Οι 10 μεγαλύτερες διαρροές δεδομένων του 2020

Η χρονιά που πέρασε κατέγραψε μια ραγδαία αύξηση στις παραβιάσεις των συστημάτων και στη διαρροή δεδομένων, αρχείων εγγραφής, και πολλών άλλων καταχωρήσεων σε ηλεκτρονικές βάσεις δεδομένων που αποκαλούνται διεθνώς ως records.

Αρχικά, η εταιρία Risk Based Security πρόσφατα αποκάλυψε πως πάνω από 36 δισεκατομμύρια records βρέθηκαν εκτεθειμένα μέσα στο 2020, προσδίδοντας στο περασμένο έτος ίσως τον αρνητικό τίτλο της «χειρότερης χρονιάς» στο τομέα των παραβιάσεων.

Ένα συμβάν που έστρεψε πάνω του όλα τα βλέμματα, σύμφωνα με τον Chris Hallenbeck, Διευθυντή κυβερνοασφάλειας της Tanium (Αμερικάνικη εταιρεία παροχής υπηρεσιών κυβερνοασφάλειας και διαχείρισης δεδομένων), ήταν όταν τρεις έφηβοι κατάφεραν να αποκτήσουν πρόσβαση στους λογαριασμούς twitter δημοσίων προσώπων, αφού ουσιαστικά μηχανεύτηκαν τρόπο να  ξεγελάσουν τους υπαλλήλους της εταιρείας μέσω social media, προσποιούμενοι στην ουσία ότι ήταν συνάδελφοι που χρειάζονταν πρόσβαση στην πύλη εξυπηρέτησης πελατών.

Πρόκειται για ένα ακόμα περιστατικό Social Engineering – κοινωνικής μηχανικής – που ήρθε ως έντονο καμπανάκι κινδύνου, αφού δείχνει με εμφατικό τρόπο πως πρέπει πλέον να ενισχυθεί η κουλτούρα και εκπαίδευση κυβερνοασφάλειας μεταξύ του προσωπικού όλων των εταιριών ακόμα και αυτών που ασχολούνται αμιγώς με την πληροφορική.

Παρακάτω ακολουθούν οι 10 μεγαλύτερες διαρροές και παραβιάσεις δεδομένων για το 2020 όπως τις αξιολογεί το securitymanagazine.com και κάποια άλλα αντίστοιχα περιστατικά άξια αναφοράς:

10. Microsoft – 210 εκατ. records

Στις 22 Ιανουαρίου, η Microsoft αποκάλυψε πως δέχθηκε παραβίαση τον Δεκέμβριο του 2019. Μία αλλαγή που πραγματοποιήθηκε σε βάση δεδομένων από την ομάδα ασφάλειας δικτύου της εταιρείας, στις αρχές του Δεκεμβρίου, διαμόρφωσε εσφαλμένους κανόνες ασφαλείας που επέτρεψαν την έκθεση των δεδομένων.  Σύμφωνα με το ZDNet οι servers που δέχθηκαν την επίθεση είχαν 250 εκατ. records με πληροφορίες όπως λογαριασμοί email και διευθύνσεις IP. Οι μηχανικοί της εταιρείας αποκατέστησαν το πρόβλημα ασφάλειας την τελευταία μέρα του μήνα, ενώ ο τεχνολογικός κολοσσός υποστήριξε πως παρά την παραβίαση, οι εμπορικές υπηρεσίες του cloud παρέμειναν ασφαλείς.

9. Wattpad – 268 εκατ. records

Τον Ιούνιο του 2020, η πλατφόρμα κοινωνικών ιστοριών Wattpad δέχθηκε επίθεση με αποτέλεσμα τη διαρροή τεράστιου όγκου δεδομένων. Σύμφωνα με το BleepingComputer, τα 268.745.495 records αρχικά πωλήθηκαν στην τιμή των 100.000 δολαρίων ΗΠΑ ενώ  κατέληξαν σε ένα hacking φόρουμ. Προσωπικά δεδομένα πολιτών όπως ονόματα, email,  διευθύνσεις IP, γεωγραφικές θέσεις και άλλα εκτέθηκαν σε μεγάλο βαθμό.

8. Broadvoice – 350 εκατ. records

Την 1^η Οκτωβρίου, ο ερευνητής ασφαλείας Bob Diachenko ανακάλυψε εκτεθειμένες βάσεις  δεδομένων της  τηλεπικοινωνιακής εταιρείας Broadvoice. Η διαρροή αφορούσε περίπου 350 εκατ. πελάτες. Ονόματα καλούντων, τηλεφωνικοί αριθμοί και τοποθεσίες ήταν απροστάτευτα έναντι κακόβουλης ενέργειας. Μάλιστα άλλη βάση δεδομένων περιλάμβανε χιλιάδες ηχητικά  μηνύματα και  πραγματικά ευαίσθητα δεδομένα όπως ιατρικές συνταγές και  οικονομικά στοιχεία  πελατών.

7. Estee Lauder – 440 εκατ. records

Τον Ιανουάριο του 2020, ο ερευνητής ασφαλείας Jeremiah Fowler ανακάλυψε στο διαδίκτυο  μία βάση δεδομένων που ανήκε στην εταιρεία καλλυντικών Estee Lauder, και όπως ο ίδιος ισχυρίστηκε, περιείχε τεράστιο όγκο δεδομένων. Σύμφωνα με την εταιρεία, η βάση δεδομένων αφορούσε μία εκπαιδευτική πλατφόρμα και ως εκ τούτου προσωπικά στοιχεία πελατών δεν αντιμετώπισαν κάποιο κίνδυνο. Σύμφωνα πάντα με τον ερευνητή, η βάση, που είχε 440.336.852 καταγραφές ήταν προσβάσιμη για όποιον διέθετε μια απλή σύνδεση δικτύου.

6. Sina Weibo – 538 εκατ. records

Τον Μάρτιο διέρρευσαν δεδομένα του κινεζικού κοινωνικού δικτύου weibo και αφορούσαν προσωπικά στοιχεία 538 εκατ. χρηστών. Λίγους μήνες αργότερα, στα μέσα του έτους, ένας χάκερ απέκτησε τα δεδομένα τα οποία και πωλούσε προς 250 δολάρια ΗΠΑ στο dark web. Τα records δεν περιείχαν κωδικούς πληρωμών και ως εκ τούτου δεν είχαν μεγάλη αξία, όμως εκτέθηκαν ονοματεπώνυμα πολιτών, usernames και αριθμοί τηλεφώνων.

5. Whisper – 900 εκατ. records

Σύμφωνα με την Washington Post, τον Μάρτιο του 2020  οι ερευνητές Mathew Porter και Dan Ehrlich, κατάφεραν να αποκτήσουν πρόσβαση σε βάση δεδομένων της πλατφόρμας κοινωνικής δικτύωσης Whisper. Αν και οι υπεύθυνοι της πλατφόρμας ισχυρίζονταν πως είναι το πιο ασφαλές μέρος του internet, records όπως ηλικίες, εθνικότητα, ψευδώνυμα και σεξουαλικές προτιμήσεις 900 εκατ. χρηστών βρέθηκαν εκτεθειμένες και ευάλωτες σε οποιαδήποτε κυβερνοεπίθεση.

4. BlueKai – δισεκατομμύρια records

Η BlueKai είναι μία startup  που αγοράστηκε από την Oracle για 400 εκατ. δολάρια ΗΠΑ και σύμφωνα με το techcrunch  διατηρεί μια από τις πιο μεγάλες βάσεις δεδομένων παγκοσμίως. Τον Ιούνιο του 2020, ο ερευνητής ασφαλείας Anurag Sen, ανακάλυψε μία απροστάτευτη βάση δεδομένων της εταιρείας με αποτέλεσμα δισεκατομμύρια records που περιείχαν ονόματα, διευθύνσεις οικιών, mails και δικτυακές δραστηριότητες όπως οι ηλεκτρονικές αγορές να βρεθούν εκτεθειμένες.

3. Keepnet Labs – 5 δις records

Ο σύμβουλος ηλεκτρονικής ασφάλειας, Bob Diachenco, τον Μάρτιο του 2020 ‘’έπεσε’’ πάνω σε μία απροστάτευτη βάση δεδομένων που ανήκε στην Keepnet Labs. Σύμφωνα με τον ίδιο επρόκειτο ουσιαστικά για ένα σύμπλεγμα διαρροών που αφορούσαν πάνω από 5 δις records και περιλάμβαναν emails,  κωδικούς και άλλα στοιχεία χρηστών. Είναι πάντως ειρωνικό αν σκεφτεί κανείς πως η Keepnet Labs, η οποία τον ίδιο μήνα κιόλας παραδέχθηκε την τεράστια διαρροή δεδομένων, είναι εταιρεία cybersecurity.

2. Advanced Info Service – 8,3 δισεκατομμύρια records

Τον Μάιο του 2020, ο ερευνητής ηλεκτρονικής ασφάλειας Justin Paine, ανακάλυψε μία ανοιχτή βάση δεδομένων που ανήκε σε θυγατρική του Ταϋλανδέζικου παρόχου τηλεπικοινωνιών AIS και καλύπτει περί τα 40 εκατ. συνδρομητές. Ο ίδιος υποστήριξε πως αρχικά η βάση ήταν εκτεθειμένη και δημόσια προσβάσιμη την πρώτη του μήνα. Στις επόμενες 3 εβδομάδες ο όγκος εκτεθειμένων δεδομένων είχε αυξηθεί κατακόρυφα αφού κάθε μέρα προσθέτονταν  περίπου 200 εκατ. γραμμές πληροφορίας. Μέχρι και την 21^η Μαΐου είχαν διαρρεύσει 8.336.189.132 records κάτι που επιβεβαίωσε η εταιρεία τηλεπικοινωνιών. Τέλος, η AIS δήλωσε πως η διαρροή δεν αφορούσε δεδομένα που θα μπορούσαν να συμβάλλουν στην ταυτοποίηση των πελατών της.

1. CAM4 – 10.88 δισεκατομμύρια records

Όπως στην περίπτωση της BlueKai, έτσι και δω, ο ερευνητής ασφαλείας Anurag Sen, ανακάλυψε σημαντική διαρροή δεδομένων που αφορούσε τον ιστότοπο περιεχομένου για ενήλικες CAM4 και ανήκει στην ιρλανδική Granity Entertainment. Το μέγεθος της βάσης δεδομένων ξεπερνούσε τα 7TB και περιείχε πάνω από 10 δις records όπου μεταξύ άλλων περιλάμβαναν ονοματεπώνυμα, διευθύνσεις mail, ημερομηνίες δημιουργίας λογαριασμών, σεξουαλικές προτιμήσεις χρηστών, usernames και πολλά άλλα δεδομένα.

Πέραν όμως των παραπάνω περιπτώσεων τεράστιων διαρροών που παρουσιάστηκαν, υπάρχουν και μερικές άλλες, μικρότερες μεν, αλλά άξιες αναφοράς:

• Facebook – 267 εκατ. records
• Instagram, TikTok, Youtube – 235 εκατ. records
• Cit0Day – 226 εκατ. records
• Google Cloud Server – 201 εκατ. records
• MGM – 142 εκατ. records
• Burnes&Noble – άγνωστο

Προβλέψεις για το 2021

Ποιο θα είναι άραγε το τοπίο στην κυβερνοασφάλεια τη χρονιά που μόλις ξεκίνησε; Ο Hallenbeck ισχυρίζεται πως οποιοσδήποτε επαγγελματίας του χώρου, θα έλεγε πως η κυβερνοασφάλεια αποτελεί έναν μόνιμο στόχο. ‘’Για αυτό πρέπει οι επιχειρήσεις να επενδύουν διαρκώς στην ασφάλεια τους και να επανεξετάζουν συστηματικά τις στρατηγικές τους’’ προσθέτει ο ίδιος.

Πρόσφατη έρευνα της Tanium, που πραγματοποιήθηκε στους δύο πρώτους μήνες της πανδημίας, αποκάλυψε πως στο 93% των επιχειρήσεων, οι ομάδες IT καθυστερούσαν στην πραγματοποίηση των εργασιών ασφαλείας ενώ την ίδια στιγμή, το 85% των επιχειρήσεων αντιμετώπισαν στο ίδιο χρονικό διάστημα πολλές περισσότερες κυβερνοεπιθέσεις σε σχέση με πριν. O Hallenbeck προβλέπει πως η τάση αυτή θα συνεχιστεί και τον επόμενο χρόνο. Μάλιστα ισχυρίζεται πως τα περιστατικά ransomware θα αναβαθμιστούν ενώ ταυτόχρονα θα μεταλλαχτούν, κάτι άλλωστε που βλέπουμε να συμβαίνει ούτως ή άλλως μέχρι σήμερα. Εντέλει ο ίδιος προτείνει, προκειμένου οι εταιρείες να είναι ένα βήμα μπροστά, να είναι ικανές να διαχειρίζονται και να ελέγχουν κάθε τερματικό σημείο του δικτύου της.

Πηγή: securitymagazine.com