Кибератаки: как компании не стать жертвой хакеров

Жертвами кибератак ежегодно становятся 556 млн человек —
а это 1,5 млн пользователей в день или 18 за секунду. Киберпреступники крадут миллионы долларов с банковских счетов, взламывают системы безопасности корпораций и вторгаются в базы данных госструктур.
Даже самая скромная по масштабам кибератака в случае успеха может привести к критическим последствиям.

Для компании кибербезопасность означает защиту не только собственной информации. От проникновения хакера в базу данных может пострадать каждый клиент и партнер — в руках у преступников окажутся все финансовые данные, личные и контактные данные, договоры, сметы, планы, проекты, концепции. То есть абсолютно все. И вы не сможете понять, когда, в каком объеме и кто будет использовать украденную у вас информацию.

Система безопасности и база данных компании — это в определенном смысле режимные объекты, на которые ни при каких условиях не должен попасть посторонний. В противном случае ждите корпоративного апокалипсиса. Утечка данных означает, что коммерческая тайна будет нарушена, а с ней рухнет и доверие к вам и вашей компании.

Marketing Challenge поинтересовался у Артема Згиблова, специалиста по информационным технологиям и кибербезопасности, Максима Рассамакина, digital-эксперта и управляющего партнера Q28, — как защитить себя, свою компанию или даже страну от хакеров.

Артем Згиблов
Специалист по информацилнным технологиям и кибербезопасности

Киберпреступление – это преступление в сфере ИТ, которое предполагает вмешательство в работу автоматизированной системы. Систему заставляют работать не по алгоритму, заложенному разработчиком. Это может быть как принтер, так и суперсовременное устройство или программный продукт.

За кибератаку платят конкуренты или недоброжелатели. Особенно часто кибератаки с целью для кражи личных данных гостей происходят во время массовых мероприятий: Евровидения, олимпиад, спортивных соревнований.

Зачем хакеры это делают?

Мотивации и задачи хакеров могут быть разными. Это и киберпреступления [преступления, за которые хакер получает деньги. – Прим.ред.], и хактивизм [преступления и взломы, которые хакер осуществляет в основном бесплатно, основываясь на личных побуждениях или для саморекламы. – Прим.ред.], и кибершпионаж, и кибервойны.

Если раньше хакерские атаки были скорее развлечением, то сейчас доля хактивизма по статистике кибератак за 2016 год составляет всего 14%, а вот киберпреступлений – 72%.

Кто становится жертвой хакеров?

Ежесекундно в интернет загружается 25,5 тысяч ГБ информации: фильмов, книг, документов, личных данных, приблизительно 2,2 миллиона ГБ в день. Вся эта информация потенциально необходима злоумышленникам.
На начало 2014 года хакеры получили доступ к данным 47% взрослого населения США: персональным данным, адресам, номерам кредитных карт, паролям, логинам [по данным Ponemon Institute. – Прим. ред.]. Эти данные не были защищены должным образом.

Крупная американская сеть магазинов розничной торговли Target в Чёрную пятницу в 2013 году в результате атаки хакеров потеряла 70 млн профайлов покупателей, а также около 40 млн данных о кредитных картах. Компания Yahoo подтверждает кражу данных более чем миллиарда аккаунтов в августе 2013, в 2014 году –
по меньшей мере 500 млн, в2015-2016 годах пострадали более 32 миллионов пользователей. Это сказалось
на грядущей сделке по продаже Yahoo компании Verizon: из-за этого в феврале 2017 года Yahoo согласилась
на снижение суммы сделки на 350 млн долларов. Также от хакерских атак пострадали пользователи Adobe (утечка информации о 33 млн пользователей и 3,2 млн данных о кредитных картах), Snapchat (4,6 млн данных пользователей), eBay (потенциально все 148 млн данных пользователей).

Этот список можно продолжать бесконечно. От хакерских атак страдает большинство коммерческих компаний и государственных структур. Например, в январе 2017 года хакер CyberZeist взломал сайт FBI и опубликовал информацию
о 155 должностных лицах бюро.

Кибербезопасность в Украине

В Украине киберзащита находится на очень низком уровне: никто об этом не думает. Сами граждане не понимают, что нужно требовать от компаний, которым они отдают свои данные. В США взломами корпораций и хищением данных граждан занимается ФБР – это считается угрозой национальной безопасности, компрометацией данных граждан. У нас нет законодательства, которое обязывало бы “взломанные” компании хотя бы уведомить об этом своих клиентов. Кроме того, бизнес не готов тратить деньги на свою защиту.

Украина постоянно находится в списках хакерских атак: либо мы “взламываем” кого-то, либо “взламывают” нас. Вспомнить хотя бы декабрьские взломы государственных структур. В нашей стране есть Государственная служба специальной связи и защиты информации Украины – Госспецсвязь. Её основная задача – формировать и проводить государственную политику в сфере защиты государственных систем. Есть еще организация CERT-UA [Computer Emergency Response Team of Ukraine. – Прим. ред.], аналогичные подразделения существуют по всему миру. Еще есть профильное государственное предприятие Госспецсвязи – “Украинские специальные системы”, которая среди прочего принимает комплексные решения по защите информационных ресурсов, проводит государственные экспертизы и реализовывает другие задачи в сфере защиты информации.

Пока что, к сожалению, цель всех профильных государственных организаций в сфере защиты информации – не в создании защищенных систем, а в освоении бюджета. Сегодняшние украинские стандарты информационной безопасности не актуальны: например, требования к защите сайтов описаны в документе от… 2003 (!) года [Приказ Администрации Госспецсвязи ТЗИ 2.5-010-03. – Прим. ред.]. И еще нужно создать эффективный CERT. Если говорить о профильном госпредприятии, там тоже много вопросов — чего только стоит скандал с электронной декларацией Рябошапки [инцидент с размещением в государственном реестре электронных деклараций фальшивой декларации от имени члена НАЗК Руслана Рябошапки. – Прим. ред.].

Почему так важно защищать личные данные?

Информацию, опубликованную на социальных сайтах, можно «спрятать» настройками приватности —
это значит, пользователи, от которых вы скрыли данные, их не увидят. Но речь идёт о хакерах. Можно сколько угодно говорить, что вам не важна ваша интернет-безопасность и вам всё равно, если кто-то увидит ваши фото или взломает ваш аккаунт. Но целью злоумышленника можете быть не вы, а ваш работодатель, партнёр или семья. Например, от вашего имени родным или начальнику могут отправлять сообщения или файлы, которые они, скорее всего, откроют. Или ваш компьютер могут использовать для хакерских атак. Тогда может прийти полиция и спросить: что это вы тут такое делаете? Поэтому защищать данные нужно, и каждый должен понимать риски, которые несут все его действия в сети.

Какие сайты наиболее опасны?

Прежде всего, это сайты с нелегальным контентом, сайты для взрослых, торренты, файлообменники.Бывает, что вирусами заражают популярные сайты, например, новостные, где очень большой поток пользователей. Когда пользователи открывают там статьи, они могут, например, автоматически скачать часть кода, а вторую его часть компьютер может «подхватить» другим путем (через почту). Обычно такие сложные вирусы антивирусным системам не по зубам. Раньше хакеры могли заражать кого угодно, и их цель была в максимальном охвате зараженных устройств. Сегодня атаки становятся все более направленными. Хакеры пишут вирусы специально под определенную инфраструктуру, а перед заражением неоднократно тестируют.

Как защищать личные данные?

Нужно просто думать, на какую кнопку вы нажимаете и стоит ли это делать, своевременно обновлять программные продукты, создавать резервные копии важных данных, обращать внимание на то, что система хочет сказать. Антивирусы также достаточно эффективны, хоть они и защищают от малой части зловреда (по данным компании Symantec на конец 2013 года, антивирус был способен защитить всего от 40-47% атак). Разные пароли на разных устройствах и режимы анонимного просмотра в браузерах — тоже действенные инструменты. На аккаунтах можно поставить двухэтапную авторизацию: сначала пароль, а потом еще и sms-сообщение с кодом подтверждения. Если вы это сделаете, то автоматически поднимете «стоимость» взлома себя как пользователя. Но панацеи от хакерской атаки, конечно же, нет.

Как защищать данные клиентов?

Человеческий фактор и неграмотность – главная причина утечки информации. Необходимо организовывать “учения”, моделирования. Большие компании даже в Украине регулярно проводят финансовые аудиты, но какой процент организует полноценный аудит информационной безопасности? Можно провести тестирование на проникновение, так называемый «пентест» [сокр. англ. “penetration test”. – Прим. ред.]. Периодически компаниям нужно устраивать такие проверки, а если говорить о мировой практике, то даже обеспечивать страхование кибер-рисков.

Максим Рассамакин
Digital-эксперт и управляющий партнер Quadrate 28 Corp

Последствия кибератак для компании зависят от ее масштабов и того, в какой сфере бизнеса она работает. Иногда это просто инфоповод, а иногда может дойти и до банкротства.

Жертвой хакеров потенциально могут стать все — от компаний госсектора до топовых онлайн-магазинов и сайтов медийных компаний. Хотя, как мне кажется, иногда атакой прикрывают банальное несовершенство технической составляющей.

Если кибератака была успешной, и пострадала база клиентских/партнерских данных, я бы рекомендовал:

во-первых, максимально оперативно восстановить данные.
во-вторых, нужно честно объяснить клиенту, что именно произошло — тут простого “простите за временные неудобства” будет недостаточно. Если не давать ответа на вопросы, либо их додумают клиенты, либо на них ответят конкуренты.
в-третьих, естественно, начать принимать меры по предотвращению следующих атак — если один раз хакеры успешно вас взломали, они гарантированно придут снова.

Кибератаки в целом можно считать одним из способов «потопить» бизнес-противника, но сработает он только в том случае, если конкурент будет молча сидеть сложа руки и наблюдать. Но тогда кибератака — это точно не основная его проблема.

Интересные факты:

По данным компании Panda Labs, в среднем в квартал фиксируется 18 миллионов новых вредоносных программ — то есть 200 тысяч в день. И это только то, что обнаружено одной компанией.

Oracle Java, Adobe Reader или Adobe Flash установлены на 99% компьютерных устройств. Это означает, что 99% компьютеров подвержены так называемым эксплойтам — программным уязвимостям. Достаточно всего одного нажатия курсором на зараженный рекламный баннер, чтобы дать хакеру полный доступ к вашему компьютеру и, соответственно, личной информации.

По статистике, в мире уже более 1,6 миллиарда пользователей социальных сетей, причем более 64% из них пользуются социальными сетями не через приложения, а в браузерах. 1 из 10 пользователей социальных сетей заявляет, что становился жертвой кибератаки, и эти цифры растут.

Люди были и остаются самым слабым звеном в сфере кибербезопасности. В ходе атаки группой хакеров из Восточной Европы за два года было украдено 1 миллиард долларов из 100 различных банков почти в 30 странах при использовании электронных писем фишинга, предназначенных сотрудникам банков. Техника направленного фишинга — сегодня самая успешная: на нее приходится 91% атак. Никогда не открывайте ссылки в письмах от неизвестных адресатов и внимательно проверяйте название сайта в ссылке, по которой собрались перейти.

Не всегда технологическая защита обеспечивает абсолютную безопасность. Больше половины — 59% — сотрудников крадут корпоративные данные, когда уходят или увольняются. Поэтому совместное пользование корпоративными данными — риск по определению. И опасность возрастает в разы, если расставание с сотрудником сопряжено с конфликтом.