Мир становится все более цифровым, и утечки данных в нем постепенно переходят в разряд привычных явлений. В конце июля сервисы для совместной работы Microsoft SharePoint подверглись массированным кибератакам, от которых пострадали федеральные и региональные агентства США, университеты, энергетические компании и другие организации.
Согласно исследованию Verizon, c 2024 года злоумышленники на 34% чаще стали использовать уязвимости компаний, а средняя стоимость утечки данных в США резко возросла до $9,36 млн. Сумма издержек включает не только технический ущерб от утечки, но и репутационные потери. Последствия взлома могут стать катастрофическими как для самих компаний, так и для миллионов пользователей, чья конфиденциальная информация попала в руки злоумышленников.
Портал Quartz, опираясь на данные облачной компании Zmanda, составил список из десяти самых дорогих утечек данных в истории.
Вредоносная программа NotPetya - 2017
Вредоносная программа NotPetya появилась в июне 2017 года. Ее замаскировали под вирус-вымогатель, но на самом деле целью программы было удаление данных. Она распространялась через вредоносное обновление программы M.E.Doc, которую широко использовали в Украине для расчета налогов. Злоумышленники использовали EternalBlue, утекший инструмент АНБ, который позволял удалённо кодировать через Windows SMBv1, и Mimikatz, извлекавший учётные данные из системной памяти.
Из-за атаки с помощью NotPetya логистической компании Maersk пришлось восстанавливать 4 тыс. серверов и 45 тыс. ПК. Большинство заражений произошло в Украине, что привело к отключению критически важной инфраструктуры, включая банки, транспорт и систему мониторинга Чернобыльской АЭС. Правительства США и Великобритании возложили ответственность за атаку на российскую военную разведку ГРУ.
Ущерб от утечки оценивается в $10 млрд.
TJX Companies - 2007
В 2007 году хакеры проникли в системы TJX Companies, используя слабое WEP-шифрование в беспроводной сети магазина Marshalls во Флориде. Злоумышленники украли более 45,6 млн номеров кредитных и дебетовых карт за 18 месяцев. На тот момент эта утечка данных стала крупнейшей в истории розничной торговли. Хакеры установили снифферы для перехвата незашифрованных данных транзакций и учетных данных для входа. Как обнаружили следователи, TJX хранила запрещенные данные карты Track 2 и нарушила множество протоколов контроля PCI DSS, что привело к проведению общеотраслевых реформ в области безопасности данных торговых точек.
Ущерб от утечки оценивается в $4,5 млрд.
Epsilon - 2011
В марте 2011 года сервера Epsilon, одной крупнейших в мире компаний по email-маркетингу, были взломаны после того, как злоумышленники получили несанкционированный доступ к её системе электронной почты. Хакеры похитили имена и адреса электронной почты клиентов, в том числе JPMorgan Chase, Best Buy и Walgreens. Утечка коснулась примерно 60 млн пользователей. Хотя они не получили финансовые данные, похищенная информация использовалась для фишинговых атак.
Утечка данных Epsilon помогла выявить риски централизованных маркетинговых платформ и заставила компании пересмотреть подход к обмену данными со сторонними организациями.
Ущерб от утечки оценивается в $4 млрд.
Equifax - 2017
Злоумышленники воспользовались CVE-2017-5638, известной уязвимостью во фреймворке Apache Struts, которую компания Equifax не устранила в течение двух месяцев после выпуска обновления в 2017 году. Хакеры заполучили конфиденциальные данные 147 млн американцев, включая имена, номера социального страхования и данные водительских удостоверений. Взлом оставался незамеченным в течение 76 дней из-за просроченного SSL-сертификата, который отключил внутренний мониторинг трафика. Позже следователи выяснили, что в Equifax не было надлежащей системы инвентаризации активов и управления исправлениями, что и привело к масштабной утечке данных.
Ущерб от утечки оценивается в $1,4 млрд.
Meta (признана экстремистской организацией, деятельность на территории РФ запрещена) - 2018
В 2018 году стало известно, что компания Cambridge Analytica собирала данные примерно 87 млн пользователей Facebook (принадлежит Meta, которая признана экстремистской организацией, ее деятельность на территории РФ запрещена) с помощью приложения-викторины под названием «Ваша цифровая жизнь» благодаря разрешениям API соцсети.
Эти данные использовались для создания психологических профилей для таргетированной политической рекламы, в том числе во время президентских выборов в США в 2016 году. Утечка повлекла за собой нарушение соглашения с Федеральной торговой комиссией США от 2012 года, что впоследствии привело к штрафу в размере $5 млрд и масштабным реформам в области конфиденциальности соцсети.
Ущерб от утечки оценивается в $725 млн.
Министерство по делам ветеранов США - 2006
В мае 2006 года аналитик данных из Министерства по делам ветеранов США забрал домой ноутбук и внешний жёсткий диск, на которых были незашифрованные персональные данные 26,5 млн американских ветеранов, включая имена, даты рождения, номера социального страхования и степени инвалидности.
В итоге технику украли, а Министерство по делам ветеранов ждало 19 дней, чтобы уведомить пострадавших. Утечка выявила серьёзные недостатки во внутренней системе безопасности и контроле. Слушания проходили в Конгрессе США. В результате меры по шифрованию данных и уведомлению об утечках были приняты на государственном уровне. Позже украденную технику нашли, а следов взлома на ней не обнаружили.
Ущерб от утечки оценивается в $500 млн.
Target - 2013
В конце 2013 года хакеры проникли в сеть магазинов Target, используя украденные учётные данные поставщика систем отопления, вентиляции и кондиционирования Fazio Mechanical Services. Они установили вредоносное ПО на кассовые системы и получили доступ к 40 млн записей платежных карт и 70 млн профилей клиентов в праздничный сезон. Эта утечка привела к серьёзным изменениям в управлении рисками, связанными с третьими сторонами, и ускорила внедрение технологии чиповых карт с PIN-кодом в американских розничных сетях.
Ущерб от утечки оценивается в $292 млн.
Hannaford Bros. - 2008
В период с 7 декабря 2007 года по 10 марта 2008 года вредоносное ПО, установленное на серверах в почти 300 магазинах сети Hannaford Bros., перехватывало данные кредитных и дебетовых карт во время оформления заказа. Злоумышленники получили 4,2 млн номеров карт.
Вредоносное ПО перехватывало данные в процессе авторизации карт, а не из сохранённых баз данных, что стало одним из первых крупномасштабных случаев утечки данных о транзакциях в реальном времени.
Утечка данных повлекла за собой по меньшей мере 1,8 тыс. случаев мошенничества. Компания Hannaford соответствовала требованиям стандарта безопасности платежных данных PCI, что вызвало опасения по поводу адекватности действующих стандартов безопасности. В результате были подняты вопросы о необходимости усиления шифрования данных о платежах в режиме реального времени.
Ущерб от утечки оценивается в $252 млн.
Sony PlayStation Network - 2011
В 2011 году в PlayStation Network от Sony произошла утечка персональных данных 77 млн пользователей, включая имена, адреса электронной почты, даты рождения и учётные данные для входа. Sony отметила, что данные кредитных карт были зашифрованы, но не исключила возможность кражи. Сбой в работе PlayStation Network начался 20 апреля 2011 года и продолжался 23 дня. Он стал одним из самых длительных в истории игровой индустрии.
Sony раскритиковали за задержку уведомления пользователей об утечке данных. Компания предложила пострадавшим бесплатные игры и защиту от кражи личных данных. Эта утечка привела к серьёзным изменениям в сетевой безопасности Sony и протоколах реагирования на инциденты.
Ущерб от утечки оценивается в $171 млн.
Yahoo! - 2014
В конце 2014 года в Yahoo произошла утечка персональных данных 500 млн пользователей, включая имена, адреса электронной почты, даты рождения, номера телефонов и пароли. Yahoo возложила ответственность за атаку на спонсируемую неназванным государством организацию. Об утечке стало известно только в сентябре 2016 года, что вызвало критику в адрес Yahoo за запоздалую реакцию. Хотя большинство паролей были зашифрованы с помощью bcrypt, в некоторых учётных записях находились незашифрованные контрольные вопросы и ответы на них.
Эта утечка данных повлияла на сделку по приобретению Yahoo компанией Verizon и привела к проверкам со стороны регулирующих органов и многочисленным судебным искам.
Ущерб от утечки оценивается в $152,5 млн.
Не является индивидуальной инвестиционной рекомендацией | При копировании ссылка обязательна | Нашли ошибку - выделить и нажать Ctrl+Enter | Жалоба