Эксперт Мишуков: злоумышленники всё чаще монетизируют утечки без публичной публикации
изображение: grok
Андрей Мишуков, операционный директор iTPROTECT, прокомментировал для CISOCLUB снижение числа публично раскрытых утечек при одновременном росте общего объёма скомпрометированных данных до 378 млн записей. По его словам, такая динамика может быть связана с изменением способов монетизации украденной информации.
Вместо публикации баз злоумышленники могут продавать их напрямую через закрытые сделки на теневых площадках. При этом угрозы, связанные с возможными санкциями за утечку, могут использоваться как дополнительный инструмент давления на компании.
«Сокращение почти вдвое случаев публичного раскрытия скомпрометированных данных при одновременном росте их общего объёма до 378 млн записей — не статистическая аномалия. Такая динамика может свидетельствовать об изменении подходов злоумышленников к монетизации украденных данных на фоне усиления ответственности компаний за утечки. Публичная демонстрация утекшей информации всё чаще уступает место их закрытой продаже и другим способам монетизации: данные уходят напрямую в закрытые сделки на теневых площадках, а главным рычагом вымогательства для атакующих стала угроза штрафа до 500 млн рублей со стороны регулятора», — отметил Андрей Мишуков.
По словам эксперта, в последние годы внимание злоумышленников заметно сместилось в сторону финансовых организаций, прежде всего микрофинансовых компаний, а также сферы услуг. При этом рост интереса к этим отраслям связан не только с качеством их защиты, но и с объёмом данных, которые организации стали собирать и обрабатывать в процессе развития цифровых сервисов.
«Мы на практике видим смещение внимания злоумышленников в сторону финтеха (прежде всего МФО) и сферы услуг. За последние годы организации из разных отраслей существенно инвестировали в защиту своей инфраструктуры, развивали процессы мониторинга и усиливали периметр безопасности. Однако параллельно компании активно развивали и цифровые сервисы, что сопровождалось быстрым ростом объёмов обрабатываемых данных, в том числе клиентов», — рассказал Андрей Мишуков.
Проблемой остаётся и срок хранения накопленной информации. Некоторые компании годами сохраняют большие объёмы клиентских данных, не пересматривая необходимость их дальнейшего хранения и не используя в достаточной мере обезличивание.
На практике, отмечает эксперт, это может приводить к архитектурам с крупными несегментированными базами, содержащими данные за несколько лет, избыточными привилегиями сотрудников и большим количеством внешних подрядчиков с доступом через API. При такой организации компрометация одной учётной записи или уязвимость у SaaS-партнёра потенциально позволяют получить значительный объём информации за одну операцию.
«Некоторые организации годами накапливали большие объёмы клиентских данных, но не всегда пересматривали необходимость их дальнейшего хранения и не в полной мере использовали механизмы обезличивания. На практике при аудите это выглядит так: огромная несегментированная база, включающая данные за пять-семь лет работы компании, избыточные привилегии сотрудников без должного управления, например, с помощью IdM или PAM, а также десятки внешних подрядчиков, подключённых по API с превышенными правами», — пояснил Андрей Мишуков.
Поэтому добавление новых средств защиты без изменения принципов работы с данными, по мнению эксперта, не устраняет саму проблему. Необходимо пересматривать объём хранимой информации и порядок управления доступами.
«В такой архитектуре компрометация учётной записи одного сотрудника или уязвимость у SaaS-партнёра потенциально могут привести к масштабной выгрузке данных за один заход. Внедрение дополнительных средств защиты без пересмотра логики работы с данными эту проблему не решит. Пока компании на уровне топ-менеджмента не начнут считать стоимость хранения каждой лишней записи в базе через призму потенциального оборотного штрафа и не наведут порядок в базовой гигиене доступов, сфера услуг и средний бизнес так и останутся для злоумышленников самой рентабельной мишенью», — заключил Андрей Мишуков.
