Многие утечки данных происходят по вине руководителей

Многие утечки данных происходят по вине руководителей

Многие утечки данных происходят по вине руководителей

Топ-менеджеры компаний по роду своей деятельности обладают широкими правами доступа к конфиденциальной информации. В их руках находятся персональные данные сотрудников и клиентов, коммерческие секреты и другая чувствительная информация. Аналитический центр компании InfoWatch составил дайджест утечек, произошедших в результате действий руководителей.

Недавно в США некоммерческий фонд Green Beret Foundation, созданный для защиты интересов военнослужащих спецназа и членов их семей, подал в суд на бывших членов руководящего состава. В фонде утверждают, что исполнительный директор Дженнифер Пакетт (Jennifer Paquette) и глава финансовой службы Мелисса Пучино (Melissa Pucino) заблокировали другим сотрудникам доступ к информационным сервисам, в том числе сведениям о 40 тыс. контактов фонда. Кроме того, руководители перед своим уходом скопировали ряд конфиденциальных данных. Этим действиям предшествовало увольнение обоих топ-менеджеров: правление было недовольно тем, что они начали тратить больше средств на управленческие нужды в ущерб уставной деятельности.

Бывшего высокопоставленного сотрудника корейской сети беспошлинной торговли Lotte Duty Free обвинили в передаче секретной информации конкурентам из компании DFS. В судебных документах отмечается, что человек по фамилии Ли (Lee) уволился из Lotte вскоре после неудачных притязаний на более высокую должность. Вскоре после этого Ли отправился в Гонконг, где передал представителям DFS конфиденциальную информацию, касающуюся развития бизнеса в других странах. В частности, речь идет о концессионном контракте Lotte Duty Free с аэропортом Гуама на сумму порядка $150 млн.

Весьма чувствительными для репутации компании оказываются случаи, когда руководитель использует персональные данные клиентов с целью наживы. Например, в американском штате Пенсильвания был разоблачен директор окружного агентства по чрезвычайным ситуациям. Используя персональные данные уволившегося сотрудника, руководитель открыл в банке кредитную карту и использовал ее для совершения покупок.

Отдельную категорию нарушителей среди топ-менеджеров составляют высокопоставленные политики. Их действия в отношении конфиденциальной информации могут нанести серьезный ущерб системе национальной безопасности. В Алжире к пятилетнему тюремному заключению приговорен бывший депутат Ахмед Белкасми. Экс-парламентарий признан виновным в передаче информации иностранному государству. В частности, Белкасми скомпрометировал закрытые отчеты по вопросами безопасности, экономики и политического устройства. Также он делился секретными сведениями о здоровье президента республики, его перемещениях и текущей деятельности. Что интересно, Белкасми сдала его собственная жена.

 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Эксперты назвали 25 главных уязвимостей в протоколе MCP для агентного ИИ

Model Context Protocol (MCP), который в 2024 году разработала Anthropic и открыла как стандарт, уже стал основой для работы агентного ИИ. Именно через MCP агенты взаимодействуют с данными, инструментами и друг с другом — безопасно и прозрачно. Но, как и любая технология, MCP уязвим.

Недавно стало известно об атаке на интеграцию календаря ChatGPT: обычное письмо с приглашением могло незаметно доставить джейлбрейк в модель, без какого-либо участия пользователя.

На этом фоне компания Adversa AI выпустила первое масштабное исследование — «Top 25 MCP Vulnerabilities». По словам авторов, это «самый полный на сегодня анализ уязвимостей MCP».

Интересно, что OWASP тоже готовит свой «топ-10» по MCP, но пока его нет. Adversa подчёркивает: цель не конкурировать, а помочь компаниям, которые уже сейчас внедряют агентный ИИ.

 

Что внутри списка? Каждой уязвимости присвоено название, балл по уровню влияния (от критического RCE до «просто» утечки данных), оценка сложности эксплуатации (от «элементарно через браузер» до «нужны ресурсы уровня государства») и ссылки на дополнительные материалы.

Неудивительно, что на первом месте — инъекции в промпты: критический эффект, тривиальная эксплуатация. В конце списка, например, есть малоизвестная MCP Preference Manipulation Attack, которая почти нереализуема, но всё равно считается угрозой.

Adversa также предлагает практическое руководство:

  • Немедленные меры — валидация всех входных данных (исследователи отмечают, что 43% MCP-серверов подвержены командным инъекциям).
  • Стратегия защиты в глубину — от обязательного TLS на уровне протокола до параметризованных запросов в базах данных.
  • План на 3 месяца — от аутентификации на всех эндпойнтах (сразу) до перехода на архитектуру «zero trust» (через квартал).

Авторы обещают обновлять документ ежемесячно или при появлении новых инцидентов и CVE.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru