Tihi krivac iza većine izlaganja podataka

Kad ljudi zamisle curenje podataka, obično zamišljaju hakera s kapuljačom koji probija vatrozide ili postavlja ransomware na korporativnu mrežu. No, prema nedavnim sigurnosnim istraživanjima koja je istaknuo TechRadar, najveći izvor izloženih osobnih podataka uopće nije sofisticirani kriminalac. To je neispravno konfigurirana baza podataka, ostavljena otvorena na internetu od strane same organizacije koja ju je trebala zaštititi.

Razmjeri ovog problema nisu novi, ali i dalje ostaju zapanjujući. Krajem 2015. godine, sigurnosni istraživač Chris Vickery otkrio je bazu podataka s osobnim podacima 191 milijuna birača, 300 GB veliku arhivu koja je bila javno dostupna bez ikakve lozinke ili autentifikacije. Nitko nije provalio. Nije korišten zlonamjerni softver. Netko je jednostavno postavio bazu podataka bez odgovarajućih kontrola pristupa i ona je ostala izložena svakome tko je znao gdje tražiti.

Taj incident od prije deset godina ilustrira obrazac za koji sigurnosni istraživači kažu da nikada nije nestao: neispravno konfigurirane baze podataka i dalje su vodeća prijetnja sigurnosti podataka, često nadmašujući tradicionalne hakerske incidente po samoj količini izloženih zapisa.

Zašto loša konfiguracija nadmašuje hakiranje kao prijetnju

Možda se čini nelogičnim da jednostavna pogreška u postavljanju može izložiti više podataka od namjernih cyber napada, ali računica postaje jasna kad shvatite kako funkcionira moderna podatkovna infrastruktura. Tvrtke i vladine agencije sve više se oslanjaju na baze podataka u oblaku i spremnike za pohranu kako bi upravljale ogromnim količinama informacija. Postavljanje nove baze podataka traje nekoliko minuta. Ispravno konfiguriranje, s odgovarajućom autentifikacijom, mrežnim ograničenjima i enkripcijom, zahtijeva više vremena i stručnosti, i to je korak koji se često preskače ili zabrlja.

Za razliku od ciljanog hakiranja, koje obično zahtijeva trud, tehničku vještinu i plan za proboj u određenu metu, neispravno konfigurirana baza podataka često samo stoji tamo, indeksirana od strane tražilica ili alata za skeniranje, i čeka da je netko naiđe. Sigurnosni istraživači, novinari i, da, zlonamjerni akteri rutinski traže ove otvorene baze jer ne moraju zaobilaziti nikakvu obranu. Vrata su ostavljena širom otvorena.

To ne znači da tradicionalne povrede podataka i ransomware napadi nisu ozbiljne prijetnje. Incidenti poput Spirals ransomware napada na azijsku IT tvrtku pokazuju da odlučni prijeteći akteri nastavljaju iznuđivati organizacije putem ciljanih upada. A tvrdnje poput navodne krađe izvornog koda Accenture od strane hakera '888' dokazuju da je namjerna krađa osjetljivih korporativnih podataka i dalje aktivna briga. Ali u smislu sirove količine, tiha, slučajna izloženost uzrokovana loše osiguranom bazom podataka često zasjenjuje ono što bilo koja pojedinačna kampanja hakiranja može postići.

VPN-ovi i enkripcija nisu potpuno rješenje

Za čitatelje koji se oslanjaju na VPN da bi zaštitili svoju online aktivnost, vrijedno je razumjeti jednu tešku istinu: VPN štiti vašu vezu s internetom, ne i baze podataka koje tvrtke koriste za pohranu vaših informacija nakon što ste ih predali. Ako tvrtka kojoj vjerujete svoju e-mail adresu, telefonski broj ili podatke o plaćanju loše konfigurira svoje pozadinske sustave, nikakva količina osobne enkripcije s vaše strane neće spriječiti izlaganje tih podataka.

Zato su povrede koje uključuju pohranjene osobne podatke, poput incidenata koji su utjecali na visokoprofilirane sudionike Tribeca Film Festivala ili ponovno iskrsnulo Suno curenje koje je izložilo 55 milijuna e-mailova i Stripe podatke, toliko važne. Ovi incidenti pokazuju da nakon što vaši podaci napuste vaš uređaj i uđu u bazu podataka tvrtke, vaša privatnost u potpunosti ovisi o sigurnosnim praksama te organizacije, a ne o vašim vlastitim alatima.

Što ovo znači za vas

Kao potrošač, ne možete osobno revidirati konfiguracije baza podataka svake usluge koju koristite, ali možete donositi informiranije odluke. Tražite tvrtke koje su transparentne o svojim sigurnosnim praksama, koje imaju povijest brzog otkrivanja povreda i koje koriste enkripciju za podatke u mirovanju, ne samo za podatke u prijenosu. Pitajte se minimizira li usluga osobne podatke koje prikuplja. Što manje osjetljivih informacija tvrtka pohranjuje, to manje štete može uzrokovati neispravno konfigurirana baza podataka ako ikada bude izložena.

Također vrijedi zapamtiti da loše konfigurirane baze podataka utječu na organizacije svih veličina, od malih startupa do nacionalnih baza birača. Ovo nije problem ograničen na tvrtke sa slabim sigurnosnim budžetima; to je sistemski problem povezan s time koliko brzo se infrastruktura u oblaku postavlja u odnosu na to koliko se pažljivo osigurava.

Praktični savjeti

  • Koristite jedinstvene lozinke i omogućite višestruku provjeru autentičnosti gdje god je to moguće, kako jedna izložena baza podataka ne bi ugrozila više računa.
  • Pratite obavijesti o povredama i razmislite o korištenju usluga za praćenje povreda kako biste znali kada su vaši podaci izloženi.
  • Dajte prednost uslugama koje objavljuju jasne politike zadržavanja i sigurnosti podataka te koje minimiziraju osobne informacije koje prikupljaju.
  • Upamtite da VPN štiti vaš promet, a ne baze podataka u kojima su vaši pohranjeni podaci; zaštita podataka zahtijeva slojevit pristup.

Neispravno konfigurirane baze podataka vjerojatno će ostati vodeći uzrok velikih izlaganja podataka u doglednoj budućnosti, jednostavno zato što tempo usvajanja oblaka i dalje prestiže pažljivu konfiguraciju. Ostati informiran o tome kako i gdje se vaši podaci pohranjuju te zahtijevati odgovornost od usluga koje koristite, ostaje jedan od najpraktičnijih načina za smanjenje vašeg osobnog rizika.