Duomenų apie tiesioginį renginį pažeidimas atskleidžia darbuotojų asmeninius ir finansinius duomenis

Praėjusią savaitę gyvų renginių ir koncertų įrangos gamintoja „TAIT Towers Manufacturing LLC“, dirbusi su tokiomis kaip Lady Gaga ir Taylor Swift, paskelbė vieną iš tų pareiškimų, kuriame ji turi paaiškinti, kaip labai rimtai vertina duomenų saugumą. Kaip tikriausiai daugelis iš jūsų žino, įmonės tai daro tik tada, kai jau patyrė duomenų pažeidimą.

Išpuolis iš tikrųjų įvyko maždaug prieš keturis mėnesius, vasario mėn., Tačiau bendrovė apie tai sužinojo tik balandžio 6 d. Sužinojusi apie pažeidimą, ji iškart pradėjo tyrimą, kuris vis dar tęsiasi. Nepaisant to, TAIT buvo malonus pasidalinti su mumis (ir žmonėmis, kuriuos tiesiogiai paveikė išpuolis), kas įvyko.

Piratai pakenkė TAIT serveriui ir darbuotojų el. Pašto abonementams

Vasario 16 d. Neįgaliota šalis sukompromitavo vieną iš TAIT serverių ir kai kurių įmonės darbuotojų el. Pašto paskyras. Įsilaužę įsilaužėliai gavo prieigą prie gana daug asmeninės informacijos apie TAIT darbuotojus, įskaitant vardus, fizinius ir el. Pašto adresus, gimimo datas, socialinio draudimo numerius ir finansinės sąskaitos numerius. TAIT uždarė pažeidimą, pasamdė kibernetinio saugumo bendrovę, kuri padėtų atlikti tyrimą, ir pradėjo dirbti įgyvendindama priemones, siekdama užtikrinti, kad panašūs incidentai neįvyktų ateityje.

Bendrovė tvirtai įsitikinusi, kad nematė jokių piktnaudžiavimo duomenimis įrodymų, tačiau norėdama užtikrinti saugumą, ji yra pasirengusi nemokamai suteikti nukentėjusiems darbuotojams tapatybės vagysčių apsaugos paslaugas. Pareiškime pateikiama daug informacijos apie tai, ką žmonės turi padaryti, kad pasinaudotų TAIT pasiūlymu.

Trūksta per daug dėlionės elementų

Kaip jau minėjome, tyrimas vis dar tęsiasi, o tai rodo, kad net TAIT dar neturi visiško vaizdo. Nepaisant to, praėjusios savaitės pranešime trūksta tiek informacijos, kad iškeltų klausimų skaičius viršija atsakytųjų skaičių.

Pvz., Nežinome, kiek el. Pašto abonementų buvo užpulta. Neturime informacijos apie nukentėjusių darbuotojų skaičių ir net nežinome, ar išpuolis buvo nukreiptas į žmones konkrečiame regione, ar jis paveikė TAIT biurus visame pasaulyje. TAIT IT sistemoms kompromituoti naudojami įsilaužėliai taip pat nežinomi, o tai reiškia, kad sunku pasakyti, kiek sudėtingesni yra priešininkai ir kokios blogos gali būti pasekmės. Tai nėra vienintelė problema.

Apie tą teiginį „mes labai rimtai žiūrime į saugumą“

Bendrovės dažnai yra kritikuojamos už tai, kad jos pateikė pranešimus apie duomenų pažeidimus, pateikdamos sakinį, kuris nėra labai geras įtikinant žmones, kad užpulta organizacija „labai rimtai vertina saugumą“. Šis teiginys iš tikrųjų neturi jokios vertės pranešimui, o kai kuriais atvejais atrodo visiškai tuščias.

Pavyzdžiui, žmonės, atsakingi už TAIT saugumą, pateikė tą patį tikslą, tačiau nesugebėjo užtikrinti, kad bendrovės svetainė pagal nutylėjimą būtų įkeliama naudojant HTTPS. Jie taip pat gąsdino savo įdiegta kelių veiksnių autentifikavimo sistema. Daugelio veiksnių autentifikavimas buvo vykdomas daugelį metų, ir jis pasirodė esąs paprasčiausias būdas užtikrinti geresnę duomenų apsaugą. Atsižvelgiant į duomenų, kuriuos tvarko TAIT, jautrumą ir apimtį, įmonė tikriausiai turėjo galvoti apie jų įgyvendinimą prieš kibernetinių nusikaltėlių ataką, o ne po jos.

Apskritai, TAIT pranešimas apie pažeidimą įrodo, kad pasakyti, kad rimtai žiūrite į saugumą, yra lengviau, nei iš tikrųjų tai padaryti.