В 2018 году мировой объем утечек пользовательских данных сократился в два раза — наибольшее снижение в хай-теке, банках и страховании

В 2018 году существенно сократился объем данных, скомпрометированных в результате утечек из организаций сферы высоких технологий, финансово-кредитного и страхового сектора, а также предприятий промышленности. 

Наиболее привлекательными для злоумышленников остаются данные из организаций финансово-кредитной и страховой сферы, где около 65% утечек были совершены умышленно. Зафиксирован высокий интерес нарушителей к информации из промышленных и транспортных систем, компаний сфер  торговли и HoReCa, а также высокотехнологичного бизнеса — более половины утечек в этих отраслях носили умышленный характер. 

«Лидерами» по объему утекающих пользовательских данных остаются высокотехнологичные компании, а также предприятия сферы торговли и HoReCa, медицинские и муниципальные учреждения — на них суммарно пришлось 70% годового объема утечек персональной информации в мире.

На компании сферы высоких технологий, как и в 2017 году, пришлось около 30% от мирового объема утечек информации о пользователях. Вместе с тем, средняя мощность^[1] инцидентов в высокотехнологичном секторе снизилась более чем в два раза — до 9 млн записей данных на одну утечку в 2018 году.

Сокращение объема утечек информации о пользователях также отмечено в финансово-кредитной и страховой сферах, предприятиях промышленности и транспорта. Объем утечек данных из финансовых и страховых компаний сократился в четыре раза, а средняя мощность утечек в этой сфере снизилась с 840 тыс. до 190 тыс. записей данных. В семь раз сократился объем записей данных, скомпрометированных в результате утечек из промышленных и транспортных предприятий, их мощность составила менее 100 тыс. записей.

Большие массивы данных — более 18% объема утекшей информации, теряли организации сферы торговли и HoReCa, средняя мощность утечек в ритейле составила 430 тыс. записей данных. До 12% и 9% в мировом трафике утечек ПДн и платежной информации выросли доли медицинских и муниципальных учреждений. В среднем каждая утечка из муниципалитетов приводила к компрометации 400 тыс. записей данных, в то время как для медицинской сферы характерна меньшая мощность инцидентов — около 60 тыс. записей. 

 «Отраслевую картину утечек определяют два ключевых фактора — это ликвидность и защищенность информации, — пояснил аналитик ГК InfoWatch Сергей Хайрук. — Там, где ценность данных наиболее очевидна и защите информации уделяется большее внимание, например, в банках, страховых компаниях и госсекторе, объем утечек значительно ниже. Такие структуры защищают корпоративные и пользовательские данные с помощью организационных и технических мер: используют DLP-, SIEM- и другие профильные ИБ-системы, заботятся о повышении уровня цифровой гигиены сотрудников. И если раньше бизнес охотнее инвестировал в защиту своей интеллектуальной собственности, коммерческих секретов и ноу-хау, а к безопасности клиентских данных относился с меньшим вниманием, то с введением огромных штрафов за утечки ПДн эта ситуация меняется».

Наибольший заявленный ущерб для организаций из-за утечки данных в 2018 году составил $534 млн — такую сумму потеряла японская криптобиржа Coincheck в результате компрометации онлайн-кошельков ее клиентов.

Самый крупный штраф за утечку персональной информации был вынесен компании Uber — ее обязали выплатить $148 млн за утечку данных 57 млн своих клиентов и водителей, в том числе 25 млн резидентов США.

Неправомерное использование данных пользователей Facebook обернулась санкциями со стороны британских властей в размере £500 тыс, компания также была оштрафована Антимонопольной службой Италии на €10 млн.

С введением регламента GDPR, увеличением штрафов за компрометацию ПДн и появлением судебных решений по делам о краже коммерческой тайны, проблема оценки «стоимости» информации теряет свою актуальность, отметили аналитики InfoWatch. «Известная фраза о ценности владения информацией обретает новый смысл исходя из оценки последствий ее компрометации. Сведения, циркулирующие в организациях, на наших глазах обретают реальную стоимость, и если оценка ряда информационных активов определяется рынком, то пользовательских данных — размером возможных санкций со стороны регуляторов, с появлением которых можно оценить и эффективность вложения в их безопасность», — пояснил Сергей Хайрук.

В распределении инцидентов по типу данных по-прежнему преобладают ПДн и платежная информация: их доля, как и годом ранее, составляет 86%. 

В 2018 году «внешние» утечки оставались более «мощным» типом инцидента по сравнению с внутренними — в среднем на одну «внешнюю» утечку приходилось 5,15 млн скомпрометированных записей данных, утечка по вине внутреннего нарушителя приводила к компрометации 2 млн записей.

«Результативность хакерских атак упала более чем на треть, в среднем до пяти миллионов записей данных на каждый инцидент, однако говорить о коренном переломе в борьбе с внешними злоумышленниками пока не приходится: общее число таких инцидентов не снизилось, взломы хакерами огромных баз данных по-прежнему случаются регулярно, — отметил Сергей Хайрук. — “Внутренние” утечки кажутся менее разрушительными из-за меньшего объема скомпрометированных записей данных, но инсайдеры, обладая практически неограниченным доступом к внутренним ресурсам организации, могут завладеть наиболее ценной информацией».

Инсайдер остается самым распространенным виновником утечек данных в организациях. Доля утечек по вине внутреннего нарушителя в 2018 году возросла на 3 п.п. до 63% от общего количества утечек за год. Каждый второй инцидент произошел по вине рядового специалиста, еще около 10% случаев пришлись на «привилегированных» пользователей (руководители и системные администраторы), подрядчиков и бывших сотрудников компаний. 

29 из 47 мега-утечек ^[2] в 2018 году были спровоцированы действиями внутреннего нарушителя. За год число «мега-утечек» выросло на 20%.

Самая масштабная утечка информации произошла в Индии, где были скомпрометированы 1,2 млрд записей данных пользователей, включая ПДн и биометрическую информацию, из системы AADHAAR — крупнейшего государственного хранилища идентификационных данных в мире.

Также были зафиксированы крупные утечки информации из коммерческих компаний: разработчика ПО Veeam (440 млн записей), гостиничной сети Marriott (383 млн), маркетинговой фирмы Exactis (340 млн), логистической компании SF Express (300 млн), сервисного стартапа Apollo (200 млн), ИТ-компании VNG (около 163 млн) и приложения Under Armour (150 млн).

Наиболее популярным каналом утечки информации остается сетевой ресурс (72%). По сравнению с 2017 годом на пять процентных пунктов (п.п.) снизилась доля инцидентов, связанных с использованием электронной почты, также на 0,8 п.п. сократилась доля утечек в результате кражи или потери оборудования, на 0,2 п.п. — с помощью мобильных устройств. 

«Распределение утечек по каналам постепенно будет меняться, — отметил аналитик ГК InfoWatch Сергей Хайрук. — Появляются новые способы, например, впервые была зафиксирована компрометация данных по вине создателей мобильных приложений, которые получили доступ к данным в системах заказчика. Кроме того, пристальное внимание к вопросам защиты персональных данных ведет к распространению специализированных средств защиты информации и общему повышению уровня кибергигиены».

В распределении каналов случайных и умышленных утечек данных в 2018 году почти в два раза — до 16% сократилась доля случаев, когда сведения были скомпрометированы из-за случайной отправки электронной почты. 

«Отдельные типы данных и каналы передачи требуют различных подходов к их защите. Например, то, что отлично работает на сетевом канале, будет практически неэффективно с точки зрения контроля мобильных устройств, мессенджеров, — отметил Сергей Хайрук. — Организациям необходима комплексная защита, как на технологическом уровне, так и с точки зрения построения процессов и регламентов. Если для противодействия “внешним” утечкам в основном требуется техническое отражение атак и своевременные обновления, то борьба с утечками по вине внутренних нарушителей предполагает серьезные усилия в области управления информацией и персоналом, с использованием систем анализа и контроля поведения сотрудников, выявления аномалий в работе информационных систем».

[1] «Мощность» утечки – среднее число пострадавших записей данных в расчете на один инцидент

[2] Мега-утечка - инцидент, в результате которого было скомпрометировано от 10 млн записей данных