Регулятор захисту даних Сінгапуру оштрафував рітейлера Courts на S$178 000 після зламу, що торкнувся близько 1 мільйона клієнтів і працівників. Рішення щодо штрафу Courts за порушення даних у Сінгапурі вказує на деталь, яку команди з безпеки часто не помічають: зловмисник, найімовірніше, потрапив у систему через сервери, призначені підтримувати роботу бізнесу в разі відмови основних систем.

Ця справа є корисною нагадуванням про те, що найслабше місце компанії не завжди найпомітніше. Вона також дає практичні уроки для всіх, чиї дані зберігаються в базі даних рітейлера.

Як зловмисники потрапили через резервні сервери

Згідно з повідомленням The Straits Times, зловмисник, найімовірніше, зламав мережу Courts приблизно 21 вересня 2022 року. Точкою входу були не основні системи рітейлера. Це були сервери, призначені слугувати запасним варіантом у разі відмови цих основних систем.

Це важливо, тому що інфраструктура резервного копіювання та відновлення після збоїв зазвичай перебуває на периферії уваги. Вона може не отримувати того самого патчингу, моніторингу чи контролю доступу, що й продуктивні системи, проте часто містить копії тих самих чутливих даних і підключається до тієї самої внутрішньої мережі. Для зловмисника занедбаний резервний сервер може бути легшими дверима, ніж ретельно охоронюваний головний вхід.

Доступні для цієї історії вихідні матеріали короткі, тому такі деталі, як конкретна використана вразливість, тут не висвітлюються. Зрозумілою є схема: інфраструктура, створена для стійкості, може стати тягарем, якщо її не захищено за тим самим стандартом, що й усе інше.

Хто постраждав і які дані було розкрито

Згідно з повідомленням, злам торкнувся близько 1 мільйона клієнтів і працівників. Такий масштаб робить це значною справою в Сінгапурі, і він охоплює як людей, які купували в рітейлера, так і тих, хто в ньому працював.

Наявне в нас резюме не перелічує кожну категорію задіяних даних, тому ми не будемо будувати припущень. Як загальне правило, записи рітейлерів зазвичай містять контактні дані та інформацію про облікові записи, а записи працівників можуть містити додаткову особисту інформацію. Якщо ви колись були клієнтом або працівником Courts, найбезпечніший підхід — стежити за офіційними повідомленнями від компанії та з обережністю ставитися до будь-якого несподіваного повідомлення про ваш обліковий запис.

Це не перший випадок, коли Courts з’являється в правозастосовних записах Сінгапуру. Раніші результати пошуку показують штраф у розмірі S$9 000 від жовтня 2020 року за неспроможність захистити персональні дані. Новий штраф у розмірі S$178 000 є значно більшим, хоча наявний матеріал не дає повного розподілу того, як було визначено суму.

Що штраф говорить про очікування регулятора

Штраф було накладено за неспроможність запровадити розумні заходи безпеки для захисту персональних даних, згідно з опублікованим переліком рішень регулятора. Фраза «розумні заходи безпеки» є ключовим стандартом. Вона не вимагає досконалості, але очікує, що організації враховуватимуть усі системи, які містять персональні дані, а не лише очевидні.

Сінгапурська рамка передбачає значні штрафи. Правовий коментар, наведений у результатах пошуку, зазначає, що максимальний штраф за Законом про захист персональних даних становить S$1 мільйон або 10% річного обороту організації, залежно від того, що є більшим. Порівняно з цією стелею, S$178 000 є значно нижчим за максимум, але це все одно сигналізує, що регулятори діятимуть, коли прогалини в безпеці призводять до масштабного розкриття даних.

Регулятори в інших країнах діють за схожими принципами, часто з набагато більшими сумами. Для контексту того, як правозастосування відбувається в Європі, дивіться наш матеріал про штраф Dutch DPA у розмірі €825 млн проти Uber та поточну апеляцію до Верховного суду Ірландії щодо штрафу LinkedIn у розмірі €310 млн. Юрисдикції та суми різняться, але основне послання залишається незмінним: організації несуть відповідальність за захист даних, які вони збирають.

Що це означає для вас

Ви не можете провести аудит резервних серверів рітейлера. Однак ви можете обмежити шкоду, якщо ваші дані буде розкрито. Такі злами рідко закінчуються тоді, коли зникають заголовки. Викрадені персональні дані можуть знову з’явитися в фішингових кампаніях і спробах захоплення облікових записів ще довго після початкового інциденту.

Основні ризики, до яких варто підготуватися:

  • Цільовий фішинг: Повідомлення, які посилаються на реальні покупки або облікові записи, можуть виглядати переконливо.
  • Повторне використання облікових даних: Якщо ви використовували той самий пароль деінде, один злам може відкрити доступ до кількох облікових записів.
  • Видавання себе за інших: Розкриті контактні дані можуть використовуватися, щоб видавати себе за рітейлера або службу доставки.

Зауважте, що надійні засоби захисту облікових записів не є універсальними ліками. Наш звіт про те, як програма-вимагач D1R обійшла двофакторну автентифікацію в ARM, показує, що зловмисники адаптуються, тому поєднання кількох звичок працює краще, ніж покладання на одну.

Що робити після зламу даних рітейлера

  1. Змініть повторно використовувані паролі. Дайте кожному обліковому запису власний унікальний пароль, ідеально збережений у менеджері паролів.
  2. Увімкніть двофакторну автентифікацію. За можливості надавайте перевагу застосунку-автентифікатору або апаратному ключу над SMS.
  3. Ставтеся скептично до несподіваних повідомлень. Не переходьте за посиланнями в електронних листах чи текстах про замовлення, повернення коштів або проблеми з обліковим записом. Переходьте безпосередньо на офіційний сайт або в застосунок рітейлера.
  4. Перевіряйте офіційні повідомлення. Шукайте комунікацію від компанії або регулятора, а не покладайтеся на сторонні повідомлення.
  5. Стежте за своїми рахунками. Переглядайте банківські виписки та виписки за картками на предмет незнайомої активності й негайно повідомляйте про будь-що підозріле.

Головний висновок

Справа щодо штрафу Courts за порушення даних у Сінгапурі показує, що системи стійкості заслуговують на таку саму увагу до безпеки, як і продуктивні, і що регулятори очікують від організацій захисту кожної системи, яка містить персональні дані. Для окремих осіб практична реакція після будь-якого зламу рітейлера є тією самою: використовуйте унікальні паролі, увімкніть двофакторну автентифікацію та будьте пильними щодо фішингу. Для ширшого контексту того, як караються збої захисту даних, читайте наші матеріали про рішення щодо приватності в ЄС і Великій Британії за півріччя та штраф Dutch DPA проти Uber.