Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Ransomware + wyciek danych z dużej polskiej firmy. Uderzyli w nocy.
Chodzi o hurtownię Ateneum. Firma już w 2017 roku miała przeszło 215 000 000 PLN przychodów a wymieniana jest m.in. jako jedna z prężniej działających firm w Polsce. W komunikacie czytamy:
W nocy 12 maja 2020 r. Ateneum sp. z o. o. sp. k. z siedzibą w Krakowie (dalej „Spółka”) padła ofiarą ataku hakerskiego na swoje serwery w zakresie, który umożliwiał dostęp do następujących danych: nazwa podmiotu, adres podmiotu, NIP podmiotu, REGON podmiotu, imię i nazwisko osób kontaktowych, numer telefonu, adres e-mail, numer rachunku bankowego oraz informacje nt. transakcji. Spółka cały czas bada, czy pozostałe dane Spółki nie zostały zaatakowane.
Co ciekawe, atak nie wygląda na „zwykły” wyciek danych, dalej mowa jest również o zaszyfrowaniu:
Dodatkowo podjęliśmy czynności zmierzające do odzyskania dostępu do oryginalnych danych zaszyfrowanych przez złośliwe oprogramowanie.
Cała akcja wpisuje się w obserwowany przez nas trend: ransomware szyfrujący dane, ale również je wykradający. Same backupy już nie wystarczą…
–ms
Jak rozumieć ostatnie stwierdzenie „same backupy już nie wystarczą…”? Jakie mogą być inne sposóby na zapewnienie ciągłości działania firmy?
Np. testowanie bezpieczeństwa swojej infry (pentesty) :)
Ale te pentesty w wiekszosci polegaja na odpaleniu Kali jechaniu z oklepanych w internecie tutoriali.
Też się zastanawiałem co autor miał na myśli. Zastanawiałem się, czemu niby backup nie dałby możliwości przywrócenia poprawności działania serwisu. Zrozumiałem, że autorowi chodziło o dążenie do nieprzerwanej ciągłości działania, przez niedopuszczenie do takich akcji, o jakich mowa w artykule.
W aktualnej sytuacji wymagany jest model backupu 3+1. Ten ostatni to powrót do taśmy i trzymany offline.
Backupy zrobione z myślą o problemach a nie o „robieniu backupów” to ta lepsza opcja ;-)
M.in. snapshoty offline i testowanie przywracalności całej firmy z backupu co jakiś czas. Można np. wybrać jakiś fragment danych i sprawdzać po zrobieniu regularnego backupu, czy ten fragment jest odtwarzalny jako weryfikację poprawności backupu.
Pentesty to fajna opcja, ale same pentesty to „tylko” znajdą luki w zabezpieczeniach.
Trzeba jeszcze wdrożyć zalecenia, zrobić retesty i… być gotowym, że atakujący znajdzie inne luki i i tak trafi.
Smutna prawda: nie da się w 100% zabezpieczyć, ale można podnieść koszt i złożoność ataku na tyle, że atakujący wybierze inny, łatwiejszy cel. Atakujący wybiera to, co jest najprostsze dla niego więc zrób tak, aby Twoje problemy z bezpieczeństwem były znacznie mniej poważne niż innych, wtedy atak na Ciebie się po prostu nie opłaci.
Warto mieć bezpieczeństwo wbudowane w procesy w firmie (HR, IT, FK, office…) – to ogranicza skutki ataków i zmniejsza ich ilość.
Backupy nie wystarczą przez to że po wykradzeniu danych, atakujący mogą żadać pieniędzy żeby nie ujawnić danych wykradzionych.
zarządzanie podatnościami, edukowanie pracowników… też się przydają