Самые популярные способы кражи корпоративных данных: как защитить свою компанию

Киберугрозы стали частью повседневных рисков для любого бизнеса – так же, как и падение спроса или происки конкурентов, их нужно принимать во внимание всем компаниям без исключения.

Действия хакеров в 2017 году в мире в среднем обошлись каждой крупной корпорации в $1,3 миллиона, а субъектам малого и среднего бизнеса – в $117 тысяч. Этот год должен стать рекордным: общемировые потери, согласно прогнозам, достигнут $1 триллиона.

Рассмотрим наиболее популярные векторы атак и способы минимизации рисков.

Трояны-шифровальщики

Прошлый год был богат на кибератаки с использованием троянов-шифровальщиков – вредоносных программ, которые, попадая на корпоративные компьютеры, зашифровывали их содержимое и требовали выкуп за восстановление данных. Больше всего нашумели WannaCry и вариации вируса Petya, которые поразили множество корпораций по всему миру, включая российские «Мегафон» и «Роснефть», а также Mars, NIVEA, правительственные компьютеры и торговые сети Украины. Глобальный ущерб от первого составил 8 миллиардов долларов, второго – 850 миллионов долларов.

Другие пользуются стандартными методами – попадают в компьютер через электронную почту или маскируются под уведомление системы об обновлениях. Именно так поступил BadRabbit, когда в прошлом году атаковал российские СМИ, включая «Интерфакс» и «Фонтанку», а также киевское метро и одесский аэропорт. Вирус проник в систему под видом обновления одного из продуктов Adobe, который устанавливали сами сотрудники.

Несмотря на то, что создатели всех шифровальщиков требовали выкуп в биткоинах, в большинстве случаев выплата оного не приводила к желаемому результату. Так, разбор вирусов Petya/ExPetr/NotPetya показал, что дешифровка данных была изначально невозможна, то есть вирус запускался чисто с деструктивными намерениями (или, по одной из версий – влияния на курс биткоина с целью его повышения).

Как бороться?

Бороться с шифровальщиком после того, как он попал в систему, практически невозможно, можно только постараться предотвратить заражение корпоративной сети. Самая очевидная мера – это использование надежных антивирусов на корпоративных компьютерах, своевременная установка всех выпускаемых обновлений ПО и настройки корпоративных устройств, уменьшающие влияние человеческого фактора. К неочевидным, но очень важным, относится обучение сотрудников, в частности, на предмет того, как распознавать признаки кибератак. Тактика действий персонала при этом должна быть отработана соответствующими тренингами или даже сознательными провокациями.

И конечно же, нужно обеспечивать своевременное резервное копирование данных, а в некоторых случаях уместно использование надежных облачных сервисов. Также в некоторых случаях не будет лишним ограничить доступ в интернет компьютеров с бухгалтерией и другими критичными корпоративными системами.

Кейлоггеры и другие трояны

Кейлоггеры – особый вид троянов, которые считывают информацию, вводимую с клавиатуры. Кейлоггер способен украсть пароли, данные банковских карт, конфиденциальные сведения, относящиеся к коммерческой тайне и другую важную информацию.

Кстати, именно таким образом одиозный вирус Stuxnet, созданный, вероятнее всего, спецслужбами США и Израиля, добрался до адресата – Иранской ядерной станции, заразив по пути сотни тысяч компьютеров и став оружием для шпионажа во многих странах мира. Этот троян вошел в историю благодаря новому принципу действия – физическому разрушению инфраструктуры. В Иране вирус повредил тысячу центрифуг для обогащения урана, нанеся колоссальный ущерб Иранской ядерной программе.

Как бороться?

Поскольку трояны проникают в систему различными путями, меры безопасности должны быть комплексными: антивирусные программы, сетевые фильтры, обучение сотрудников и в целом проработанная и последовательная политика безопасности, которая включает в себя использование адаптированных для работы в корпоративной среде программных и аппаратных продуктов (специальных мессенджеров, лицензированных операционных систем, сетевого оборудования).

В каждой организации конфигурация систем безопасности должна создаваться, исходя из ее профиля и сферы деятельности. Приведу пример из личного опыта. Мне довелось работать в одной из структур Роскосмоса – ФГУП НПЦАП им. Пилюгина, которая занимается разработкой автономных систем управления для ракетно-космической техники.

И хотя в эти компьютеры было возможно поставить дисковый накопитель, автозапуск программ, через который обычно и происходит заражение, был отключен.

Подобным же образом каждая организация, будь то корпорация или государственная структура, должна проанализировать свои потоки данных, найти в них «слабые звенья» и исключить атаки на них.

Кража корпоративных данных с облака

С принятием нового закона в США, который получил известность как CLOUD Act, американские спецслужбы имеют прямой доступ (без ордера) к пользовательским данным популярных сервисов таких компаний, как Microsoft, Apple, Google вне зависимости от того, где физически расположены данные (ранее, например, в Microsoft хранили данные пользователей в Ирландии, что позволяло не раскрывать их американским спецслужбам).

Принятие акта означает, что о сохранности коммерческих данных на Google Drive, iCloud и OneDrive, Dropbox речи не идет.

Существует еще одна уязвимость, о которой долгое время не было известно широкой общественности. Буквально на днях Bloomberg опубликовал статью, где говорится о серьезном упущении в системах безопасности ведущих ИТ-гигантов. Выяснилось, что в микросхемах для облачной инфраструктуры, выпускаемых компанией-монополистом Supermicro, интегрирован шпионский микрочип. Устройство размером с рисовое зернышко позволяет получать доступ к данным любой системы, где использована микросхема, включая, по некоторым данным, сервера Apple и Amazon. К слову, Amazon обнаружил «шпиона» еще три года назад. Все это время устройство изучалось и тестировалось спецслужбами, и только на днях результаты были обнародованы. Выяснилось, что микрочип был произведен в Китае.

Как бороться?

Иными словами, бизнес сегодня должен осторожнее относиться к хранению данных на облачных сервисах и тщательно выбирать IT-продукты. Какие есть варианты? Использовать облачные сервисы вроде Box, которые позволяют хранить в облаке данные, защищенные сквозным шифрованием, но систему генерации ключей размещают на инфраструктуре, контролируемой клиентом. Кому-то нужно автономное решение: например, специально разработанный под корпоративные нужды мессенджер dialog, размещаемый на инфраструктуре компании, а не в облаке, исключая таким образом вопрос доверия к облачному провайдеру в принципе – данные находятся под контролем компании и никого больше.

Утечка данных через сотрудников

Кража корпоративных данных может произойти и с физического носителя – например, устройства на базе Android одного из сотрудников. Все, что нужно – это вытащить внутренний накопитель памяти и скопировать из него все файлы, которые были посланы, к примеру, через вроде бы защищенный сквозным шифрованием мессенджер. Во многих случаях для копирования памяти достаточно и просто подключить телефон к компьютеру по USB и запустить специальный сервис. .

Один из самых опасных векторов атаки на личные устройства сотрудников корпораций – перехват авторизации с помощью пресловутой уязвимости SS7. Она позволяет злоумышленнику перехватить SMS с кодом авторизации и захватить контроль над аккаунтом, например, в мессенджере или банк-клиенте. В последнее время участились кибератаки на банковские аккаунты, когда логин и пароль к личному кабинету хакеры выясняли с помощью фишинга, а затем перехватывали SMS c одноразовым кодом для входа в систему. Специалисты компании Positive Technologies доказали всему миру, что любая авторизация, использующая передачу кодов или паролей по SMS, является крайне ненадежной, демонстративно хакнув биткоин-кошелек произвольного пользователя.

Еще один возможный канал утечки данных через личные девайсы сотрудников – популярные мессенджеры Они совсем не безопасны, несмотря на декларируемое сквозное шифрование. Архив сообщений того же WhatsApp, например, хранится в iCloud или Google Drive в открытом виде, что, согласно Cloud act, делает их доступным для широкого круга лиц. Да и само шифрование имеет смысл только тогда, когда пользователя в режиме реального времени уведомляют о смене ключа собеседника (что является симптомом атаки “man in the middle”), а эта функция выключена в WhatsApp по умолчанию (проверьте: настройки-профиль-безопасность). И это далеко не последняя уязвимость: к примеру, протокол групповых чатов в мессенджере устроен так, что сервер WhatsApp может добавить нового участника по своей инициативе. А совсем недавно было объявлено об уязвимости, которая позволяет получить полный контроль над приложением простым видеозвонком со специально сформированным пакетом в видеопотоке.

WhatsApp – не единственный мессенджер, который не может гарантировать приватность. Например, Telegram только на днях закрыл уязвимость, которая давала возможность Apple (при том, что  обновления от Apple позволяли сделать это гораздо раньше) и связанным с ней спецслужбам получать доступ к сообщениям пользователей в процессе доставки push-уведомлений на iPhone.

Помимо всего прочего, не стоит забывать, что абсолютно любой массовый мессенджер может быть легко использован для элементарного обмана: подставному лицу, чтобы выдать себя за коллегу сотрудника какой-либо компании, достаточно зарегистрировать аккаунт с соответствующими ФИО и фотографией.

Как бороться?

Что можно сделать? Некоторые поступают радикально – запрещают мессенджеры и смс на корпоративных устройствах, как это сделал Deutsche Bank. Исследование ProcessOne говорит о том, что три четверти компаний UK готовы пойти по этому пути. Но далеко не каждая компания может позволить себе закупать и обслуживать корпоративные мобильные устройства для каждого сотрудника.

В качестве альтернативы можно использовать решение, подобное AirWatch Container – оно запускает приложения в защищенном «контейнере», который изолирует приложения от недоверенного окружения и шифрует хранилище вне зависимости от настроек операционной системы. Поддержка этого решения имеется у зрелых корпоративных решений, и dialog – не исключение.

Именно поэтому мы пошли дальше, разрабатывая дополнительные факторы авторизации, – биометрические, по голосу и лицу.  

Что касается утечки учетных данных через фишинг, то в борьбе с ним по-прежнему актуальны антивирусы и корпоративные фильтры, но прежде всего – обучение сотрудников кибергигиене. Конечно, современные почтовые клиенты умеют распознавать подозрительную активность, но надеяться на этот механизм не стоит, профессиональные хакеры всегда находят способы их обойти.

В качестве заключения хотелось бы донести один малоприятный, но зато объективный факт: абсолютной кибербезопасности не существует. Рисков много, и все, что мы можем и должны сделать, – это минимизировать их. Основа борьбы с любыми атаками – это не только надежное регулярно обновляемое ПО, защищенные корпоративные сети политики безопасности, но и последовательная работа по повышению компьютерной грамотности сотрудников.