Сингапурският регулатор за защита на данните глоби търговеца на дребно Courts с 178 000 сингапурски долара след breach, засегнал близо 1 милион клиенти и служители. Решението за глобата на Courts за breach на данни в Сингапур сочи детайл, който екипите по сигурност често пропускат: атакуващият най-вероятно е проникнал през сървъри, предназначени да поддържат бизнеса работещ, ако основните му системи откажат.

Случаят е полезно напомняне, че най-слабата точка на една компания не винаги е най-видимата. Той предлага и практични уроци за всеки, чиито данни се намират в база данни на търговец на дребно.

Как атакуващите са проникнали през резервни сървъри

Според репортажа на Straits Times атакуващият най-вероятно е проникнал в мрежата на Courts около 21 септември 2022 г. Точката на влизане не е била основните системи на търговеца. Това са били сървъри, предназначени да служат като резервен вариант, ако тези основни системи откажат.

Това е важно, защото инфраструктурата за резервни копия и възстановяване след бедствия обикновено стои на заден план. Тя може да не получава същото пачване, мониторинг или контрол на достъпа като производствените системи, но често съдържа копия на същите чувствителни данни и се свързва със същата вътрешна мрежа. За атакуващия пренебрегван резервен сървър може да бъде по-лесна врата от heavily watched front entrance.

Наличният изходен материал за тази история е кратък, така че подробности като конкретната използвана уязвимост не са разгледани тук. Ясно е обаче моделът: инфраструктура, проектирана за устойчивост, може да се превърне в уязвимост, когато не е защитена по същия стандарт като всичко останало.

Кой беше засегнат и какви данни бяха изложени

Breach-ът е засегнал близо 1 милион клиенти и служители, според репортажа. Този мащаб го прави значим случай в Сингапур и включва както хора, пазарували при търговеца, така и хора, работили за него.

Обобщението, с което разполагаме, не изброява всяка категория данни, включени в случая, затова няма да спекулираме. По принцип записите за търговия на дребно обикновено включват данни за контакт и информация за акаунта, а записите на служителите могат да включват допълнителна лична информация. Ако някога сте били клиент или служител на Courts, най-безопасният подход е да следите за официални уведомления от компанията и да се отнасяте с внимание към всяко неочаквано съобщение относно вашия акаунт.

Това не е първият път, в който Courts се появява в записите за прилагане на закона в Сингапур. По-ранни резултати от търсене показват глоба от 9 000 сингапурски долара от октомври 2020 г. за неспособност да защити лични данни. Новата глоба от 178 000 сингапурски долара е много по-голяма, въпреки че наличният материал не дава пълна разбивка как е определен размерът ѝ.

Какво казва глобата за очакванията на регулатора

Санкцията е наложена за неспособност да се въведат разумни мерки за сигурност за защита на личните данни, въз основа на публикувания списък с решения на регулатора. Фразата „разумни мерки за сигурност“ е ключовият стандарт. Тя не изисква съвършенство, но очаква организациите да отчитат всички системи, които съдържат лични данни, а не само очевидните.

Сингапурската рамка позволява значителни санкции. Правен коментар, цитиран в резултатите от търсене, отбелязва, че максималната глоба съгласно Закона за защита на личните данни е 1 милион сингапурски долара или 10% от годишния оборот на организацията, което е по-високо. Спрямо този таван 178 000 сингапурски долара е доста под максимума, но все пак сигнализира, че регулаторите ще действат, когато пропуски в сигурността доведат до излагане в голям мащаб.

Регулаторите другаде действат на подобни принципи, често с много по-големи числа. За контекст как се развива прилагането в Европа вижте нашето отразяване на глобата от €825 млн. на холандския DPA срещу Uber и продължаващото обжалване пред Върховния съд на Ирландия относно глобата от €310 млн. на LinkedIn. Юрисдикциите и сумите се различават, но основното послание е последователно: организациите носят отговорност за защитата на данните, които събират.

Какво означава това за вас

Не можете да одитирате резервните сървъри на търговец на дребно. Можете обаче да ограничите щетите, ако данните ви бъдат изложени. Breach-ове като този рядко приключват, когато заглавията изчезнат. Откраднатите лични данни могат да се появят отново в phishing кампании и опити за отвличане на акаунти дълго след първоначалния инцидент.

Основните рискове, за които да се подготвите, са:

  • Целенасочен phishing: Съобщения, които споменават реални покупки или акаунти, могат да изглеждат убедителни.
  • Повторно използване на идентификационни данни: Ако сте използвали същата парола другаде, един breach може да отключи няколко акаунта.
  • Имперсонация: Изложените данни за контакт могат да бъдат използвани, за да се представи някой като търговеца или куриерска услуга.

Имайте предвид, че силните защити на акаунта не са универсално решение. Нашият репортаж за това как ransomware D1R заобиколи двуфакторната автентикация в ARM показва, че атакуващите се адаптират, така че комбинирането на няколко навика работи по-добре от разчитането на един.

Какво да направите след breach на данни при търговец на дребно

  1. Сменете повторно използваните пароли. Дайте на всеки акаунт собствена уникална парола, идеално съхранявана в password manager.
  2. Включете двуфакторна автентикация. Предпочитайте authenticator приложение или хардуерен ключ пред SMS, където е възможно.
  3. Бъдете скептични към неочаквани съобщения. Не кликвайте върху връзки в имейли или текстови съобщения за поръчки, възстановявания или проблеми с акаунта. Отидете директно на официалния сайт или приложение на търговеца.
  4. Проверявайте официалните известия. Търсете комуникация от компанията или регулатора, вместо да разчитате на съобщения от трети страни.
  5. Наблюдавайте акаунтите си. Преглеждайте банковите и картовите извлечения за непозната активност и съобщавайте за всичко подозрително своевременно.

Изводът

Случаят с глобата на Courts за breach на данни в Сингапур показва, че системите за устойчивост заслужават същото внимание към сигурността като производствените, и че регулаторите очакват организациите да защитават всяка система, съдържаща лични данни. За индивидите практическата реакция е същата след всеки breach при търговец на дребно: използвайте уникални пароли, включете двуфакторна автентикация и бъдете бдителни към phishing. За по-широк контекст как се санкционират пропуски в защитата на данните прочетете нашето отразяване на присъдите за поверителност в ЕС и Обединеното кралство в средата на годината и глобата на холандския DPA срещу Uber.