Украден ноутбук с данными о сотрудниках администрации американского штата

На днях более пяти сотен работников администрации штата Западная Вирджиния получили письменное уведомление о том, что их персональные данные были скомпрометированы.

Это случилось в результате кражи ноутбука, который принадлежал работнику аудиторской фирмы, сотрудничающей с властями штата. Лэптоп был украден из припаркованного на общественной стоянке автомобиля. По информации, которую удалось получить аналитическому центру Perimetrix, на ноутбуке была записана финансовая информация более полутысячи сотрудников администрации, включая номера социального страхования и ведомости заработной платы. Официальные представители администрации заявляют о том, что портативный компьютер был защищен паролем.

«Безусловно, поводом для кражи стала не персональная информация, хранившаяся на компьютере, - так прокомментировал инцидент директор по развитию бизнеса компании Perimetrix Алексей Доля. - Вора спровоцировал сам ноутбук, лежащий на сиденье пустого автомобиля. Такой халатный подход к обеспечению безопасности может стать причиной и гораздо более серьезных утечек».

Школьник обошел систему защиты сервера с персональными данными

Учащийся одной из школ калифорнийского городка Риверсайд уведомил администрацию, что в процессе работы на школьном компьютере ему удалось обойти систему безопасности и получить доступ к файловому серверу ассоциации школ округа. Он лично сообщил об уязвимости и в качестве доказательства предоставил флэшку, на которую скопировал некоторые данные. По информации, полученной сотрудниками компании Perimetrix, на взломанном сервере хранились конфиденциальные данные более 68 тыс. учащихся, включая их адреса, номера социального страхования, персональные медицинские идентификаторы и т.п.

Вместе с тем, по словам официального представителя учебного заведения, нет никаких свидетельств, что кто-либо еще получал несанкционированный доступ к базе данных. В настоящее время начаты стандартные процедуры расследования инцидента. Параллельное расследование проводится также и в офисе окружного шерифа.

"Не похоже, чтобы школьник использовал новый эксплойт или неизвестную уязвимость в системе. Обычно такие инциденты связаны с успешным подбором логина и пароля, которые часто устанавливают слишком простыми, - отметил руководитель аналитического центра Perimetrix Владимир Ульянов. - Радует, что он лично рассказал о произошедшем, если, конечно, это действительно так. Ведь именно из-за отсутствия этики в подобных вопросах и жажды "легких денег" происходят многие аферы и преступления".

Нидерланды повышают штрафы за инсайдерскую торговлю до 2 млн. евро

Правительство Нидерландов повысит максимальный штраф за торговлю на рынке с использованием инсадерской информации до 2 млн. евро ($2,5 млн.) с 480 тыс. евро, чтобы вернуть прибыли, полученные на спекуляциях на рынке. Голландский регулятор AFM будет иметь возможность штрафовать на сумму до 2 размеров прибыли, полученной на инсайдерской торговле. Об это заявил министр финансов страны, сообщает Bloomberg. "Учитывая потенциально большие объемы, вовлеченные в торги, текущие штрафы больше не являются адекватным наказанием", - сказал министр.

Вместо штрафов от регуляторов правительство может все еще выбрать уголовное преследование инсайдеров, которое может привести к тюремному заключению и изъятию незаконно полученных доходов. Законопроект о штрафах должен быть одобрен парламентом страны.

Среди хакеров все больше подростков, предупреждают британские специалисты по сетевой безопасности

Британские социальные работники, которые занимаются с подростками, указывают, что многие подростки приобщаются к мошенничеству в сети, пытаясь обойти правила своих любимых компьютерных игр, сообщает телерадиокорпорация BBC. В интернете появились сообщества и форумы, на которых их участники обмениваются вредоносными программами, а иногда - и украденной информацией. Некоторые ищут вирусы, позволяющие проникать в социальные сети, которые очень популярны среди молодежи. Другие потом пытаются использовать данные о пользователях, полученные ими из этих сетей.

От создания вирусов и вредоносных программ многие переходят к настоящей преступной деятельности - например, использованию средств по нелегальному получению информации для своих собственных нелегальных замыслов.

"В моей практике были случаи, когда дети 11 и 12 лет обменивались данными кредитных карт и спрашивали совета о том, как взломать сайт. Среди этих затей есть довольно примитивные, есть умные, а есть и просто глупые", - рассказал журналистам директор отдела по выявлению вредоносных программ в компании FaceTime Security Крис Бойд.

Однако попытки подростков подзаработать на нелегальной информации зачастую ни к чему не приводят из-за того, что им не хватает для этого технических навыков. Как рассказал сотрудник фирмы Semantec Security Response Кевин Хоган, есть немало примеров, когда подростки выводят из строя свои собственные компьютеры, активировав созданные ими вирусы. Многие отправляют видеоклипы со своими "подвигами" на различные сайты, например, YouTube, и подписываются тем же именем, под которым они взломали сайт или выудили личные данные. Часть молодых хакеров размещают на сайтах свои фотографии и делятся другими личными подробностями. Это облегчает работу экспертов по компьютерной безопасности, которые по ним могут выйти на их след.

По словам бывшего хакера Мэтью Бивана, который был арестован за нелегальные операции в интернете и впоследствии оправдан, вовсе неудивительно, что подростки часто вовлекаются в компьютерные преступления. "Они хотят во что бы то ни стало прославиться среди своих сверстников и упорно этого добиваются", - добавляет он.

По словам представителя организации по защите прав детей Грэма Робба, подростки должны понимать, как сильно они рискуют, занимаясь компьютерным мошенничеством.

"Если на них заводится уголовное дело, это пятно на всю жизнь. Это проверяется при устройстве на работу, и уголовное дело может помешать хорошо устроиться", - сказал он. Кроме того, по его словам, подростки должны осознавать последствия своих поступков для других людей.

"Смогут ли они жить с мыслью о том, что они причинили ущерб другим людям? Они ведь не думают о том, что кто-то теряет деньги или сбережения в результате их действий, - добавил он. - Хуже уголовного дела для подростка ничего быть не может".

Американский госпиталь опубликовал персональные данные пациентов в Сети

Госпиталь Мэри Вашингтон (Mary Washington Hospital), расположенный в штате Вирджиния (Virginia), не умеет создавать защищенные веб-сайты. В результате уязвимости в форме онлайн-регистрации в интернете появились исчерпывающие сведения как минимум 800 пациенток родильного отделения госпиталя. По данным аналитического центра Perimetrix, на сайте были опубликованы не только их имена, адреса и даты рождения, но и номера социального страхования и даже фамилии лечащих врачей.

Информация о данной утечке просочилась в прессу благодаря жителю Спотсильвании Гэри Деннисону (Gary Dennison), жена которого Ребекка Деннисон (Rebecca Dennison) лежала в родильном отделении госпиталя. Ночью 11 октября Деннисонам позвонил некий человек по имени Майк и сообщил точные персональные данные Ребекки.

По словам Майка, он пытался зарегистрировать свою будущую жену в онлайн-системе госпиталя и случайно изменил строку в браузере. Однако вместо сообщения об ошибке, Майк попал на одну из внутренних страниц системы, которая содержала строго конфиденциальную информацию. Насколько долго сведения пролежали в интернете на данный момент неизвестно.

Отметим, что руководство госпиталя оперативно заблокировало доступ к секретным сведениям, однако не стало оповещать всех потенциальных пострадавших. "Мы уверены, что это был изолированный инцидент, и Майк сумел открыть всего несколько конфиденциальных записей. Остальным пациенткам родильного отделения незачем беспокоиться", - отметила Кэтлин Алленбо (Kathleen Allenbaugh), представитель госпиталя.

"Уверенность сотрудников госпиталя кажется мне несколько странной – если Майк сумел получить доступ к файлам, то почему это не могли сделать до него? Единственный способ обрести такую уверенность – это внедрение качественной системы записи и архивирования всех действий c веб-сайтом. Учитывая детскую ошибку в программировании портала, я очень сомневаюсь, что такая система у госпиталя действительно была", - резюмировал руководитель аналитического центра компании Perimetrix Владимир Ульянов.

IBM разработала новую систему защиты онлайновых платежей

Корпорация IBM разработала прототипа USB-устройства, созданного для защиты от хакерских атак во время онлайновых платежей. Новое решение позволит защитить личные данные пользователей от кражи и использования третьими лицами.

Устройство выглядит как обычная USB-карта памяти и оборудовано встроенным дисплеем. Принцип его действия заключается в создании изолированного канала передачи данных, который минует компьютер пользователя и, таким образом, защищает передаваемые пароли и коды от вирусов, которые на этом компьютере могут находиться.

Авторизация и подтверждение онлайновых операций может выполняться с использованием дисплея устройства. Оно также обладает собственным считывателем электронных смарт-карточек.

Устройство носит сложное название Zone Trusted Information Channel и использует для защиты данных протокол TLS/SSL. Оно было создано в исследовательских лабораториях IBM в Цюрихе. Преимуществом разработки является то, что она не требует каких-либо изменений в банковских системах и ПО и работает со всеми основными операционными системами на клиентской машине.

Взломщики уходят в облака

Хакеры с энтузиазмом восприняли идею облачных вычислений и теперь даже технически малограмотные преступники могут легко начать свой криминальный путь в киберсреде.

По словам Ури Ривнера, главы отделения по новым технологиям компании RSA, недавно в хакерском сообществе появились новые услуги. Так, за 299 долларов желающие заняться фишингом могут получить списки с ворованной личной информацией пройдя лишь соответствующую регистрацию. Всю черновую работу, такую как написание и распространение троянов, вопросы организации хостинга и обновления ПО за них сделают другие люди. Конечно, такое "Мошенничество 2.0" не вполне безопасно – всегда есть риск того, что в купленном инструментарии для фишинга окажутся бэкдоры, да и спецслужбы вроде ФБР не сидят, сложа руки. Так, например, последняя успешная операция этой организации с подпольным сайтом Dark Market многих хакеров приучила к осторожности.

Однако, несмотря на все это, определенный уровень взаимного доверия между хакерами сохраняется. В среде киберпреступников даже существуют свои аналоги социальных сетей и инструментов для организации совместных действий. Блоги, форумы и подкасты множатся день ото дня, хакеры даже пишут обзоры различных троянов, подобно тому, как компьютерные издания освещают антивирусные продукты. Примером видеокурсов, поучающих юных хакеров избегать элементарных ошибок, может служить видеоролик, размещенный на YouTube, в котором мультяшный прототип арестованного не так давно турецкого хакера Chao на ломаном английском языке внушает неопытным преступникам прописные истины хакерского ремесла. К примеру, неоперившихся мошенников призывают не заниматься скиммингом в маленьких городах, а также не проводить преступные схемы по утрам, когда люди обычно более всего бдительны.

Американское агентство допустило ошибку в почтовой рассылке

Американское агентство FEMA, помогающее жертвам различных бедствий и чрезвычайных ситуаций, допустило ошибку в почтовой рассылке. Примерно 1 000 писем, адресованных пострадавшим от ураганов, были случайно разосланы по неправильным адресам. Таким образом, возникла высокая вероятность утечки, поскольку в письмах содержались строго конфиденциальные данные, такие как номера социального страхования и даже сведения о годовых доходах.

Житель Хьюстона Кевин Фаркуар (Kevin Farquhar) очень удивился, когда ему позвонил человек, получивший конверт с его (Фаркуара) персональными данными. В конверте Фаркуара содержались сведения о жителе города Пирленд (Pearland) Бреннане Джексоне (Brennan Jackson), а в конверте Джексона – информация о жителе города Томболл (Tomboll). По-видимому, ни один из отправленных конвертов так и не дошел до своего правильного адресата.

По данным аналитического центра Perimetrix, ошибку допустил некий «почтовый субподрядчик», название которого не сообщается. Точные причины ошибки также до сих пор неизвестны. Планируется, что агентство FEMA предоставит всем пострадавшим бесплатную услугу кредитного мониторинга сроком на один год.

«Мне кажется, что посылать строго конфиденциальные сведения по почте – это далеко не лучшая идея, поскольку при такой пересылке возникает слишком много рисков, - отметил директор по маркетингу компании Perimetrix Денис Зенкин. - Письмо может потеряться, прийти другому адресату, а также попасть в руки недобросовестных сотрудников почтовых служб. Современным компаниям можно посоветовать использовать цифровые каналы связи, благо уровень технологического развития вполне позволяет это сделать».

Одиннадцать компьютерных дисков потеряны во время пересылки по почте

В конце октября достаточно серьезную утечку допустила медицинская страховая компания Medical Mutual из штата Огайо. Одиннадцать компьютерных дисков Medical Mutual с приватными сведениями 36 тыс. жителей штата потерялись во время пересылки с помощью обычной почтовой службы (U.S. Postal Service).

«Мы полагаем, что диски находятся где-то в почтовой системе и сделаем все возможное, чтобы их найти», - сказал директор по коммуникациям Medical Mutual Джаред Чейни (Jared Chaney). Эксперты компании Perimetrix отмечают, что носители исчезли во время пересылки из одной организации г. Коламбус в другую из-за неправильно указанного почтового адреса.

По словам Чейни, в компании Medical Mutual предусмотрен специальный план ликвидации утечек информации. «Если в ближайшее время диски не будут найдены – мы запустим процесс оповещения пострадавших и предоставим им бесплатный кредитный мониторинг», - отметил Чейни. Судя по всему, пропавшие носители не использовали шифрования данных.

«К сожалению, мировая практика показывает, что логистическим фирмам и почте нельзя доверять, - отметил директор по маркетингу компании Perimetrix Денис Зенкин. - Эти организации периодически теряют посылки даже внутри одного города, не говоря уже о более длинных маршрутах. Отсюда вывод – все носители, которые пересылаются при помощи третьих фирм, должны использовать шифрование на случай их кражи или утери».

Госдума разберется с инсайдерами

Законопроект об инсайдерской информации будет внесен в Госдуму до конца текущего года. Об этом сообщил глава Федеральной службы по финансовым рынкам (ФСФР) Владимир Миловидов. Он отметил, что в вопросе согласования законопроекта с министерствами и ведомствами есть "очень заметный прогресс", документ уже с ними согласован.

"Я надеюсь, что в самое ближайшее время в этой сфере появятся позитивные новости. Я верю, что до конца года мы внесем законопроект в Госдуму. Будем настаивать на скорейшем его принятии", - сказал Миловидов.

По его словам, в правительстве были определенные сомнения по поводу этого законопроекта, но "теперь ни у кого не возникает сомнений в необходимости его принятия", передает "Интерфакс".