Toenemende oortredingsgetalle en verskuiwende aanvalspatrone dui op moeilike tye wat voorlê

As jy gedink het dat data-oortredings sleg is, gordel vas; hulle word erger. In Januarie het die US Identity Theft Resource Centre (ITRC) sy 2023 Data-oortredingsverslag. Die bevindings is erg. Die verslag, nou in sy 18de jaar, het 'n groot toename in die aantal data-oortredingsvoorvalle gedokumenteer. Dit het 3,205 2023 totale kompromieë in 72 opgespoor, 1,860% hoër vanaf 'n hoogtepunt van 2021 XNUMX in XNUMX.

Kenners is bekommerd dat blootgestelde voorsieningskettings en die gebrek aan 'n nasionale databeskermingswet teenstanders 'n voordeel gee.

'n Moeder van alle oortredings

In dieselfde maand het ons een van die grootste enkele datalekkasies in die geskiedenis gesien. Met die bynaam die "Mother of All Breaches" (MOAB), het dit meer as 26 miljard rekords gesien wat gesteel is van Leak-Lookup, 'n soekenjin vir geskendde persoonlike rekords wat versamel is van meer as 4,000 XNUMX oortredings wat jare terug strek.

Bob Diachenko, stigter van Security Discovery, het die gesteelde rekords in 'n verkeerd gekonfigureerde geval aanlyn gevind, wat beteken dat enigiemand toegang daartoe kon hê.
Die kuberveiligheidsmaatskappy SpyCloud gevind dat hoewel die meeste van die rekords oud was en voorheen blootgelê is, die data steeds 'n geraamde 1.6 miljard rekords bevat van 274 oortredings wat nie in sy eie bestaande databasis van gekompromitteerde rekords was nie. Ongeveer 30 van die voorheen onbekende oortredings het duplikate of vervaardigde data bevat, maar die rekords het ook sekere oortredingsdata ingesluit wat voorheen vir privaat verkoop aanlyn aangebied is.

'n Dubbele bedreiging

Data-oortredings wat lei tot die publikasie van persoonlike inligting aanlyn hou verskeie gevare in. Die eerste is dat hulle gebruik kan word vir geloofsaanvalle, waarin aanvallers brute-force-aanvalle op verskeie rekeninge outomatiseer deur een aanval se ontblote geloofsbriewe te gebruik.

"Die vreesaanjaendste ding vir 'n sekuriteitspan is dat iemand toegang tot geloofsbriewe kry en binne 'n organisasie kan volhard," het Will Lin, uitvoerende hoof van die stealth-sekuriteit-opstart AKA Identity, aan ISMS.online gesê.

Gebreekte rekords wat aanlyn uitgelek is, is ook 'n nuttige hulpmiddel om geteikende aanvalle te loods, sê Venky Raju, veld-CTO van ColorTokens. Raju merk op 'n daling in die gemiddelde aantal slagoffers per oortreding die afgelope tyd. Terwyl oortredingsvoorvalle in 2023 die hoogte ingeskiet het, het die getal slagoffers met 16% gedaal van 425.2 miljoen in 2022 tot net meer as 353 miljoen verlede jaar. Ses jaar gelede is 2.2 miljoen rekords in 1,175 XNUMX oortredings blootgelê, volgens die ITRC.

"Die rede waarom die aantal slagoffers daal, is omdat [aanvalle] nou baie geteiken is," vertel Raju aan ISMS.online. "Daar is meer geld om te maak deur 'n klein aantal mense te teiken waarvan jy meer weet as om net 'n spuit-en-bid-aanval te doen."

Gebreekte rekords kan enigiets van eenvoudige toegangsbewyse tot gedetailleerde gesondheidsorginligting of finansiële data bevat. In Januarie, versekering groep Chaucer gesê dat 53 miljoen individue se finansiële data verlede jaar in oortredings gekompromitteer is.

Persoonlike data van oortredings stel aanvallers in staat om meer oor hul slagoffers te wete te kom, sê Raju, wat beteken dat hulle individue meer effektief kan teiken. Hy waarsku dat aanvallers hierdie data verbeter met nog meer inligting wat by datamakelaars gekoop is. Dit kan gebruik word vir swendelary, insluitend varkslagting, waarin aanvallers mense in verhoudings lok en hulle dan oorreed om in vals ondernemings te belê. Hierdie aanvalle steun sterk op sosiale ingenieurswese.

Voorsieningskettings in gevaar

Die ITRC se bedryfshoof, James Lee, voer aan dat MOAB, met sy groot deel van reeds blootgestelde rekords, nie veel van 'n impak sal hê nie. Hy is bekommerd oor nog 'n neiging wat in die verslag uitgelig word.

"Ek is baie meer bekommerd oor die toename in aanbodkettingaanvalle en die groeiende vermoë van bedreigingsakteurs om in die bronkode van sagteware te kom om nul-dag-foute te vind en dit uit te buit," sê hy aan ISMS.online. Die ITRC se statistieke toon 'n styging van 2,600 2018% in organisasies wat in voorsieningskettingaanvalle geteiken is sedert 1,400, en 'n styging van XNUMX XNUMX% in die aantal slagoffers.

So, hoe keer ons dat die oortredingsgetalle nog verder styg?

"Die gebrek aan eenvormige kuberveiligheidstandaarde tesame met 'n gebrek aan eenvormige data-oortredingskennisgewing en herstelstandaarde [in die VSA] is groot bydraers waarom ons nie vordering gemaak het teen data-oortredings nie," sê Lee. Hy vra vir meer gestandaardiseerde verslagdoeningsmeganismes, tesame met inisiatiewe vir nakoming.

Die behoefte aan standaardverslagdoeningsreëls

Delegering van privaatheidswette aan individuele state in die VSA skep 'n verwarrende lappieskombers. In die afwesigheid van ’n nasionale privaatheidswet moet ons die naasbeste opsie kies, sê hy.

"Die enigste manier om die status quo te verbeter, is om elke staat te kry om sy wette en regulasies by te werk om aan sekere minimum standaarde te voldoen," verduidelik Lee. "Dit is nie onmoontlik nie, maar dit is nie vinnig of ideaal nie."

Die SEC se onlangs ingevoerde verslagdoeningsreëls sal help om maatskappye wat in die openbaar verhandel word meer aanspreeklik te maak. Minder as 10% van die oortredings verlede jaar is egter deur hierdie maatskappye aangemeld, voeg hy by. Miskien sal die regulasie dié verhouding vanjaar verhoog. Lee wys daarop dat maatskappye reeds aanmeld sonder om te wag om te bepaal of 'n oortreding 'n wesenlike uitwerking het of nie. Nietemin sal die meeste oortredings steeds buite die SEC se bestek val, waarsku hy.

Wat u nou kan doen

Alhoewel federale regulasie van die SEC ongetwyfeld sal help, bly die uitdaging groot, aangesien aanvallers steeds die ekonomie se sagte onderbuik teiken. Die breuke bly kom, soos Januarie gesien het aanval op Global Affairs Canada, hoewel die volle omvang daarvan nie bekend gemaak is nie. In Februarie, 'n losprysaanval by UnitedHealth-filiaal Change Healthcare het voorskrifte ontwrig en lewens bedreig. Kubermisdadigers na aan BlackCat, wat verantwoordelikheid vir die trefkrag aanvaar het, beweer dat UnitedHealth $22 miljoen betaal het om te verhoed dat die gebreekte data gepubliseer word.

Maatskappye kan aksie neem deur robuuste sekuriteitskontroles te bou gebaseer op standaarde soos ISO 27001, tesame met ander industrie-goedgekeurde sertifisering wat geskik is vir hul eie streek, sektor en grootte. Ons kan dalk nie 'n stygende gety van toenemend geteikende aanvalle stuit nie, maar ons kan ten minste oplet en na hoër grond beweeg.