Сеть ресторанов заплатит 110 тыс. долл. за неспособность защитить информацию клиентов

Александр Панасенко 04 Апреля 2011 - 15:47

...

Бостонская сеть ресторанов, включающая марки "Ned Devine's", "Green Briar", "The Lenox" и другие, согласилась заплатить 110 000 долларов, дабы урегулировать в досудебном порядке иск по поводу брешей в безопасности и неспособности защитить персональные данные посетителей, сообщает аналитический центр InfoWatch. Иск в защиту неопределённого круга лиц подала прокурор штата Массачусетс Марта Коукли.

Было установлено, что на сервере фирмы с апреля по декабрь 2009 имелась вредоносная программа, открывавшая доступ для злоумышленников к данным о кредитных картах посетителей. Кроме того, оказалось, что все сотрудники фирмы имели доступ к данным о клиентах по одному несменяемому логину, по одному паролю. Не был закрыт удалённый доступ к серверу, не отключена беспроводная сеть.

Что особенно возмутило общественность - после официального обнаружения всех перечисленных дыр информационную систему продолжали использовать для обработки данных кредитных карт, не устраняя уязвимостей.

В сообщении не говорится, кому пошли уплаченные нарушителем деньги. Есть подозрение, что отнюдь не пострадавшим, не тем клиентам, данные которых оставались беззащитными долгое время. А на 110 тысяч долларов можно было бы провести аудит безопасности и устранить все уязвимости. Правда, нанять постоянного спеца, который бы следил за защитой – этих денег не хватит. Так что сеть ресторанов снова подвергнется искушению сэкономить на защите. Было бы логичней взыскать сумму, эквивалентную годовым затратам на полноценную безопасность. Тогда это могло бы побудить других нарушителей заняться наведением порядка в своих компьютерах.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Татьяна Никитина 17 Сентября 2021 - 18:32

Уязвимости сайтов Домашние пользователи Малый и средний бизнес

В Drupal устранили CSRF-уязвимости и обход ограничений на доступ

Разработчики Drupal выпустили обновления безопасности для веток 8.9, 9.1 и 9.2. В модулях ядра CMS-системы объявились пять уязвимостей; три из них грозят обходом ограничений по контенту на сайте, две — атакой CSRF (cross-site request forgery, подделка межсайтовых запросов).

Все новые проблемы признаны умеренно критичными; они получили от 10 до 14 баллов из 25 возможных по шкале CMSS. (На проекте используется система оценки, рекомендованная американским институтом стандартов и технологий — NIST).

Наиболее опасна CSRF-уязвимость CVE-2020-13674 (14 баллов по CMSS), связанная с работой модуля QuickEdit. Причиной ее появления является неадекватная проверка прав на изменение пути к файлу. Эксплойт в данном случае может привести к нарушению целостности данных.

Другая возможность CSRF (CVE-2020-13673) менее опасна, ее оценили в 10 баллов из 25. Она возникла из-за некорректной работы модуля Media, позволяющего встраивать внутренний и внешний медиаконтент в поля текущей страницы. Как оказалось, с помощью этого инструмента можно внедрить на страницу сторонний HTML-код от имени пользователя, обладающего правом доступа к фильтрам Media.

Уязвимость CVE-2020-13677 вызвана неспособностью модуля JSON:API строго ограничить доступ к некоторым видам контента. Проблема CVE-2020-13675 грозит загрузкой на сайт вредоносного файла при включенном модуле REST/File или JSON:API. В появлении CVE-2020-13676 повинен QuickEdit, который невнимательно проверяет разрешения на доступ к полям при редактировании контента.

Патчи включены в состав обновлений 9.2.6, 9.1.13 и 8.9.19. Седьмую версию Drupal эти проблемы не затрагивают; для Drupal 8 сборок ниже 8.9.x и Drupal 9 ниже 9.1.x заплаток не будет: срок поддержки таких версий истек.

Хотя эту CMS-систему используют лишь 1,4% сайтов в интернете, массовые атаки на сайты с использованием ее уязвимостей нередки. Пользователям настоятельно рекомендуется обновить свои установки.

Сеть ресторанов заплатит 110 тыс. долл. за неспособность защитить информацию клиентов

Читайте также