованных лиц. В то же время в 2018 году увольняющиеся реже проникали в хранилища информации нелегитимно. В основном нарушители использовали действительные права доступа, обращаясь к данным, которые можно быстрее всего забрать.

В 2018 году более серьезную опасность стали представлять привилегированные пользователи. Такая ситуация может свидетельствовать о том, что многие компании недостаточно внимания уделяют контролю доступа такой категории сотрудников. Стоит отметить, что в четырех из каждых пяти случаев основным мотивом для подобных нарушителей является корыстный умысел.

Аналитики InfoWatch пришли к выводу, что к сотрудникам, находящимся в процессе увольнения, должно быть приковано особое внимание служб безопасности. Если контроль за информационными ресурсами находится на низком уровне или вовсе отсутствует, то недобросовестный работник, уходя из компании, сможет унести немало ценных данных. В результате компании может быть причинен серьезный ущерб: здесь речь не только о прямых материальных потерях, но и о репутационном ущербе – он может иметь отложенные последствия, оказавшись очень болезненным, приведя к оттоку клиентов и ослаблению позиций в конкурентной борьбе.

Сегодня у компаний есть возможность с высокой точностью определить замысел сотрудника об увольнении. Современные системы предиктивной аналитики на основе изучения информационного поля сотрудника позволяют заблаговременно выявить аномалии в поведении, поставить такого сотрудника на особый контроль и тем самым предупредить возможные нарушения.