Более 50 % увольняющихся сотрудников копируют корпоративную информацию

Более 50 % увольняющихся сотрудников копируют корпоративную информацию

Более 50 % увольняющихся сотрудников копируют корпоративную информацию

Аналитический центр компании InfoWatch представляет итоги глобального исследования публичных инцидентов в области безопасности корпоративной информации, связанных с деструктивными действиями увольняющегося или увольняемого сотрудника в отношении работодателя. В 2017 году более половины инцидентов были связаны с неправомерным копированием корпоративной информации и передачей ее третьим лицам — в том числе конкурентам компании.

«Сотрудник, который принял решение об уходе из компании, часто пытается использовать информацию компании в своих интересах, — отметил аналитик ГК InfoWatch Сергей Хайрук. —  Это всегда имеет негативные последствия в виде материального ущерба и репутационных потерь. Прямой ущерб компаниям-работодателям в результате деструктивных действий увольняющихся или увольняемых сотрудников зафиксирован в более чем 50% исследованных инцидентов».

Авторы исследования подчеркивают, что особую опасность при подготовке к увольнению представляют действия нелояльных сотрудников из числа привилегированных пользователей. Топ-менеджеры, руководители отделов и системные администраторы имеют доступ к широкому спектру корпоративных данных, к которым относится, например, коммерческая тайна и производственные ноу-хау, они хорошо знают бизнес-процессы предприятия и могут применить эти знания, нанося максимальный вред бывшему работодателю, отметил Сергей Хайрук.

В 2017 году привилегированные пользователи стали причиной 19% нарушений, связанных с компрометацией корпоративных данных, более 80% случаев произошли по вине рядовых сотрудников. Чаще всего при краже корпоративной информации персоналом движет мотив личной выгоды или работа на конкурентов, в то время как руководители в большинстве случаев идут на нарушения из чувства мести или руководствуются другими некорыстными мотивами.

Более четверти нарушений, повлекших ущерб для работодателя, совершались сотрудниками менее чем за неделю до увольнения — на этот временной интервал пришлось 28,6% случаев. Еще около 20% нарушений происходили за несколько недель до ухода. В большинстве случаев — 52,4% инцидентов, деструктивные действия в отношении работодателя сотрудник совершал более чем за месяц до запланированного увольнения.

Примерно в каждом втором случае увольняющийся сотрудник забирал с собой или просматривал базы данных с персональной информацией коллег, клиентов или партнеров. Треть изученных инцидентов была связана с кражей из компании коммерческих секретов и ноу-хау.

Наибольшее количество случаев деструктивных действий персонала при увольнении зафиксировано в учреждениях медицинской сферы (27,8%) и организациях государственного сектора (19,4%). Реже всего увольняющиеся сотрудники похищали информацию предприятий сферы торговли (2,8%) и транспортного комплекса (2,8%).

Более 60% случаев неправомерного использования корпоративной информации при подготовке сотрудником к увольнению были совершены в компаниях со штатной численностью от 100 до 500 человек.

«Модель поведения персонала при использовании корпоративных информационных ресурсов не поддается анализу с помощью традиционных систем защиты, которые не учитывают субъективные факторы, не могут прогнозировать уход сотрудника из компании и связанные с этим риски, — добавил Сергей Хайрук. — Однако сегодня развиваются средства прогнозной аналитики, которые используют базу данных компании, включая информационные потоки, и благодаря технологиям искусственного интеллекта и машинного обучения научились обрабатывать и анализировать накопленные компанией большие данные. Эти инструменты способны с высокой степенью точности предугадывать поведение персонала, например, заблаговременно определять сотрудников, которые намереваются уйти из компании, и предотвращать кадровые и финансовые риски для предприятий».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru