Треть пользователей по всему миру стали жертвами утечек данных в 2022 году. Клиенты каких компаний находятся в зоне риска

Что произошло

Исследователи из промышленной группы Thales выяснили, что 33% пользователей во всем мире стали жертвами утечек персональных данных в 2022 году. 

• В документе указано, что 82% жертв киберпреступников пожаловались на ухудшение качества жизни после кражи конфиденциальной информации. 
• Как правило, примерно 11% компаний медлят с тем, чтобы сообщить о взломе и утечке данных их пользователей. Thales отмечает, что каждая десятая фирма заявляет об инциденте примерно через полгода, а каждая двадцатая может не обнародовать информацию целый год.
• 54% опрошенных уверены, что компании и сервисы должны использовать дополнительные меры защиты данных, например шифрование данных и двухфакторную аутентификацию.

• Исследователи отметили, что показатели доверия пользователей к организациям варьируются в зависимости от их отрасли. Финансовый сектор и сектор здравоохранения показали самые высокие результаты — 42% и 37% соответственно. Меньше всего потребители доверяют сфере СМИ и развлечений, а также правительству — 12% и 14% соответственно.

В опросе приняли участие более 21 тыс. человек из 11 стран: Великобритании, США, Германии, Франции, Мексики, Бразилии, Японии, Сингапура, Гонконга, Австралии и ОАЭ.

Контекст

• По данным Thales, самый высокий процент пострадавших от утечек фиксируется в США — 48%. При этом наибольшее недоверие к онлайн-покупкам из-за таких случаев испытывают жители Франции, Великобритании и Австралии. 
• Согласно информации Ресурсного центра по краже личных данных (ITRC), количество утечек данных в первом квартале 2022 года увеличилось на 14% по сравнению с прошлым годом. 
• Кибератаки совершались на различные крупные ресурсы. Например, 17 января злоумышленники украли у 500 пользователей Crypto.com биткоины на сумму около $18 млн, Ethereum — на $15 млн, а также другие криптовалюты — хакерам удалось обойти двухфакторную аутентификацию и получить доступ к кошелькам пользователей. Crypto.com подтвердила, что деньги были украдены, и заявила, что пострадавшим пользователям была выплачена компенсация.
• В октябре корпорация Microsoft подверглась атаке хакеров — злоумышленники взломали сервер компании и украли данные множества клиентов. 

Взлом привел к потенциальному доступу без проверки подлинности к некоторым данным бизнес-транзакций, связанных с взаимодействием между Microsoft и потенциальными клиентами.

Microsoft

• В компании не уточнили объем похищенных сведений, однако, по подсчетам специалистов, на серверах ИТ-гиганта хранилось 2,4 терабайта конфиденциальной информации, в частности данные 548 тыс. незащищенных пользователей. 
• Также в октябре злоумышленники похитили данные 1 млн пользователей Facebook. Директор Meta по борьбе с киберугрозами Дэвид Агранович заявил, что злоумышленники распространили в магазинах Google и Apple более 400 мобильных приложений, которые подталкивали людей вводить данные учетных записей в соцсети. Эти сведения программы пересылали злоумышленникам.
• В январе 2023-го стало известно об утечке базы адресов электронной почты 200 млн пользователей Twitter. Исследователь в области кибербезопасности Алон Гал заявил, что эта кража данных стала одной из самых масштабных, что он видел. Пока неизвестно, когда именно хакеры получили доступ к адресам электронной почты, — по словам экспертов, злоумышленники могли воспользоваться уязвимостью в системах Twitter еще в 2021 году. Они отмечают, что произошедшее, вероятно, негативно отразится на пользователях, в особенности на владельцах анонимных аккаунтов.
• Основная причина подобных инцидентов — слабая защита серверов компаний, говорят специалисты. Организации нередко халатно относятся к сохранности данных пользователей и делают мало вложений в обеспечение собственной безопасности.
  

В России

• Компания Group-IB, которая занимается предотвращением кибератак, выяснила, что в РФ в открытом доступе находится около 7,5 тыс. баз данных. 
• С момента обнаружения базы до изъятия ее из публичного доступа в России проходит в среднем 250 дней, отмечают эксперты.
• Так, в марте один из крупнейших сервисов доставки «Яндекс.Еда» сообщил о краже личной информации у тысяч пользователей. По вине сотрудника компании в Сети оказались телефоны клиентов, адреса и сведения об их заказах, в том числе состав и время доставки. Некоторые пользователи решили, что нет ничего страшного в том, что кто-то узнает об их предпочтениях в еде. Однако другие отметили, что эта информация может позволить мошенникам составить представление о доходах жертвы, времени, когда он бывает дома, и, например, организовать ограбление.
• В декабре у «ВкусВилла» украли данные 242 тыс. клиентов. В открытом доступе оказались номера телефонов и адреса электронной почты, даты заказов за период 5–7 декабря, суммы покупок, а также четыре последние цифры номеров банковских карт. 

Российские власти предпринимают различные меры для предотвращения подобных инцидентов.

• Согласно закону «О персональных данных», вступившему в силу с 1 сентября 2022 года, в случае утечки данных оператор обязан в течение 24 часов уведомить об этом Роскомнадзор, а в течение 72 часов — предоставить результаты внутреннего расследования с указанием причины и виновных лиц при их наличии.
• Для похитителей баз с данными предусмотрены наказания в Уголовном кодексе РФ вплоть до лишения свободы.
• В декабре Минцифры представило законопроект об оборотных штрафах за утечки персональных данных. Наказание предусмотрено «очень серьезное» — до 3% от оборота, если компания не обеспечивает сохранность данных, сообщили авторы инициативы. Смягчающим обстоятельством должно стать возмещение ущерба двум третям пострадавшим от утечки. Также сумму штрафа могут уменьшить, если компания аттестует и сертифицирует всю инфраструктуру в соответствии с требованиями безопасности.

Что делать

Эксперты в сфере кибербезопасности выделяют несколько признаков, которые указывают на утечку личных данных пользователя. Так, многочисленные спам-сообщения и звонки от неизвестных номеров — знак того, что личная информация попала в открытый доступ.

• Существуют различные сервисы по проверке безопасности данных, но необходимо быть осторожным — такие ресурсы могут тоже оказаться мошенническими и под предлогом защиты данных собирать их для продажи.
• Некоторые браузеры, включая Google Chrome, отображают информацию о ненадежных паролях, известных злоумышленникам, — не следует пренебрегать таким предупреждением и лучше в действительности сменить пароль.
• ТАСС предлагает пользоваться сервисом haveibeenpwned.com, однако предупреждает, что он может «знать» не обо всех утечках.
• Если данные все же украли, то эксперты советуют быть бдительнее, не доверять спамерам и не переходить по подозрительным ссылкам.
• В случае кражи паролей от страниц в соцсетях их следует поменять и убедиться, что они не используются на других сервисах и сайтах. 
• Эксперты советуют также сменить пароль от электронной почты. В крайних случаях придется поменять номер телефона, банковскую карту и паспорт.
• В случае если существуют подозрения, что персональные данные использовали для совершения преступления, юристы советуют написать заявление в правоохранительные органы.
• Чтобы сайты со слитыми данными заблокировали, можно написать в Роскомнадзор. Но если речь идет о крупной утечке, о которой компания заявила официально, организация примет меры самостоятельно.

Фото обложки: Freepik