Сингапурский регулятор по защите данных оштрафовал ритейлера Courts на 178 000 сингапурских долларов после утечки, затронувшей почти 1 миллион клиентов и сотрудников. Решение о штрафе для Courts за утечку данных в Сингапуре указывает на деталь, которую команды по безопасности часто упускают: злоумышленник, скорее всего, проник через серверы, предназначенные для поддержания работы бизнеса в случае отказа основных систем.

Этот случай — полезное напоминание о том, что самое слабое место компании не всегда самое заметное. Он также даёт практические уроки всем, чьи данные хранятся в базе ритейлера.

Как злоумышленники проникли через резервные серверы

Согласно сообщению Straits Times, злоумышленник, скорее всего, взломал сеть Courts примерно 21 сентября 2022 года. Точкой входа стали не основные системы ритейлера. Это были серверы, предназначенные для использования в качестве резервных в случае отказа основных систем.

Это важно, потому что инфраструктура резервного копирования и аварийного восстановления обычно находится на периферии внимания. Она может не получать того же патчинга, мониторинга или контроля доступа, что и производственные системы, но при этом часто хранит копии тех же конфиденциальных данных и подключена к той же внутренней сети. Для злоумышленника заброшенный резервный сервер может оказаться более лёгкой дверью, чем тщательно охраняемый главный вход.

Доступные исходные материалы для этой истории кратки, поэтому такие детали, как конкретная эксплуатированная уязвимость, здесь не рассматриваются. Ясна закономерность: инфраструктура, созданная для устойчивости, может стать уязвимостью, если она не защищена по тому же стандарту, что и всё остальное.

Кто пострадал и какие данные были раскрыты

Согласно отчёту, утечка затронула почти 1 миллион клиентов и сотрудников. Такой масштаб делает это значимым случаем в Сингапуре, и он охватывает как людей, покупавших у ритейлера, так и тех, кто в нём работал.

В имеющемся у нас резюме не перечислены все категории затронутых данных, поэтому мы не будем строить предположения. Как правило, розничные записи обычно включают контактные данные и информацию об учётных записях, а записи сотрудников могут содержать дополнительную личную информацию. Если вы когда-либо были клиентом или сотрудником Courts, самый безопасный подход — следить за официальными уведомлениями компании и с осторожностью относиться к любым неожиданным сообщениям о вашей учётной записи.

Это не первый раз, когда Courts фигурирует в правоприменительных документах Сингапура. Более ранние результаты поиска показывают штраф в размере 9 000 сингапурских долларов от октября 2020 года за неспособность защитить персональные данные. Новый штраф в размере 178 000 сингапурских долларов гораздо больше, хотя доступный материал не даёт полной разбивки того, как была определена сумма.

Что штраф говорит об ожиданиях регулятора

Штраф был наложен за неспособность внедрить разумные меры безопасности для защиты персональных данных, согласно опубликованному перечню решений регулятора. Формулировка «разумные меры безопасности» является ключевым стандартом. Она не требует совершенства, но ожидает, что организации будут учитывать все системы, хранящие персональные данные, а не только очевидные.

Сингапурская нормативная база допускает существенные штрафы. Юридические комментарии, цитируемые в результатах поиска, отмечают, что максимальный штраф в соответствии с Законом о защите персональных данных составляет 1 миллион сингапурских долларов или 10% годового оборота организации, в зависимости от того, что выше. На фоне этого потолка 178 000 сингапурских долларов значительно ниже максимума, но всё же сигнализирует о том, что регуляторы будут действовать, когда пробелы в безопасности приводят к масштабному раскрытию данных.

Регуляторы в других странах действуют по схожим принципам, часто с гораздо большими суммами. Для контекста о том, как правоприменение разворачивается в Европе, см. наш материал о штрафе голландского DPA в размере €825 млн против Uber и продолжающейся апелляции в Верховный суд Ирландии по штрафу LinkedIn в размере €310 млн. Юрисдикции и суммы различаются, но основное послание остаётся неизменным: организации несут ответственность за защиту данных, которые они собирают.

Что это значит для вас

Вы не можете провести аудит резервных серверов ритейлера. Однако вы можете ограничить ущерб, если ваши данные будут раскрыты. Подобные утечки редко заканчиваются тогда, когда заканчиваются заголовки. Украденные персональные данные могут всплыть в фишинговых кампаниях и попытках захвата учётных записей спустя долгое время после первоначального инцидента.

Основные риски, к которым нужно готовиться:

  • Целевой фишинг: Сообщения, ссылающиеся на реальные покупки или учётные записи, могут выглядеть убедительно.
  • Повторное использование учётных данных: Если вы использовали один и тот же пароль в других местах, одна утечка может открыть доступ к нескольким учётным записям.
  • Выдача себя за другое лицо: Раскрытые контактные данные могут использоваться для того, чтобы выдавать себя за ритейлера или службу доставки.

Обратите внимание, что надёжные меры защиты учётных записей не являются панацеей. Наш отчёт о том, как программа-вымогатель D1R обошла двухфакторную аутентификацию в ARM, показывает, что злоумышленники адаптируются, поэтому сочетание нескольких привычек работает лучше, чем reliance на одну.

Что делать после утечки данных ритейлера

  1. Смените повторно используемые пароли. Дайте каждой учётной записи свой уникальный пароль, в идеале хранящийся в менеджере паролей.
  2. Включите двухфакторную аутентификацию. По возможности предпочитайте приложение-аутентификатор или аппаратный ключ вместо SMS.
  3. Скептически относитесь к неожиданным сообщениям. Не переходите по ссылкам в электронных письмах или текстовых сообщениях о заказах, возвратах или проблемах с учётной записью. Переходите непосредственно на официальный сайт или в приложение ритейлера.
  4. Проверяйте официальные уведомления. Ищите сообщения от компании или регулятора, а не полагайтесь на сообщения третьих лиц.
  5. Следите за своими счетами. Проверяйте банковские выписки и выписки по картам на предмет незнакомой активности и своевременно сообщайте о любых подозрительных операциях.

Главный вывод

Случай со штрафом для Courts за утечку данных в Сингапуре показывает, что системы обеспечения устойчивости заслуживают такого же внимания к безопасности, как и производственные, и что регуляторы ожидают от организаций защиты каждой системы, хранящей персональные данные. Для частных лиц практическая реакция одинакова после любой утечки у ритейлера: используйте уникальные пароли, включайте двухфакторную аутентификацию и оставайтесь бдительными к фишингу. Для более широкого контекста о том, как наказываются нарушения защиты данных, читайте наш материал о промежуточных решениях по конфиденциальности в ЕС и Великобритании и о штрафе голландского DPA для Uber.