A legtöbb adatszivárgás csendes felelőse

Amikor adatszivárgásra gondolunk, általában egy csuklyás hackert képzelünk el, aki tűzfalakat tör át, vagy zsarolóvírust vet be egy vállalati hálózat ellen. A TechRadar által ismertetett legfrissebb biztonsági kutatások szerint azonban a legnagyobb mennyiségű személyes adat kiszivárgásának forrása egyáltalán nem egy kifinomult bűnöző. Hanem egy rosszul konfigurált adatbázis, amelyet épp az a szervezet hagyott nyitva az interneten, amelynek védenie kellett volna.

A probléma mértéke nem új, de továbbra is megdöbbentő. Még 2015 végén Chris Vickery biztonsági kutató egy 191 millió választó személyes adatait tartalmazó adatbázisra bukkant, egy 300 GB-os adathalmazra, amely nyilvánosan elérhető volt, minden jelszó és hitelesítés nélkül. Senki sem tört be. Semmilyen rosszindulatú szoftver nem játszott szerepet. Valaki egyszerűen megfelelő hozzáférés-szabályozás nélkül állított fel egy adatbázist, és az ott hevert elérhetően bárki számára, aki tudta, hol keresse.

Ez az egy évtizeddel ezelőtti eset egy olyan mintázatot szemléltet, amely a biztonsági kutatók szerint soha nem tűnt el igazán: a rosszul konfigurált adatbázisok továbbra is a legfőbb fenyegetést jelentik az adatbiztonságra, és puszta mennyiségüket tekintve gyakran felülmúlják a hagyományos hekkertámadásokat.

Miért előzi meg a hibás konfiguráció a hackelést fenyegetésként

Ellentmondásosnak tűnhet, hogy egy egyszerű beállítási hiba több adatot szivárogtathat ki, mint a célzott kibertámadások, de a matematika érthetővé válik, ha megértjük, hogyan működik a modern adatinfrastruktúra. A vállalatok és kormányzati szervek egyre inkább felhőalapú adatbázisokra és tárolóhelyekre támaszkodnak a hatalmas információmennyiség kezeléséhez. Egy új adatbázis percek alatt létrehozható. A megfelelő hitelesítéssel, hálózati korlátozásokkal és titkosítással való helyes konfigurálása viszont több időt és szaktudást igényel, és ez az a lépés, amit gyakran kihagynak vagy elrontanak.

Egy célzott támadással szemben, amely általában erőfeszítést, technikai jártasságot és tervet igényel egy adott cél feltöréséhez, egy rosszul beállított adatbázis gyakran csak úgy ott van, keresőmotorok vagy vizsgálóeszközök által indexelve, arra várva, hogy véletlenül rábukkanjanak. Biztonsági kutatók, újságírók és – igen – rosszindulatú szereplők is rendszeresen keresik ezeket a nyitott adatbázisokat, mert semmiféle védekezést nem kell megkerülniük. Az ajtó tárva-nyitva maradt.

Ez nem jelenti azt, hogy a hagyományos adatszivárgások és zsarolóvírus-támadások ne lennének súlyos fenyegetések. Az olyan esetek, mint a Spirals zsarolóvírus-támadás egy ázsiai IT-cég ellen, azt mutatják, hogy az elszánt támadók továbbra is zsarolnak ki szervezeteket célzott behatolások révén. Az olyan állítások, mint a feltételezett Accenture forráskód-lopás a '888' nevű hacker által, pedig azt bizonyítják, hogy a bizalmas vállalati adatok szándékos ellopása továbbra is élő veszélyt jelent. De a puszta mennyiséget tekintve a rosszul védett adatbázisok okozta csendes, véletlen adatszivárgás gyakran felülmúlja mindazt, amit egyetlen hackerkampány elérhet.

A VPN és a titkosítás nem teljes megoldás

Azoknak az olvasóknak, akik VPN-re támaszkodnak online tevékenységük védelmében, érdemes megérteniük egy kellemetlen igazságot: a VPN az internetkapcsolatukat védi, nem azokat az adatbázisokat, amelyekben a vállalatok az átadott információikat tárolják. Ha egy cég, amelyre rábízza az e-mail-címét, telefonszámát vagy fizetési adatait, rosszul konfigurálja a háttérrendszereit, semmilyen személyes titkosítás az Ön oldalán nem akadályozza meg az adatok kiszivárgását.

Éppen ezért számítanak annyira azok a jogsértések, amelyek tárolt személyes adatokat érintenek, mint például azok az esetek, amelyek a Tribeca Filmfesztivál magas rangú résztvevőit vagy az újra felszínre került Suno-adatszivárgás érintették, amely 55 millió e-mail-címet és Stripe-adatokat tárt fel. Ezek az esetek azt mutatják, hogy amint az adatai elhagyják az eszközét és bekerülnek egy vállalat adatbázisába, a magánélete teljes mértékben az adott szervezet biztonsági gyakorlatától függ, nem a saját eszközeitől.

Mit jelent ez Önnek

Fogyasztóként nem auditálhatja személyesen minden használt szolgáltatás adatbázis-konfigurációját, de megalapozottabb döntéseket hozhat. Olyan vállalatokat keressen, amelyek átláthatóan kommunikálnak biztonsági gyakorlatukról, amelyek múltjában a gyors jogsértés-bejelentés szerepel, és amelyek nemcsak a továbbítás, hanem a tárolt adatokat is titkosítják. Kérdezze meg, hogy a szolgáltatás eleve minimalizálja-e a gyűjtött személyes adatok mennyiségét. Minél kevesebb érzékeny információt tárol egy vállalat, annál kisebb kárt okozhat egy esetlegesen rosszul konfigurált adatbázis.

Azt is érdemes észben tartani, hogy a hibásan beállított adatbázisok minden méretű szervezetet érintenek, a kis startupoktól az országos választói névjegyzékekig. Ez nem csupán a gyenge biztonsági költségvetésű cégek problémája; ez egy rendszerszintű gond, amely ahhoz kapcsolódik, milyen gyorsan telepítik a felhőalapú infrastruktúrát ahhoz képest, milyen gondosan biztosítják azt.

Hasznosítható tanulságok

  • Használjon egyedi jelszavakat, és kapcsolja be a többtényezős hitelesítést, ahol csak lehet, hogy egyetlen kiszivárgott adatbázis ne veszélyeztessen több fiókot is.
  • Figyelje az adatszivárgásokkal kapcsolatos értesítéseket, és fontolja meg adatszivárgást követő szolgáltatások használatát, hogy tudja, mikor kerültek nyilvánosságra az adatai.
  • Részesítse előnyben azokat a szolgáltatásokat, amelyek egyértelmű adatmegőrzési és biztonsági irányelveket tesznek közzé, és amelyek minimalizálják a gyűjtött személyes információkat.
  • Ne feledje, hogy a VPN a forgalmát védi, nem a tárolt adatait tároló adatbázisokat; az adatvédelem többrétegű megközelítést igényel.

A rosszul konfigurált adatbázisok valószínűleg a belátható jövőben is a nagyszabású adatszivárgások vezető okai maradnak egyszerűen azért, mert a felhőbevezetés üteme folyamatosan gyorsabb, mint a gondos beállítás. Az egyik legpraktikusabb módja a személyes kockázat csökkentésének továbbra is az, ha tájékozódunk arról, hogyan és hol tárolják adatainkat, és számonkérjük az általunk használt szolgáltatásokat.