Вредоносная кампания ransomhack пользуется требованиями GDPR к компаниям

Вредоносная кампания ransomhack пользуется требованиями GDPR к компаниям

Вредоносная кампания ransomhack пользуется требованиями GDPR к компаниям

Принятием Общего регламента по защите данных (GDPR) начали пользоваться киберпреступники в своих целях. В частности, болгарская ИБ-компания Tad Group зафиксировала новую форму таргетированных кибератак, получившую название «ransomhack».

Схема ransomhack отличается от традиционных атак вымогателей тем, что данные жертвы выкладываются в открытый доступ, если выкуп не был уплачен.

Все дело в том, что GDPR обязывает организации соответствовать правилам защиты личных данных. В случаях несоответствия этим правилам взыскиваются огромные штрафы. Следовательно, чтобы не столкнуться со значительными финансовыми издержками, компании будут пытаться замолчать сам факт утечки.

Что касается ransomhack, злоумышленники атаковали преимущественно крупные болгарские компании, требуя выкуп в криптовалюте, транзакции которой невозможно отследить. Сумма варьируется от 1000 до 20 000 долларов США.

Для сравнения — за несоответствие требованиям GDPR компанию могут лишить до 4 процентов годового оборота, либо же обязать выплатить $23,3 миллионов.

Однако и выплата выкупа несет определенные риски, так как тот же GDPR требует от компаний сообщать об утечках и киберинцидентах в течение 72 часов после их подтверждения. Если компания этого не сделает, ее также ждет значительный штраф.

То есть если компанию уличат в сокрытии факта утечки (даже после уплаты выкупа), она обязана будет заплатить штраф.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ФСБ России введёт белых хакеров в реестр и обяжет делиться уязвимостями

Федеральная служба безопасности сможет устанавливать правила для «белых» хакеров — специалистов, которые легально ищут уязвимости в информационных системах. Если исследователь не будет соответствовать новым требованиям, ему просто запретят работать. Все найденные уязвимости придётся раскрывать не только компаниям, но и спецслужбам.

Как рассказали источники РБК, новая версия законопроекта о «легализации» таких специалистов уже готовится к внесению в Госдуму.

Документ вводит понятие «мероприятие по поиску уязвимостей» — под него попадут и коммерческие программы баг-баунти, и внутренние тесты компаний, и даже независимые исследования энтузиастов.

Регулировать эту сферу будут ФСБ, ФСТЭК и НКЦКИ. Они получат право утверждать обязательные правила — от идентификации исследователей до порядка передачи данных о найденных «дырах» в безопасности.

Работать смогут только аккредитованные площадки и специалисты, соответствующие установленным критериям. Нарушение этих правил, например передача информации об уязвимости без уведомления госорганов, будет считаться уголовным преступлением.

Обсуждается и создание реестра «белых» хакеров. Минцифры подтверждает, что законопроект дорабатывается, и обещает учесть мнение отрасли.

На рынке инициативу встретили настороженно. Проджект-менеджер MD Audit Кирилл Левкин считает, что обязательная деанонимизация создаст риски для самих исследователей — ведь данные из реестра могут утечь. Многие хакеры работают под псевдонимами не из-за желания скрыться, а ради собственной безопасности.

По словам директора Центра исследования киберугроз Angara Security Сергея Гилева, текущая версия законопроекта «слишком жёсткая». Она затрагивает не только участников баг-баунти, но и корпоративные службы ИБ: теперь любая компания, проверяющая свою инфраструктуру на уязвимости, должна будет передавать результаты силовикам. Это, по мнению эксперта, может подтолкнуть многих к работе «в тени».

Рынок ждёт официальный текст законопроекта, чтобы сформировать единую позицию. Пока же «легализация» «белых» хакеров» выглядит скорее как их тотальный контроль.

Напомним, в мае мы писали, что в России растёт спрос на белых хакеров. Сначала года было размещено около 200 новых вакансий для пентестеров и других экспертов в области анализа защищённости и выявления уязвимостей.

А в марте сенаторы предложили полностью узаконить «инициативную» форму сотрудничества исследователей с владельцами информационных систем.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru