Данные растеклись по России

13.04.2015 |

За 2014 г. суммарный ущерб российских компаний от утечек конфиденциальной информации составил менее $200 млн. Всего за прошлый год в РФ компанией Zecurion зафиксирован 41 случай утечек данных, половина из которых пришлось на электронную почту.

Как уточнил репортеру ComNews руководитель аналитического центра Zecurion Владимир Ульянов, удельный ущерб в России от каждого инцидента ($820 тыс.) значительно меньше, чем в среднем в мире ($25,29 млн), что объясняется рядом обстоятельств.

"Прежде всего, в России не известно о таких масштабных инцидентах, как, например, в сети Target, когда счёт пострадавших идёт на десятки миллионов. Кроме того, в России нет обязательных процедур, требующих уведомления пострадавших об утечке, да и в целом уровень терпимости к разглашению собственных персональных данных значительно выше", - пояснил Владимир Ульянов.

Из самых известных инцидентов, связанных с утечкой персональных данных, за 2014 г. Zecurion приводит пример с почтовыми сервисами. Так осенью прошлого года в открытом доступе появились базы миллионов пользователей "Яндекс.Почта", Mail.ru и Gmail.

Тогда речь не шла о взломе инфраструктуры "Яндекса", данные стали известны злоумышленникам в результате фишинга или вирусной активности на заражённых компьютерах некоторых пользователей, сказал репортеру ComNews представитель интернет-компании. По его словам, это была не целенаправленная атака, а результат сбора скомпрометированных аккаунтов в течение длительного периода времени.

"Количество скомпрометированных аккаунтов за прошлый год не превышает показатели предыдущих лет. Просто впервые эти данные были опубликованы единомоментно и открыто для аудитории - обычно обмен подобными "базами паролей" проводится между заинтересованными лицами более скрытно, - отметил представитель "Яндекса". - О 85% скомпрометированных аккаунтов из этой базы нам уже было известно: большинство из них уже несколько лет появляются в подобных списках. Мы предупреждали их владельцев и предлагали сменить пароль, но они этого не сделали. Это означает, что такие аккаунты либо заброшены, либо создавались роботами".

По его словам, с точки зрения безопасности инфраструктуры "Яндекса", почтовая переписка и аккаунты защищаются множеством способов (технологии защиты пользовательских данных, аутентификации пользователя на этапе авторизации и во время его работы с почтой, шифрование исходящей и входящей почты и т.д.).

По словам заместителя вице-президента Mail.Ru Group по стратегическим продуктам Алексея Сергеева, в компании тоже используется многоуровневая, комплексная система защиты данных, в которой учитывается масса различных факторов. "Мы реагируем на каждый случай появления в открытых источниках каких-либо данных, связанных с нашими пользователями, и проводим тщательное расследование каждого такого эпизода. Ни в одном из случаев, которые мы расследовали за последние несколько лет, не было зафиксировано факта утечки внутри компании. Соответственно, говорить о какой-либо динамике мы не можем", - отметил в беседе с ComNews Алексей Сергеев.

По данным Zecurion, самыми популярными каналами утечек конфиденциальных данных в прошлом году стали такие информационные накопители, как электронная почта (с попытками передать информацию по этому каналу сталкиваются 53% компаний), USB-флешки (45%) и интернет-сервисы (32%). "Значительная часть утечек происходит по халатности сотрудников компаний, - отметил Владимир Ульянов. - В то же время такие распространённые за рубежом случаи как кража ноутбука с конфиденциальными данными или утеря незашифрованной флешки практически не встречаются".

Ситуация, связанная с утечкой конфиденциальной информации, в дальнейшем, к сожалению, будет лишь усугубляться в РФ, сказал Владимир Ульянов. "В прошлом году аналитики Zecurion изучили мнение студентов вузов. Выяснилось, что большинство студентов намерено использовать корпоративную информацию в личных целях, и не считает преступлением кражу корпоративных секретов. Клиентские базы и прочие данные могут облегчить жизнь на новом рабочем месте. Процент лояльных сотрудников будет очень низок. А ведь сегодняшние студенты — это, по сути, основа кадрового резерва страны на ближайшие 25-30 лет", - резюмировал Владимир Ульянов.

По данным InfoWatch, за прошлый год по сравнению с аналогичным периодом 2013 г. количество утечек данных выросло на 73% и составило 167 случаев. С таким показателем утечек информации РФ продолжила занимать второе место после США (906 утечек за прошлый год). На третьем месте оказалась Великобритания (85 утечек).

Согласно данным совместного исследования "Лаборатории Касперского" и аналитической компании B2B International, владельцы бизнеса осведомлены, что хакерские атаки порой выполняются ради кражи конфиденциальных данных, однако их опасения не всегда совпадают с реальными целями злоумышленников. Так, хакеров больше всего интересует внутренняя операционная информация – за 2014 г. она была похищена в 56% случаев – а предприятия при этом сильнее всего переживают за клиентские базы, несмотря на то, что их утечка была отмечена только в 25% случаев. В тоже время, по словам представителя "Лаборатории Касперского", владельцы бизнеса недооценивают интерес злоумышленников не только к внутренней операционной информации, но также и персональным данным сотрудников – о них волнуются всего 6%, в то время как в реальности эти данные были украдены в 26% случаев.

"В остальном компании адекватно оценивают риски, а тот факт, что доля похищений некоторых типов информации снизилась по сравнению с прошлым годом, свидетельствует об эффективности принятых мер для защиты своих данных. Тем не менее, этого по-прежнему недостаточно, чтобы свести количество таких инцидентов к минимуму", - резюмировал представитель "Лаборатории Касперского".

Руководитель отдела технического и маркетингового сопровождения ESET Russia Алексей Оськин предполагает, что в нынешнем году количество утечек конфиденциальных данных и потери компаний от них будет только расти. Основным источником утечек, как и прежде, останется человеческий фактор – действия сотрудников компании, добавил он.

"На то есть ряд причин. Во-первых, сотрудники все чаще используют для работы личные устройства: ноутбуки, смартфоны, планшеты – тренд BYOD в действии. В большинстве случаев устройства не отвечают корпоративной политике безопасности, поскольку системные администраторы и специалисты по информационной безопасности не имеют к ним доступа. На этих устройствах может отсутствовать антивирусная защита, месяцами не обновляться программное обеспечение (ПО). Во-вторых, сотрудники компании могут копировать корпоративную информацию на внешние устройства и работать с ней на домашних компьютерах, имеющим аналогичные "дыры" в защите", - заметил в беседе с ComNews Алексей Оськин.

В-третьих, злоумышленники продолжают развивать методы социальной инженерии. Мошенники легко вводят в заблуждение сотрудников компании и получают доступ к конфиденциальным данным путем фишинга или загрузки на персональный компьютер вредоносного ПО, добавил Алексей Оськин. "Наконец, не стоит забывать о возможных злонамеренных действиях сотрудников. По данным опроса ESET Russia, до 38% российских пользователей хотя бы раз в карьере копировали, уничтожали или обнародовали конфиденциальные данные бывшего работодателя", - заключил Алексей Оськин.

Андрей Федосеев