£2.275.000 az eddigi legnagyobb bírság adatvesztésért

A FSA (Financial Services Authority) £2.275.000 értékű bírsággal sújtotta Zurich Insurance UK biztosító társaságot 46.000 ügyfél adatainak elvesztése miatt.

Az elveszett adatok közül megemlíthetjük a biztosított ügyfelek azonosítási adatain kívül, ezek bankszámláikról, hitelkártyáikról és biztosított javaikról való információkat. Az adatok egy nem titkosított back-up merevlemezen voltak tárolva, melyet a Zurich UK által alkalmazott Zurich Insurance Company South Africa Limited vesztett el.
A merevlemezt 2008 augusztusában vesztették el, de a Zurich UK csak 1 évvel később lett értesítve.
A FSA azért büntette a biztosító társaságot, mert a vállalat nem hozott megfelelő intézkedéseket a rendszerek biztonsága és az ügyfelek adatainak védelme érdekében outsourcing és adatvesztés esetén.
A FSA egyik tagja felhívja a pénzügyi cégek figyelmét, hogy részletesen elemezzék az incidenst és tanuljanak a Zurich UK esetéből.
Hasonló események bármikor előfordulhatnak, ha a személyes és bizalmas adatokat kezelő cégek nem hoznak megfelelő intézkedéseket adatlopás, adatvesztés vagy szivárgás megelőzésére. Az első intézkedés ilyen helyzetben az összes külső memórián tárolt adat titkosítása. Ezt követik a fejlettebb biztonsági megoldások, mint a hozzáférési szabályozások és a külső adathordozók ellenőrzése.
A vállalatok felelősek az ügyfelek adatainak biztonságáért, mely egyre fontosabbá válik napjainkban, amikor rengeteg csalás és visszaélés célpontjai vagyunk.

A biztonásgi szakértők aggodnak az okostelefonok használata miatt

A darkreading webolaldán megjelent cikk bizonyságot tesz arról, hogy a hordozható eszközök használata a hálózaton belül veszélyes lehet a vállalatra nézve.
Azok az alkalmazottak, akik modern hordozható eszközöket használnak, mint pl.  Andorid, Balckberry vagy iPhone okostelefonok, nem veszik figyelembe a hálózat biztonságát. A baj viszont az, hogy a biztonsági osztályok figyelme sem terjed ki ezen perifériák használatakor felmerült biztonsági résekre. Általában csak a hagyományos védelmi megoldásokkal foglalkoznak, a mobil szférát pedig elhanyagolják.
Az okostelefonok biztonságos használata nélkül biztonsági rések keletkezhetnek, nem feltétlenül az alkalmazottak rosszindulata, hanem ezek tudatlansága, figyelmetlensége miatt.
Egy okostelefon veszélyes fegyverré válhat a támadó kezében, mivel GPS-t, mikrofont és személyes adatokat tartalmaz, melyeket fel lehet használni a vállalat szigorúan bizalmas adataihoz való hozzáféréshez.
A rendszergazdák sokszor nem tudják, hogy az alkamazottak hordozható eszközöket csatlakoztatnak a vállalat informatikai hálózatához.
A kutatók szerint a hordozható eszközök biztonságos használata és menedzselése igazi kihívásként fogható fel.
A megoldás viszont nagyon egyszerű: Endpoint Protector!

Bebizonyosodott, hogy támadás érte az amerikai katonaság informatikai rendszert

Az Egyesült Államok katonai számítógépeit fenyegető legnagyobb biztonsági rés 2008-ban jött létre, amikor egy külföldi titkos ügynöknek sikerült pendrive-ot csatlakoztatni egy számítógéphez, ezzel megfertőzve a rendszer számítógépeit, többek között a Központi Parancsnokságon lévőket is, melyeket az iraki és afganisztáni harcok felügyeletére használtak.
“A pendrive-ot Közép-Keleten elhelyezkedő amerikai katonai bázisban lévő laptophoz csatlakoztatták, ahonnan az adatok át lettek irányítva egy idegen kezekben lévő szerverre”, mondta William J. Lynn 3., a védelmi minisztérium titkárhelyettese.
A fertőzést egy rosszindulatú program okozta, melynek célja a katonaság terveit ismeretlen ellenség kezébe juttatni. Bár a 2008-ban történt incidens megjelent a nemzetközi sajtóban, a hivatalos visszaigazolásra csak most került sor a William J. Lynn által írt cikkben, mely a Foreign Affairs legutóbbi kiadásában jelent meg.
Az esemény bekövetkezte után a Pentagon “Buckshot Yankee” nevezetű ellentámadásba kezdett és Lynn szerint ez az Egyesült Államok cyber-védelmi stratégiájánk egy alapvetően fontos pontja. Bár eredetileg a Védelmi Minisztérium betiltotta a hordozható eszközök használatát, a tilalmat később megváltoztatták.
Lynn rámutat arra, hogy a 15.000 hálózat és 7 millió számítástechnikai eszköz segítségével végbemenő katonai kummunikáció védelme nehéz feladat és “egy tucat programozó, ha egy biztonsági rést talál, képes hatni az Egyesült Államok globális logisztikai hálózatára, ellopni az operatív terveket vagy megakadályozni a fegyverek eljutását egyik pontból a másikba”.
A katonaság cyber-védelmi erőfeszítései egyetlen szervezetbe összpontosultak, US Cyber Command, melyet Keith Alexander tábornok vezetett. Ez a divizió viszont csak az államelnök parancsára lép működésbe, azonban a jelenlegi jogszabályok szerint a polgári rendszerek védelme a Honvédelmi Minisztérium feladatkörébe tartozik.
Az említett incidens bizonyítja, hogy a legbiztonságosabb számítógép-hálózatok is ki vannak téve a malware programokkal fertőzött hordozható eszközök fenyegetésének. A megoldás nem a végpontok és adatáramlás teljes letiltásában rejlik, hanem ezek ellenőrzött és biztonságos használatában.

80.000 bizalmas bejegyzést adott el a Match Services egyik alkalmazottja a fekete piacon

A a FIFA hivatalos ticketing partnerének, a Match Services, egyik alkalmazottja 80.000 ügyfél bizalmas adatát értékesítette a fekete piacon. Az eladott információk neveket, születési dátumokat és útlevélszámokat tartalmaztak. A bűncselekmény Svédország volt miniszterenlökét, a norvég Nemzeti Bank igazgatóját és Anja Pärson a svédek olimpiai és világbajnok alpesi sízőjét is érintheti.
A múlt héten bejelentett incidens vizsgálata már elkezdődött. Az adatokat még nem sikerült visszaszerezni.

Letartoztatták a Butterfly botnet alkotóját

Iserdo néven ismert 23 éves fiatalembert tartozttak le a hatóságok azzal a váddal, hogy ő hozta létre a Butterfly botnetet. Iserdot, aki szlovén állampolgár, Mariborban fogták el a hatóságok.
A Butterflyt az Interneten értékesítették 650$ és 2000$ közötti áron. Segítségével számos vírust és botnetet lehet fejleszteni, melyeket bizalmas adatok megszerzéséhez lehet használni. Számos pénzügyi és kormányzati intézmény, valamint több millió magántulajdonban levő cég esett áldozatul ennek a botnetnek.
Ahhoz, hogy felfedezzék a vezsélyes botnet alkotóját, a nemzetközi hatóságok és az FBI 2 céggel dolgozott együtt: Panda Security és  Defence Intelligence. Ezek csaknem 2 évig kellett tanulmányozzák a forráskódot, míg lényeges információkat tudtak adni az alkotóról.
Bíztató látni, ahogy a magánvállalatok törekszenek megfékezni a hackereket és a kiberbűnözést. Reméljük, hogy egyre több cég követi példájukat és felveszik a harcot a virtuális térben történő bűncselekményekkel.

Egy lopott laptop 24.000 brit állampolgár adatát veszélyezteti

Gondoltam, hogy a biztonsági réseket büntető bírságok növelése ösztönözni fogja a vállalatokat ügyfeleik bizalmas adatainak magasabb szintű védelmére. De a dolgok nem ilyen egyszerűek.
Nemrég, az A4 Training cégtől egy laptopot loptak el, mely 24.000 brit állampolgár személyes adatát tartalmazta. A laptopon lévő adatok nem voltak titkosítva.
A kereskedelmi társaság képvislői szerint az adatok nem tartalmaztak banki adatokat és illegális használatuk valószínűsége elég alacsony. Ugyanakkor a vállalat elnézést kért az incidensért és biztosította az érintett személyeket, hogy intézkedéseket fognak hozni adataik megvédése érdekében.
Eddigi ismereteink szerint az adatokat még nem sikerült visszaszerezni.

Mennyibe kerül egy banki adatvesztés?

Az amerikai Javelin Strategy & Research intézet által végzett tanulmány szerint, 2009-ben az adatszivárgások kb. 253 millió dolláros károkat eredményeztek a bankoknak.
Ez a pénz több mint 70 millió bankkártya cserélésére volt felhasználva, amiből  39 millió debit és 33,3 millió kredit kártya volt.
A tanulmány által feltárt másik fontos szempont, hogy az amerikai fogyasztók 26%-a kapott legalább egy értesítést valamilyen cégtől, személyes vagy banki adataik illetéktelen kezekbe való kerüléséről. Ezen személyek 11,5%-a később személyazonosságukkal való visszaélés áldozataivá váltak.
Olvasson többet az adatvesztésről és adatszivárgásról.

A Lincoln Egészségügyi központ 130.000 beteg adatát vesztette el

Újabb adatvesztés az Egyesült Államokban: A New York-i Lincoln Medical and Mental Health Center-ből 130.000 beteg személyes adata szivárgott ki. Az adatok neveket, címeket, társadalombiztosítási számokat, születési dátumokat és jogosítványszámokat tartamaztak. Úgy tűnik, hogy a bejegyzések néhány CD-n voltak tárolva és a FedEx-en keresztül lettek elküldve, de nem érkeztek meg a rendeltetési helyükre. Vizsgálatot indítottak az elvesztett CD-k miatt, de az adatokat nem sikerült visszaszerezni.

Az intézmény, mely a személyes adatok bejegyzésével foglalkozik nem fordít túl sok figyelmet az adatok bizalmas jellegére, bár ez komoly következményekkel járhat (pl. személyazonsság lopás).

A kórházakban, egészségügyi központokban vagy klinikákban történő adatvesztések elkerülése végett, a szakértők olyan szoftver használatát ajánlják, mely ellenőrzi a számítógép végpontjait és titkosítja a hordozható tárolóeszközökre másolt adatokat. Reméljük, hogy a Lincoln intézet IT biztonsági felelősei ezek után nagyobb figyelmet fognak szánni pácienseik adatainak védelmére.

Elveszett 7500 alkalmazott adata

Az Egyesült Államok Belügyminisztériumából eltűnt egy CD, ami 7500 alkalamazott személyes adatát tartalmazta. Az incidenst bejelentették, de az adatokat még nem szerezték vissza. Hamarosan elindítják a bírósági eljárást is.

Biztonsági rés az Apple-nél

Egy újabb biztonsági hibát fedeztek fel  a közelmúltban az Egyesült Államokban. Az Apple által piacra dobott utolsó hordozható eszköz, a híres iPad, miatt 114.000 személy e-mail címe került nyilvánosságra. Ezek a személyek akik üzletemeberek, katonaságban szolgálók vagy politikusok, most potenciális célpontokká váltak a hackerek vagy spammelők számára.
Úgy tűnik, hogy a résért az AT&T szolgáltató felelős, mely egy e-mail címet egy ID-t (azonosítót) kér a felhasználók hitelesítése érdekében. A címeket egy PHP szkript segítségével sikerült megszerezni az AT&T oldalról. A http alapú kérvény kitöltését követően a felhasználó kapott egy ID-t, de a szkript megjelenítette az e-mail címét is. Az azonosítók könnyen megszerezhetők az Internetről.
Az AT&T végül megoldotta a problémát, viszont az utóhatások csak ezután jönnek, mivel sokan még most sem értesültek a létező résről.

Az adatvesztésről bővebben a gawker.com oldalon lehet olvasni.