25 декабря 2020 Financial One
Утечку клиентских данных прокомментировал гендиректор «Фридом финанс», СЕО Freedom Holding Corp. Тимур Турлов.
Коллеги и партнеры, у нас вчера произошел крайне неприятный и постыдный инцидент в информационной безопасности. Кибервымогатели атаковали сегмент нашей внутренней сети и похитили часть данных с локальных машин ряда сотрудников в России. Это машины, относящиеся к сотрудникам российского брокера, оказывающего доступ на российский фондовый рынок и почти весь пакет данных датирован 2018 годом.
Что там было? Там были сканированные копии и ряд поручений на бумажных носителях, ряд отчетов о сверках с базами ПОД/ФТ и порядка 400 файлов о признании инвесторов квалифицированными. Среди них практически нет клиентов, которые открывали счета на американском рынке, мы начали это делать через российского брокера в 2019 году. Среди них нет никаких международных клиентов. Атаковавшие нас кибервымогатели точно не получили доступа к CRM, к отчетам бэк-офиса, к данным торговой платформы. Никакие пароли наших клиентов не были скомпрометированы.
Тем не менее, очевидно, мы облажались и подвели часть наших российских клиентов. Мне очень стыдно за все произошедшее.
Что мы делаем прямо сейчас: мы в максимально короткий срок свяжемся со всеми клиентами, чьи данные были скомпрометированы и расскажем о том, какие именно документы оказались в открытом доступе. Дадим рекомендации по любой минимизации риска. На самом деле, использовать их злоумышленникам будет очень тяжело, в любом случае, и там нет действительно чувствительной информации, достать которую на черном рынке трудно.
Безусловно, сейчас мы полностью вычистили сеть и все локальные машины, уже перестроили ее и убеждены, что данные больше не утекают.
Как это случилось? Да так же, как и атакуют пользователей: одному из наших сотрудников пришло фишинговое письмо, которое он открыл и запустил на локальной машине не смотря на предупреждение системы безопасности. А дальше вскрылись все слабые места нашей защиты.
Зачем нас ломали? С одной очень простой целью – шантаж оглаской в СМИ с целью вымогательства. А-ля «Заплатите нам миллион долларов биткоинами, иначе мы разошлем пресс-релиз о том что мы украли ваши данные по всем СМИ в стране и они вас порвут. Никто не будет разбираться».
Когда данные уже утекли, это уже не забота о клиентах, это уже исключительно попытка скрыть это от общественности и прямое спонсирование преступников, что будет стимулировать на новые подвиги. Мы не стали вести переговоры, и журналисты многих СМИ весело включились в тиражирование пресс-релиза наших вымогателей (причем, реально, без злого умысла).
Можно ли сделать так, чтобы это никогда не произошло опять? Судя по количеству и качеству баз на черном рынке – нельзя. К сожалению, данные теряют все, включая компании с капитализацией в триллион+ долларов.
Что мы сделаем, чтобы минимизировать риск повторения этого? Кратко: будем тратить миллионы долларов на кибербезопасность (и, видимо, покупать лучшие западные решения, потому что я правда не хочу поддерживать кибертеррористов, которые делают это часто именно для того, чтобы мы эти миллионы потратили).
Что конкретно?
Люди – команда ИБ достигнет нескольких десятков высококвалифицированных, сертифицированных руководителей, инженеров red & blue teams, аналитиков.
Приведение всей ИБ к стандартам ISO27001 и NIST Cybersecurity Framework.
Еще конкретнее, будем внедрять в самое ближайшее время
Next Generation Firewall (NGFW) – файрвол + более глубокая инспекция трафика, проактивную систему обнаружения угроз, защиту от APT угроз (advanced persistent threat), уязвимостей нулевого дня, вредоносного ПО, программ-вымогателей, предотвращение и обнаружение вторжений, оценку репутации сайтов и распознавание контента, форматов данных и пользователей.
Endpoint Detection & Response. Антивирус следующего поколения. Подход EDR же в свою очередь не полагается только на базы, проявляя подозрительность ко всем файлам, запускаемым на компьютере, моментально замечая новейшие угрозы высокой сложности и одновременно проявляет реакцию на возникшую ситуацию. Например вирусы шифровальщики по своей природе не является вирусами в классическом понимании и их действия система как правило воспримет как легитимные – ведь много программ, которые позволяют шифровать файлы для безопасной передачи. EDR же заметив подозрительную активность на основе анализа поведения заблокирует действия шифровальщика и откатит все изменения.
Шифрование конечных станций отдельных сотрудников с использованием программных или физических токенов.
Мы постоянно проводим сканирование периметра сети, приложений и компьютеров на наличие уязвимостей – для этого используются специальные сканеры уязвимости.
Для тестирования всех новых разработок ПО мы будем использовать SAST и DAST подходы и соответствующие инструменты (статическое и динамическое тестирование безопасности). В обоих случаях используются автоматизированные сканеры, которые позволяют выявить наличие уязвимостей как в статичном исходном коде, так и в ходе работы приложения за короткий срок и исправить их в случае наличия.
Мы уже строим Privileged Access Management для мониторинга и управления правами всех администраторов в сети, которым можно многое.
Внедряем DLP – data leak prevention, чья основная задача не допустить утечку конфиденциальной информации за пределы компании происходит ли это случайно или в результате умышленных действий.
Внедрим и главный командный пункт, SIEM – Security Information and Event Management. Данная система позволяет в едином окне проводить анализ информации, поступающей от различных других систем, таких как NGFW, EDR, DLP, различного серверного или сетевого оборудования и дальнейшего выявления отклонения от норм по определенным критериям наглядно для аналитиков ИБ, которые будут находиться 24/7/365 в нашем SOC.
Ну и самое главное, тренинги по информбезопасности для сотрудников. Онлайн и оффлайн, системно и постоянно. Чтобы они не открывали левые файлы в следующий раз.
Многофакторная аутинтификация из каждого утюга и, конечно, вера в то, что все будет хорошо. Поверьте, для нас это хороший урок и он будет выучен.
http://fomag.ru/ (C)
Не является индивидуальной инвестиционной рекомендацией
При копировании ссылка обязательна Нашли ошибку: выделить и нажать Ctrl+Enter
Коллеги и партнеры, у нас вчера произошел крайне неприятный и постыдный инцидент в информационной безопасности. Кибервымогатели атаковали сегмент нашей внутренней сети и похитили часть данных с локальных машин ряда сотрудников в России. Это машины, относящиеся к сотрудникам российского брокера, оказывающего доступ на российский фондовый рынок и почти весь пакет данных датирован 2018 годом.
Что там было? Там были сканированные копии и ряд поручений на бумажных носителях, ряд отчетов о сверках с базами ПОД/ФТ и порядка 400 файлов о признании инвесторов квалифицированными. Среди них практически нет клиентов, которые открывали счета на американском рынке, мы начали это делать через российского брокера в 2019 году. Среди них нет никаких международных клиентов. Атаковавшие нас кибервымогатели точно не получили доступа к CRM, к отчетам бэк-офиса, к данным торговой платформы. Никакие пароли наших клиентов не были скомпрометированы.
Тем не менее, очевидно, мы облажались и подвели часть наших российских клиентов. Мне очень стыдно за все произошедшее.
Что мы делаем прямо сейчас: мы в максимально короткий срок свяжемся со всеми клиентами, чьи данные были скомпрометированы и расскажем о том, какие именно документы оказались в открытом доступе. Дадим рекомендации по любой минимизации риска. На самом деле, использовать их злоумышленникам будет очень тяжело, в любом случае, и там нет действительно чувствительной информации, достать которую на черном рынке трудно.
Безусловно, сейчас мы полностью вычистили сеть и все локальные машины, уже перестроили ее и убеждены, что данные больше не утекают.
Как это случилось? Да так же, как и атакуют пользователей: одному из наших сотрудников пришло фишинговое письмо, которое он открыл и запустил на локальной машине не смотря на предупреждение системы безопасности. А дальше вскрылись все слабые места нашей защиты.
Зачем нас ломали? С одной очень простой целью – шантаж оглаской в СМИ с целью вымогательства. А-ля «Заплатите нам миллион долларов биткоинами, иначе мы разошлем пресс-релиз о том что мы украли ваши данные по всем СМИ в стране и они вас порвут. Никто не будет разбираться».
Когда данные уже утекли, это уже не забота о клиентах, это уже исключительно попытка скрыть это от общественности и прямое спонсирование преступников, что будет стимулировать на новые подвиги. Мы не стали вести переговоры, и журналисты многих СМИ весело включились в тиражирование пресс-релиза наших вымогателей (причем, реально, без злого умысла).
Можно ли сделать так, чтобы это никогда не произошло опять? Судя по количеству и качеству баз на черном рынке – нельзя. К сожалению, данные теряют все, включая компании с капитализацией в триллион+ долларов.
Что мы сделаем, чтобы минимизировать риск повторения этого? Кратко: будем тратить миллионы долларов на кибербезопасность (и, видимо, покупать лучшие западные решения, потому что я правда не хочу поддерживать кибертеррористов, которые делают это часто именно для того, чтобы мы эти миллионы потратили).
Что конкретно?
Люди – команда ИБ достигнет нескольких десятков высококвалифицированных, сертифицированных руководителей, инженеров red & blue teams, аналитиков.
Приведение всей ИБ к стандартам ISO27001 и NIST Cybersecurity Framework.
Еще конкретнее, будем внедрять в самое ближайшее время
Next Generation Firewall (NGFW) – файрвол + более глубокая инспекция трафика, проактивную систему обнаружения угроз, защиту от APT угроз (advanced persistent threat), уязвимостей нулевого дня, вредоносного ПО, программ-вымогателей, предотвращение и обнаружение вторжений, оценку репутации сайтов и распознавание контента, форматов данных и пользователей.
Endpoint Detection & Response. Антивирус следующего поколения. Подход EDR же в свою очередь не полагается только на базы, проявляя подозрительность ко всем файлам, запускаемым на компьютере, моментально замечая новейшие угрозы высокой сложности и одновременно проявляет реакцию на возникшую ситуацию. Например вирусы шифровальщики по своей природе не является вирусами в классическом понимании и их действия система как правило воспримет как легитимные – ведь много программ, которые позволяют шифровать файлы для безопасной передачи. EDR же заметив подозрительную активность на основе анализа поведения заблокирует действия шифровальщика и откатит все изменения.
Шифрование конечных станций отдельных сотрудников с использованием программных или физических токенов.
Мы постоянно проводим сканирование периметра сети, приложений и компьютеров на наличие уязвимостей – для этого используются специальные сканеры уязвимости.
Для тестирования всех новых разработок ПО мы будем использовать SAST и DAST подходы и соответствующие инструменты (статическое и динамическое тестирование безопасности). В обоих случаях используются автоматизированные сканеры, которые позволяют выявить наличие уязвимостей как в статичном исходном коде, так и в ходе работы приложения за короткий срок и исправить их в случае наличия.
Мы уже строим Privileged Access Management для мониторинга и управления правами всех администраторов в сети, которым можно многое.
Внедряем DLP – data leak prevention, чья основная задача не допустить утечку конфиденциальной информации за пределы компании происходит ли это случайно или в результате умышленных действий.
Внедрим и главный командный пункт, SIEM – Security Information and Event Management. Данная система позволяет в едином окне проводить анализ информации, поступающей от различных других систем, таких как NGFW, EDR, DLP, различного серверного или сетевого оборудования и дальнейшего выявления отклонения от норм по определенным критериям наглядно для аналитиков ИБ, которые будут находиться 24/7/365 в нашем SOC.
Ну и самое главное, тренинги по информбезопасности для сотрудников. Онлайн и оффлайн, системно и постоянно. Чтобы они не открывали левые файлы в следующий раз.
Многофакторная аутинтификация из каждого утюга и, конечно, вера в то, что все будет хорошо. Поверьте, для нас это хороший урок и он будет выучен.
http://fomag.ru/ (C)
Не является индивидуальной инвестиционной рекомендацией
При копировании ссылка обязательна Нашли ошибку: выделить и нажать Ctrl+Enter