Фишинговая атака на владельцев криптокошельков Trezor
Хакеры недавно получили доступ к внутренним системам платформы почтового маркетинга Mailchimp и использовали их в целевых фишинговых атаках на владельцев криптокошельков Trezor. Внутренние инструменты администрирования и управления клиентами Mailchimp позволили злоумышленникам отправлять аутентичные электронные письма из учетных записей клиентов.
В письмах утверждалось, что Trezor пострадал от нарушения безопасности и что клиентам потребуется обновить новую версию аппаратного кошелька и сбросить свой PIN-код. Естественно, связанный файл был вредоносным ПО, пытающимся получить доступ к их крипто-кошелькам. По состоянию на 3 апреля Trezor прекратил рассылку новостей до дальнейшего уведомления, согласно подтвержденному аккаунту компании в Twitter.
В то время как крипто-кошельки Trezor, по-видимому, были в центре внимания злоумышленника, это было не единственное, на что они нацелились при взломе. В общей сложности злоумышленники получили доступ к 319 учетным записям Mailchimp, но не участвовали в фишинговых атаках со всеми из них, а в некоторых случаях, возможно, вообще ничего не делали. Mailchimp сообщила, что хакеры перекачали 109 учетных записей с “данными об аудитории” (например, списками рассылки). У нераскрытого числа клиентов также были украдены их ключи API, но Mailchimp говорит, что с тех пор все они были отключены. Mailchimp также сообщает, что были обнаружены некоторые другие фишинговые атаки, не связанные с Trezor, но не раскрывает, сколько или кто был вовлечен.
Эта и еще множество аналогичных историй с другими компаниями (к примеру, Globant, Samsung, Nvidia) являются прекрасной демонстрацией остроты и сложности вопросов информационной безопасности. Однако ситуация Mailchimp в этом контексте обладает «печальной» уникальностью что связано со спецификой деятельности компании.
Mailchimp – является сервис-провайдером (предоставляет услуги по созданию и рассылке писем в маркетинговых целях), клиентами Mailchimp являются другие компании, осуществляющие деловую активность в совершенно различных областях. Для того, чтобы воспользоваться услугами, предоставляемыми Mailchimp, клиенты (организации) загружают в систему сервиса списки уже своих клиентов (организаций или физлиц). Таким образом, мы имеем цепочку взаимосвязанных лиц и организаций, соответственно, нарушение безопасности в таком элементе цепи как Mailchimp не может не отразится, во-первых, на непосредственных клиентах сервиса, и, во-вторых, (тут не избежать тавтологии) на клиентах клиентов Mailchimp.
Результаты таких вторжений пагубны абсолютно для всех. Mailchimp утрачивает доверие своих клиентов. Компании-клиенты Mailchimp несут убытки, обусловленные порчей репутации компании, от имени которой отправляются письма сомнительного содержания; переманиванием клиентов, если, к примеру списки таковых были проданы хакерами компании-конкуренту в Даркнете; и т.д. А клиенты компаний-клиентом Mailchimp могут, как в этом примере, лишиться своих денежных средств; подвергнуться шантажу и столкнуться еще с массой подобных проблем.
В общем, аналогия с карточным домиком здесь наилучшим образом иллюстрирует ситуацию.
GDPR и информационная безопасность
GDPR посвящен вопросам защиты персональных данных. Персональные данные действительно являются одной из категорий, так называемой, «защищаемой информации», в их отношении следует соблюдать требования Регламента в целом и его ст. 32, посвященной именно безопасности обработки, в частности. Так, согласно ст. 32, контролёр и процессор должны реализовать соответствующие технические и организационные меры для обеспечения уровня безопасности, соответствующего данным рискам, к примеру:
- регулярное тестирование, оценку и измерение эффективности технических и организационных мер по обеспечению безопасности обработки;
- псевдонимизацию и шифрование персональных данных;
- своевременно восстанавливать доступность персональных данных в случае возникновения физического или технического инцидента;
- обеспечить постоянную конфиденциальность, целостность, доступность и устойчивость систем и сервисов обработки.
Любые меры естественно должны приниматься только после предварительной оценки рисков для данных.
Однако, следует помнить, что персональные данные – это лишь ОДНА из категорий защищаемой информации наряду, к примеру, с конфиденциальной и служебной информацией, для защиты которых также должны предприниматься все возможные меры.
В этой связи компаниям следует разработать всеобъемлющие политики по информационной безопасности, в которых четко будут прописаны основные принципы и практики защиты информации, а также четко определен круг ответственности каждого сотрудника в имплементации положений политики. И, конечно же, каждый сотрудник должен быть ознакомлен с содержанием такой политики.
На сегодняшний день в таких документах можно прописать положения, предусматривающие:
- использование только лицензионного ПО;
- парольную и антивирусную политики;
- политики «чистого стола» и «чистого экрана»;
- использование исключительно корпоративных систем в рабочих целях;
- перечень мер технической защиты (шифрование; удаление; средства разграничения доступа; DLP-системы и т.д.).