Эксперты в области компьютерной криминалистики отдела консультирования Ernst & Young в Дублине обнаружили доказательства того, что крупнейшие компании в Ирландии позволяют аутсорсинговым сотрудникам скачивать на свои ПК конфиденциальные документы компаний и данные клиентов.
Многочисленные кражи ноутбуков, ставшие в последнее время регулярными в Ирландии, стали свидетельством недостаточной корпоративной безопасности и защиты персональных данных. Однако, возможно, компании все же ведут наблюдение за источником потенциальных утечек информации - сотрудниками, работающими на дому.
На ирландском онлайн аукционе www.eBay.ie были проданы компьютеры, принадлежавшие сотрудникам компаний, которые даже не потрудились почистить жесткие диски, содержавшие конфиденциальную информацию клиентов банков, информацию о лазерных и кредитных картах, о регистрации автомобилей, номерах социального страхования, внутреннюю корпоративную информацию и адреса электронной почты. По факту с помощью инструментов компьютерной криминалистики можно легко восстановить даже удаленные с диска данные.
Помимо вовлечения своих работодателей в судебное разбирательство, а также возможного злонамеренного использования данных клиентов и сотрудников компаний, аутсорсеры пренебрегали обеспечением надлежащей защиты конфиденциальной информации, что является нарушением Европейского законодательства о защите данных.
По словам партнера представительства Ernst & Young в Дублине Пэта Морана, «Нами была найдена секретная корпоративная информация о клиентах, объемах транзакций, личные и корпоративные адреса электронной почты, список клиентов, а в одном случае даже схема архитектуры корпоративной сети». План сети предоставлял хакерам практически свободный доступ в корпоративную сеть компании.
В целях расследования на Ирландском eBay у частных лиц за 5 Евро были приобретены несколько жестких дисков для того чтобы узнать, какого типа информация может содержаться на бывших в использовании компьютерах.
По словам г-на Морана, основываясь на данных, которые содержались в компьютерах и ноутбуках, можно было определить, в каких компаниях работали люди, продавшие эти компьютеры. Среди них были хорошо известные компании, работающие в сфере услуг и финансовом секторе. «Часть найденной информации принадлежала некоторым нашим клиентам, о чем мы, конечно, их сразу же уведомили», - сообщил Моран.
Базовые программы для компьютерного расследования в состоянии восстановить данные, которые были удалены предыдущими пользователями ПК, наивно полагавшими, что полностью очистили жесткий диск. Большинство пользователей домашних ПК не в курсе, что безопасное удаление информации с диска с помощью встроенных опций компьютера может навредить конфиденциальности данных больше, чем обычное форматирование или чистка диска, утверждает Моран.
В основном, перед продажей, все корпоративные компьютеры чистятся с помощью специализированных программ. «Это говорит о том, что люди, которые работают на дому, забывают либо не умеют профессионально удалять всю информацию с компьютера перед его продажей». Для обеспечения качественной защиты требуется, чтобы вся корпоративная информация, к которой предоставляется доступ на домашнем компьютере, была зашифрована. Неавторизованные ПК не должны иметь доступ к информации корпоративной сети, в особенности к персональным данным клиентов.
Экспертную оценку ситуации дал Николай Федотов, ведущий аналитик компании InfoWatch: «Это не первый и не второй подобный эксперимент – результат неизменен. Однако настоящие злоумышленники, которые, согласно выводам экспериментаторов, «могли бы», на самом деле не торопятся совершать оптовых закупок б/у дисков, потрошить их и реализовывать найденную конфиденциальную информацию. Пока этим благородным занятием занимаются исключительно журналисты и эксперты по информационной безопасности.
Почему? Ответ очевиден: злоумышленники не считают этот метод рентабельным. Нет сомнений, что они оценивали вероятность найти на дисках ценную информацию и высчитывали математическое ожидание прибыли. Не сошлось. Пока. На старых дисках, безусловно, имеется конфиденциальная информация, в том числе, такая, которую можно легко обратить в деньги. Просто её пока недостаточно. В наших интересах сделать так, чтобы и в дальнейшем эта «цифровая руда» оставалась слишком бедной для промышленной разработки месторождения. Например, интернет-аукционы и комиссионные магазины могли бы снабжать всех продавцов бесплатной утилитой для надёжной очистки диска».
Также Пэт Моран сообщил о заметном росте взломов офисных телефонных станций (PBXs). Недавно был обнаружен взлом телефонной станции одной ирландской компании после того, как в организацию пришли телефонные счета на сумму от €10,000 до €60,000.
Хакеры совершали звонки на Кубу и продавали время кубинцам для осуществления звонков в различные страны мира. Для доступа к сети злоумышленники использовали северо-американский сервер. «Мы постоянно следим за такими случаями, мошенники активизируются в нерабочее время, таким образом, просто некому сообщить о необычной активности сети», говорит Моран. В данном конкретном случае налицо недостаточная защита телефонной сети, цифровое подключение осуществлялось через корпоративную сеть и Интернет. Телефонная сеть с выходом в город и интернет были защищены только межсетевым экраном, поэтому хакеры легко получили доступ.
Другая проблема, как отмечает Моран, состояла в том, что компания пользовалась аутсорсинговыми услугами по обслуживанию телефонной станции, и управляющая компания не обратила внимания на подозрительный трафик.
По словам Морана, нередко в погоне за сроками завершения проектов, безопасность остается на втором плане. Кроме того, многие ИТ-специалисты не знают, где именно в их системе безопасности находятся дыры. «Однако, если произошел взлом конфиденциальных данных или кража ноутбука, за это не наказывают специалиста по информационной безопасности, в этом случает вина возлагается на исполнительного директора».
Подробнее о данных, «проданных» через eBay
Для проведения расследования на аукционе eBay было куплено 8 дисков - только три из них были отформатированы пользователями. На дисках содержалась следующая информация: название компании, платежи компании (диск был продан за €5.79, включая планы и программы).
Восстановленная информация:
- Технические файлы, касающиеся популярных способов оплаты, вместе с документами с технической спецификацией и отчетами консультационной компании.
- Номера социального страхования клиентов и персонала.
- Номера банковских счетов и пин-коды, принадлежащие сотням клиентов.
- Сотни номеров лазерных карт с датами окончания срока действия.
- Сотни номеров кредитных карт и имена их владельцев.
- Внутренняя корпоративная информация, информация о персонале.
Диск известной ирландской компании, автомобильного дилера (продан за €10.79). К лоту были добавлены комментарии : «Использовался в компьютере Dell, но я снял его. Я не удалял информацию, но вы легко сможете ее удалить».
Восстановленная информация:
- Номера банковских счетов.
- Заказы клиентов и банковская информация.
- Информация о регистрации автомобилей клиентов.
По мнению Пэта Морана, решением проблемы утечки конфиденциальной информации при использовании услуг аутсорсинга может быть улучшение качества управления на высшем уровне, а также повышение эффективности защиты. Например, есть необходимость проверять, зашифрованы ли секретные данные на ноутбуке. Кроме того, Ирландии не мешало бы принять национальный закон об обязательном уведомлении пострадавших от утечки конфиденциальных данных граждан. В большинстве штатов США компании обязаны оповещать пострадавшим о любом нарушении системы безопасности, если это касается утечки персональных данных.
Источник
