Тихий винуватець більшості випадків витоку даних

Коли люди уявляють витік даних, вони зазвичай малюють в уяві хакера в капюшоні, який проривається через брандмауери або запускає програми-вимагачі в корпоративній мережі. Але згідно з нещодавніми дослідженнями безпеки, які висвітлило видання TechRadar, найбільшим джерелом витоку персональних даних є зовсім не витончений злочинець. Це неправильно налаштована база даних, залишена відкритою в інтернеті тією самою організацією, яка мала її захищати.

Масштаб цієї проблеми не новий, але досі вражає. Ще наприкінці 2015 року дослідник безпеки Кріс Вікері виявив базу даних, що містила персональну інформацію 191 мільйона виборців – сховище обсягом 300 ГБ, яке було у відкритому доступі без жодного пароля чи аутентифікації. Ніхто не зламував систему. Жодне шкідливе ПЗ не було задіяне. Хтось просто розгорнув базу даних без належного контролю доступу, і вона залишалася відкритою для будь-кого, хто знав, куди дивитися.

Цей інцидент десятирічної давнини ілюструє закономірність, яка, за словами дослідників безпеки, нікуди не зникла: неправильно налаштовані бази даних залишаються головною загрозою для безпеки даних, часто перевершуючи за обсягом витоку традиційні хакерські атаки.

Чому неправильне налаштування переважає злам як загрозу

Може здатися нелогічним, що звичайна помилка в налаштуванні може спричинити більший витік даних, ніж цілеспрямовані кібератаки, але математика набуває сенсу, коли розумієш, як працює сучасна інфраструктура даних. Компанії та державні установи дедалі більше покладаються на хмарні бази даних і сховища для управління величезними обсягами інформації. Створення нової бази даних займає лічені хвилини. Правильне її налаштування – з відповідною аутентифікацією, мережевими обмеженнями та шифруванням – потребує більше часу та знань, і саме цей крок часто пропускають або виконують неякісно.

На відміну від цілеспрямованого зламу, який зазвичай вимагає зусиль, технічних навичок і плану проникнення до конкретної цілі, неправильно налаштована база даних часто просто лежить там, проіндексована пошуковими системами або інструментами сканування, чекаючи, поки на неї хтось натрапить. Дослідники безпеки, журналісти і, так, зловмисники постійно шукають такі відкриті бази даних, бо їм не потрібно обходити жодних захисних механізмів. Двері були залишені навстіж.

Це не означає, що традиційні злами та атаки програм-вимагачів не є серйозними загрозами. Такі інциденти, як атака програми-вимагача Spirals на азійську IT-компанію, свідчать, що вмотивовані зловмисники й надалі вимагають гроші в організацій через цілеспрямовані вторгнення. А заяви, подібні до ймовірної крадіжки вихідного коду Accenture хакером «888», демонструють, що свідоме викрадення конфіденційних корпоративних даних залишається активною проблемою. Але з точки зору чисельності записів, тихий, випадковий витік, спричинений погано захищеною базою даних, часто затьмарює все, чого може досягти окрема хакерська кампанія.

VPN та шифрування не є повноцінним рішенням

Читачам, які покладаються на VPN для захисту своєї онлайн-активності, важливо зрозуміти жорстоку правду: VPN захищає ваше з'єднання з інтернетом, а не бази даних, у яких компанії зберігають вашу інформацію після того, як ви їм її передали. Якщо компанія, якій ви довірили свою електронну адресу, номер телефону або платіжні дані, неправильно налаштовує свої внутрішні системи, жодна персональна криптографія з вашого боку не завадить витоку цих даних.

Саме тому витоки зі збереженими персональними даними, як-от інциденти, що торкнулися відомих учасників кінофестивалю Tribeca або повторний витік Suno, що розкрив 55 мільйонів електронних адрес та дані Stripe, мають таке велике значення. Ці випадки показують, що як тільки ваші дані залишають ваш пристрій і потрапляють до бази даних компанії, ваша приватність повністю залежить від безпекових практик цієї організації, а не від ваших власних інструментів.

Що це означає для вас

Як споживач, ви не можете особисто перевірити налаштування баз даних кожного сервісу, яким користуєтесь, але можете приймати більш усвідомлені рішення. Звертайте увагу на компанії, які прозоро описують свої практики безпеки, мають досвід швидкого повідомлення про витоки та використовують шифрування для даних у стані спокою, а не лише під час передачі. Запитуйте, чи мінімізує сервіс обсяг зібраних персональних даних. Що менше чутливої інформації зберігає компанія, то меншої шкоди може завдати неправильно налаштована база даних у разі витоку.

Також варто пам'ятати, що неправильно налаштовані бази даних зачіпають організації будь-якого розміру – від маленьких стартапів до національних баз даних виборців. Це проблема, не обмежена компаніями зі слабкими бюджетами на безпеку; це системна проблема, пов'язана з тим, наскільки швидко розгортається хмарна інфраструктура і наскільки ретельно вона захищається.

Практичні висновки

  • Використовуйте унікальні паролі та вмикайте багатофакторну аутентифікацію всюди, де це можливо, щоб одна скомпрометована база даних не відкрила доступ до кількох облікових записів.
  • Стежте за сповіщеннями про витоки та розгляньте можливість використання сервісів відстеження витоків, щоб знати, коли ваші дані були розкриті.
  • Віддавайте перевагу сервісам, які публікують чіткі політики зберігання даних і безпеки та мінімізують обсяг зібраної персональної інформації.
  • Пам'ятайте, що VPN захищає ваш трафік, а не бази даних, у яких зберігається ваша інформація; захист даних потребує комплексного підходу.

Неправильно налаштовані бази даних, найімовірніше, залишатимуться головною причиною масштабних витоків даних у найближчому майбутньому просто тому, що темпи впровадження хмарних технологій випереджають ретельність налаштування. Залишатися поінформованим про те, як і де зберігаються ваші дані, та вимагати відповідальності від сервісів, якими ви користуєтесь, – один із найпрактичніших способів знизити ваш особистий ризик.