сообщить о нарушении
Текущая страница: 9 (всего у книги 14 страниц)
Руководство MasterCard обвинило в случившемся компанию CardSystems Solutions, крупного обработчика информации для банков и фирм (оборот процессинга составлял около $15 млрд. в год). В MasterCard заявили, что система обеспечения безопасности в проштрафившейся фирме была далека от совершенства, так что хакеры без особого труда смогли получить доступ к сведениям о владельцах кредитных карт. Злоумышленники получили информацию об именах кардхолдеров, номерах счетов и кодах подтверждения. Для некоторых форм мошенничества этого вполне достаточно, хотя более распространенные среди кардеров трюки с ложной идентификацией пользователей требуют также номер социального страхования, адрес и дату рождения. Эту информацию преступникам выудить не удалось.
Выяснилось, что компания продолжала хранить записи, подлежащие удалению, а данные о транзакциях не шифровались. Преступники смогли установить в сети компании трояна, перехватывающего данные о кредитных картах в процессе проведения финансовых транзакций. Вскоре от банков стали поступать сообщения о новых способах мошенничеств. Тогда приглашенные специалисты из Cybertrust приступили к расследованию и выяснили, что перехват происходит на участке CardSystems.
В ответ на негодование платежных систем (а к хору возмущенных присоединились Visa и MasterCard) представители CardSystems сообщили, что дыра была обнаружена давно, о чем компания сразу же сообщила в ФБР. После скандала CardSystems объявила о начале работ над совершенствованием защиты данных, но так легко отделаться ей не удалось. Вскоре после инцидента Visa запретила CardSystems проводить операции со своими картами, утверждая, что компания не может гарантировать клиентам конфиденциальность. Представитель платежной системы заявил, что фирма на данный момент не способна исправить недостатки в своей системе безопасности. На Visa приходилось более половины операций CardSystems.
Из других нашумевших случаев утечки конфиденциальных данных за рубежом можно вспомнить утерю компанией CitiFinancial ленты с незашифрованной информацией о 3,9 млн. клиентов. Не смог сохранить репутацию незапятнанной и Bank of America. Сотрудники банка потеряли носители с данными более чем миллиона клиентов. По некоторым сведениям, диски украли из авиалайнера во время транспортировки. В руках у злоумышленников в числе прочих оказались сведения о сенаторах и военнослужащих.
Теряли персональную информацию и информационные брокеры ChoicePoint и LexisNexis, Калифорнийский и Стэнфордский университеты. Однако именно случай с CardSystems заставил активизироваться правозащитников, требующих изменения законодательства в сфере защиты приватности. Cyber Security Industry Alliance провел опрос среди американцев и выяснил, что 97% респондентов считают проблему ложной идентификации достойной более пристального изучения, а 64% уверены, что усилия правительства в сфере обеспечения компьютерной безопасности пользовательской информации недостаточны.
Абоненты нарасхват
В России среди компаний, теряющих данные клиентов, по количеству инцидентов лидируют телекомы. Впрочем, вряд ли у операторов связи защита персональных данных менее надежна, чем в других структурах, просто на телефонные номера всегда имеется спрос. Поэтому неудивительно, что и российская история утечек из коммерческих баз началась с того, что в 1992 году в Москве появились диски с данными абонентов МГТС. Примечательно (если не возмутительно), что «продукт» регулярно обновляется и его можно приобрести по сей день.
Затем по очереди была украдена клиентская база у каждого из ведущих сотовых операторов. Журналисты все чаще стали задавать компаниям неприятные вопросы. В частности, интересовались, зачем операторам связи нужно собирать так много персональной информации о клиентах, учитывая, что большая их часть не может стать должниками из-за предоплатной схемы работы. Представители одного из телекомов сослались на некую инструкцию тогда еще Главгоссвязьнадзора, существование которой само ведомство отрицает. Самые горячие головы и вовсе считают, что за подобные трюки надо лишать лицензии на оказание услуг сотовой связи. В лицензиях операторов действительно имеется пункт об ограниченном доступе к информации об абонентах. Впрочем, если бы за нарушение этого пункта власти действительно отбирали лицензию, то Россия очень скоро осталась бы вообще без мобильной (да и стационарной) связи.
По итогам доведенных до конца расследований можно сделать вывод, что к троянам и прочим техническим ухищрениям для кражи персональных данных у нас прибегают редко. Как правило, базы просто забираются на флэшке бывшими (а в отдельных случаях и нынешними) сотрудниками, имеющими доступ к информации. А разнообразные правила, согласно которым запрещается вынос дисков и прочих носителей или они подлежат проверке, не создают особых проблем злоумышленникам. В частности, практически нигде не досматривается содержимое накопителей в мобильных телефонах.
Печальные истории
Сейчас на «рынке» баз больший интерес вызывают данные не абонентов, а заемщиков, появление которых было обусловлено введением кредитных историй. О первом случае утечки стало известно в августе прошлого года, когда на адреса нескольких банков и бюро кредитных историй пришел спам. Неизвестные предлагали базу на 700 тысяч людей, бравших потребительские кредиты. Помимо контактных данных, записи содержат сведения о покупке и выданном кредите с указанием суммы, размера ежемесячного платежа, просрочек и наложенных на должника санкций. За все это великолепие продавцы просили 90 тысяч рублей. В сентябре представитель Национального бюро кредитных историй заявил, что утечка произошла из двух или трех банков, названия которых озвучены не были.
Через пару недель после инцидента на Митинском радиорынке появилась база данных о трех тысячах неблагонадежных заемщиков банка 1 ОВК (в настоящее время приобретен Росбанком), которую можно было купить за 900 рублей. Интересно, что продавцы обещали вскоре предложить своим клиентам базу о 3 млн. заемщиков, которую уже успели окрестить «Антикредит». Свое слово митинские распространители сдержали. В чужие руки попала почти треть всех российских кредитных историй. «Антикредит» оказался не только в несколько раз больше по объему, но и более подробным, чем первые базы. Были указаны имена заемщиков, контактные телефоны, домашние адреса, места работы, причины попадания в черный список, такие как просрочка по кредиту или отказ в его выдаче, а также (sic!) банки-источники информации. Стоила база ненамного дороже — 2 тысячи рублей.
Интересно, что теоретически в утечке заинтересованы и сами банки, которым выгоднее пользоваться нелегально добытой базой, нежели делать платные запросы в бюро кредитных историй и несколько дней ждать ответа.
Самим заемщикам, абонентам, клиентам, налогоплательщикам, автолюбителям и пр., в общем, нам с вами, увы, практически нереально призвать к ответственности компании или госучреждения, которые не смогли уберечь наши личные данные и сделали их объектом свободной купли-продажи. Хотя законодательство признает пострадавшими лиц, чьи данные не были защищены должным образом, и допускает обращение в суд с требованием возместить ущерб. Но выиграть такое дело непросто, поскольку для этого нужно, во-первых, предоставить документ, в котором организация обязалась не распространять вверенные ей персональные данные, а достать его во многих ситуациях проблематично, а во-вторых, надо доказать, что виновником утечки является именно ответчик. Сделать это, разумеется, тоже сложно и дорого.
Закон
Недавно вступивший в силу закон закрепляет обязательства каждой организации, владеющей персональными данными, по обеспечению их конфиденциальности. Нельзя сказать, что этот нормативный акт привнес что-то кардинально новое, скорее он унифицировал ранее разрозненные требования к защите личных данных. Лица, нарушившие эти требования, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность. При нарушении положений закона любая компания может быть лишена лицензии на свою деятельность и подвергнута судебному преследованию со стороны пострадавших. Но все это можно было проделать и раньше, однако почему-то не делалось.
Правда, теперь можно привлекать и продавцов персональных данных, так как распространение тоже становится подсудным делом. К тому же закон заставил чиновников и бизнесменов зашевелиться, поскольку устанавливает некие нормативы обеспечения безопасности данных, требующих интеграции новых программных продуктов и изменения организационных процедур при работе с конфиденциальной информацией. Тем не менее закону не достает конкретики. В нем, например, сказано, что организация должна «принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства» для того, чтобы защитить персональные данные от таких действий, как «неправомерный или случайный доступ, уничтожение, изменение, блокирование, копирование, распространение». Более четкие требования будут разработаны позднее Федеральной службой по техническому и экспортному контролю РФ (ФСТЭК). Это же ведомство займется проверкой исполнения закона в организациях.
Еще одно новшество — это ограничения длительности хранения приватных сведений. Держать их можно не дольше, чем требуют цели обработки данных, после чего информация подлежит уничтожению в течение трех дней. Имеются в виду именно персонифицированные данные. Информация, которую нельзя сопоставить с конкретным человеком, может храниться и дальше — например, для статистических целей. Некоторые представители банков и других организаций уже заявили, что положения закона трудновыполнимы, но обойти их вряд ли удастся.
Лицо, занимающееся сбором и обработкой персональных данных, должно уведомить о своих действиях контролирующий орган, объяснив преследуемые цели. Перечень держателей персональных данных должен быть открытым, и любой гражданин имеет право осведомиться у той или иной организации, что она о нем знает. Упоминается в законе и то, что для получения данных следует заручиться согласием лица, их предоставившего.
Интересно, что этот закон был одним из немногих (если не единственным) российских нормативных актов, непосредственно связанных с приватностью граждан, который не вызвал возмущения у правозащитников. Правда, когда законопроект только поступил на рассмотрение в Думу, депутаты были настроены куда менее благодушно. Они протестовали против двух пунктов закона, предусматривающих создание единой системы персонального учета населения (СПУН), в которую должны были быть занесены, помимо всего прочего, и биометрические данные. Но президент порекомендовал эти положения из закона исключить, и во втором чтении о них речи уже не шло. Правда, единая база в России все же будет. Для такого дела в Госдуме обещают со временем принять отдельный закон. Только теперь говорят не СПУН, а госрегистр, и фигурирует в проекте не девятнадцать параметров, а только шесть: ФИО, пол, дата, год рождения. Но все это о нас можно разузнать и сегодня из баз, украденных в госведомствах, так что хуже уже не будет.
Круг подозреваемых
Потенциальных источников утечки данных о заемщиках летом прошлого года было предостаточно. Помимо банков, эта информация имелась у розничных сетей, бюро кредитных историй, коллекторских агентств, а также в Центральном каталоге кредитных историй в ЦБ. Представители последнего, правда, постарались откреститься от причастности к столь масштабному хищению конфиденциальных данных, заявив, что в Банк России поступает не вся информация; а та, что доходит, хранится в зашифрованном виде. Хотя, конечно, памятуя о прошлых инцидентах с российским ЦБ, безоговорочно отметать причастность к делу его сотрудников сложно.
Почти сразу отпали бюро кредитных историй, которые не так долго работают, чтобы собрать данные о 700 тысячах клиентов. Вне подозрений оказались и коллекторские агентства, владеющие только списками должников, тогда как в базе имелись данные и о добросовестных плательщиках. Таким образом, среди потенциальных источников утечки остались крупные банки, специализирующиеся на рынке потребительского кредитования, среди которых Инвестсбербанк, Росбанк, Русский Стандарт, Хоум Кредит и др.
ОГОРОД КОЗЛОВСКОГО: Кода, пуля и звезды
Автор: Сергей Голубицкий
После «Голубятни» про Висту ( «Как я кормил обезьяну» ) нарисовалась серьезная непонятка, на которую читатели разом затыкали пальцем по мылу в личку (во фраза, а?!). Во избежание недопониманса вношу ясность в скользкие моменты.
Первое. Бдительный Алексей Писклюков заподозрил старого голубятника в джинсовой подлянке: «Собственно, самой статьей (несмотря на немотивированно восторженные интонации), вы не проговариваетесь. Проговариваетесь вы той парой строк, которые в статье отсутствуют — я не нашел ни слова о системе активации. Где же камлание про бакунианские развалы и хакера Иванопуло в духе традиционного культур-повидла? Нету его — как же так, что случилось? От заказного характера статьи я лично получил только дополнительную порцию удовольствия — мне как игроку в покер всегда интересно видеть, блефует человек или нет».
Начну с афедрона — про «заказной характер». Его нет и быть не может по банальной причине — у меня нет прямых сношений с Микрософтом. Никаких копий Висты никто мне на тестирование не предоставлял, насколько знаю — в редакцию «Компьютерры» они тоже не поступали. В ситуации, когда нет заказчика, не может быть и заказухи. А потому все акты киллерства и триумфа, наблюдаемые читателями в «Голубятнях», являются сугубо добровольными и глубоко народными по духу.
Второе. Почему ни словом не обмолвился об активации Висты? Опять же по простой причине — темы такой больше не существует! Раз нет темы, нет и разговора. Для особо непонятливых: в конце февраля состоялся, геноссен, полный абгемахт иванович — защита операционной системы Виста была окончательно сломлена. Со всеми потрохами активации, WGA и прочими глупостями, на бессмысленность и бесперспективность которых вменяемые люди указывали редмондским фантазерам всегда и априорно. Речь идет не о паллиативных «тайм-стопперах», появившихся еще в конце 2006 года, — системах остановки таймера, отсчитывающего тридцатидневный льготный полнофункциональный период пользования Вистой, а о полноценной активации ОС — с генерацией валидных номеров и онлайн (псевдо) регистрацией. Потрясает прорыв защиты одновременно по всем мыслимым и немыслимым направлениям: сперва китайцы создали имитацию дистанционного сервера Key Management Server для активации версии Vista Enterprise, затем запустили brute-force-генератор номеров активации, который примитивно, но оттого не менее эффективно подбирает нужные ключи, наконец — венец творения — создали тулкит, эмулирующий OEM BIOS и позволяющий регистрировать уже любую потребительскую версию ОС на любом компьютере (драйверы, разработанные хакерской группой Paradox).
Спрашивается: чего ж еще рассказывать про хакера Иванопуло. Все уже сказано; вернее, сломано. Ну а джига жизнерадостного козла над трупом поверженного льва никогда не входила в мои этнические традиции.
Третья непонятка, связанная с кормлением обезьяны, возникла из-за неуклюжей формулировки: «Те, кто чувствуют уверенность в своих силах, меняют встроенные гадости (брандмауэр и антивирус) на нормальные аналоги сторонних производителей (Agnitum Outpost и Eset Nod32 в моем случае), а UAC’у просто сворачивают шею (полностью отключают, то бишь)». Счастливые гоблины, в предвкушении замоча, мигом затоварили мылом редакционную почту: «Хочу обратиться к Сергею Голубицкому, может он поделится секретом, как ему удалось скрестить Vista и Agnitum Outpost? Может он вообще не ставил себе новую ось?» — кайфует анонимный Рома. Разочаровываю Рому: во-первых, насколько мне известно, Outpost с Вистой уже совокупляется, поскольку ведется тестирование внутренней беты (при желании мог бы ее получить у разработчиков); во-вторых, фраза «в моем случае» относится к тому, какие программы я считаю «нормальными аналогами», а не к самоличному тестированию Outpost под Вистой. Выразился неудачно, согласен, однако всякий пожиратель культур-повидла со стажем (а не случайно шагающий мимо) должен был бы знать, что уже который год как я отказался от программных файрволлов, обходясь железным экраном моего маршрутизатора — о чем неоднократно писано в «Голубятнях».
И наконец, кода. Вопрос об «окончательном пребывании с Вистой» решился заблаговременно и отрицательно — я вернулся на Windows XP, не дожидаясь появления драйверов для стека Bluetooth, поскольку обнаружилась, уже после написания колонки, еще одна — на сей раз критичная — несовместимость: новая ОС отказалась работать с моим VоIP-телефоном, коим пользуюсь постоянно и не могу позволить себе роскошь ожидания подходящих драйверов.
Мой вердикт относительно Windows Vista: новая ОС малопригодна для апгрейда! Иными словами: либо вы пользуетесь старой доброй Windows XP, либо покупаете новый компьютер с уже предустановленной Windows Vista. Компьютер, в котором заведомо не окажется железных несовместимостей.
