Czym jest naruszenie danych i jak mu zapobiec?

Naruszenie danych to zdarzenie z zakresu cyberbezpieczeństwa, w wyniku którego hakerzy uzyskują nieautoryzowany dostęp do prywatnych, wrażliwych i poufnych informacji. Naruszenia danych dotykają zarówno osób fizycznych, z wypływami danych osobowych (numery ubezpieczenia społecznego, numery rachunków bankowych, informacje o kartach kredytowych, itp.), jak i korporacji, które zmagają się z wyciekiem danych klientów i własności intelektualnej.

Czytaj dalej o naruszeniu danych poniżej, w tym najnowsze wiadomości. Jeśli jesteś ofiarą ostatniego naruszenia danych, sprawdź nasz skaner cyfrowych śladów i narzędzie monitorujące, aby zobaczyć, jakie informacje zostały ujawnione.

SKANOWANIE CYFROWEGO ŚLADU

Czym jest naruszenie danych?

Naruszenie danych to incydent, który skutkuje nieautoryzowanym ujawnieniem poufnych, prywatnych, chronionych lub wrażliwych informacji. Naruszenia te mogą wystąpić przypadkowo lub celowo, z udziałem zewnętrznych napastników lub osób wewnątrz organizacji. Skradzione informacje mogą zostać wykorzystane do osiągnięcia korzyści finansowych lub do dalszych ataków, co sprawia, że naruszenia danych stanowią poważne zagrożenie zarówno dla osób fizycznych, jak i firm.

„Naruszenie danych jest wynikiem cyberataku, który umożliwia cyberprzestępcom uzyskanie nieautoryzowanego dostępu do systemu komputerowego lub sieci i kradzież prywatnych, wrażliwych lub poufnych danych osobowych i finansowych klientów lub użytkowników.”

Naruszenia danych w 2024 roku

Jak dochodzi do naruszeń danych?

Exploit to rodzaj ataku, który wykorzystuje błędy lub luki w oprogramowaniu, które cyberprzestępcy wykorzystują do uzyskania nieautoryzowanego dostępu do systemu i jego danych. Luki te są ukryte w kodzie systemu, a wyścig między przestępcami a badaczami cyberbezpieczeństwa polega na tym, kto pierwszy je znajdzie.

Z jednej strony przestępcy chcą wykorzystywać exploity, a z drugiej strony badacze chcą zgłaszać exploity producentom oprogramowania, aby błędy mogły zostać załatane. Powszechnie wykorzystywane oprogramowanie obejmuje sam system operacyjny, przeglądarki internetowe, aplikacje Adobe i aplikacje Microsoft Office. Grupy cyberprzestępcze czasami pakują wiele exploitów w zautomatyzowane zestawy exploitów, które ułatwiają przestępcom z niewielką lub żadną wiedzą techniczną korzystanie z exploitów.

Wstrzyknięcie kodu SQL (SQLI) to rodzaj ataku, który wykorzystuje słabości oprogramowania do zarządzania bazą danych SQL niezabezpieczonych witryn internetowych w celu skłonienia witryny do wyplucia z bazy danych informacji, których tak naprawdę nie powinna. Oto jak to działa. Cyberprzestępca wprowadza złośliwy kod do pola wyszukiwania w witrynie detalicznej, na przykład tam, gdzie klienci zwykle wpisują wyszukiwane hasła, takie jak "najlepiej oceniane słuchawki bezprzewodowe" lub "najlepiej sprzedające się trampki".

Zamiast wracać z listą słuchawek czy sneakersów, strona zwróci hakerowi listę klientów oraz ich numery kart kredytowych. SQLI to jeden z najmniej skomplikowanych ataków do przeprowadzenia, wymagający minimalnej wiedzy technicznej. Malwarebytes Labs zaklasyfikowało SQLI na trzecim miejscu na Liście 5 Najbardziej Głupich Zagrożeń Cybernetycznych, Które Mimo Wszystko Działają. Atakujący mogą nawet używać zautomatyzowanych programów do przeprowadzenia ataku za nich. Wszystko, co muszą zrobić, to podać adres URL docelowej strony, a potem usiąść i zrelaksować się, podczas gdy oprogramowanie zrobi resztę.

Oprogramowanie szpiegujące to rodzaj złośliwego oprogramowania, które infekuje komputer lub sieć i kradnie informacje o użytkowniku, korzystaniu z Internetu i wszelkie inne cenne dane, które może dostać w swoje ręce. Oprogramowanie szpiegujące może zostać zainstalowane jako część pozornie nieszkodliwego oprogramowania do pobrania (tzw. bundleware). Alternatywnie, oprogramowanie szpiegujące może przedostać się na komputer jako infekcja wtórna za pośrednictwem trojana, takiego jak Emotet.

Jak donosi blog Malwarebytes Labs , Emotet, TrickBot i inne trojany bankowe znalazły nowe życie jako narzędzia dostarczające oprogramowanie szpiegujące i inne rodzaje złośliwego oprogramowania. Po zainfekowaniu systemu oprogramowanie szpiegujące wysyła wszystkie dane osobowe użytkownika z powrotem do serwerów dowodzenia i kontroli (C&C) prowadzonych przez cyberprzestępców.

Ataki phishingowe polegają na nakłonieniu nas do udostępnienia poufnych informacji, takich jak nazwy użytkownika i hasła, często wbrew normalnej logice i rozumowaniu, przy użyciu inżynierii społecznej do manipulowania naszymi emocjami, takimi jak chciwość i strach. Typowy atak phishingowy rozpoczyna się od wiadomości e-mail sfałszowanej tak, aby wyglądała na pochodzącą od firmy, z którą prowadzisz interesy lub od zaufanego współpracownika. Wiadomość ta będzie zawierać agresywny lub wymagający język i będzie wymagać podjęcia pewnych działań, takich jak weryfikacja płatności lub zakupów, których nigdy nie dokonałeś.

Kliknięcie podanego linku skieruje Cię do złośliwej strony logowania, zaprojektowanej do przechwycenia Twojej nazwy użytkownika i hasła. Jeśli nie masz włączonej wieloskładnikowej autoryzacji (MFA), cyberprzestępcy będą mieli wszystko, czego potrzebują, by włamać się na Twoje konto. Podczas gdy e-maile są najczęstszą formą ataków phishingowych, wiadomości SMS oraz wiadomości w mediach społecznościowych są również popularne wśród oszustów.

Złamane lub źle skonfigurowane kontrole dostępu mogą sprawić, że prywatne części danej strony internetowej staną się publiczne, kiedy nie powinny. Na przykład, administrator strony internetowej w internetowym sklepie z odzieżą uczyni pewne foldery zaplecza witryny prywatnymi, czyli te zawierające wrażliwe dane o klientach i informacje o ich płatnościach. Jednak admin sieciowy może zapomnieć również o prywatyzacji powiązanych podfolderów.

Podczas gdy te podfoldery mogą nie być łatwo widoczne dla przeciętnego użytkownika, cyberprzestępca korzystający z kilku dobrze przygotowanych wyszukiwań w Google może znaleźć te błędnie skonfigurowane foldery i ukraść zawarte w nich dane. Podobnie jak włamywacz wspinający się do domu przez otwarte okno, nie potrzeba dużych umiejętności, aby przeprowadzić tego rodzaju cyberatak.

Czy moje ukradzione dane są zaszyfrowane?

Po wycieku danych, dotknięte firmy będą próbowały uspokoić strach i oburzenie swoich klientów, mówiąc coś w rodzaju „Tak, przestępcy dostali wasze hasła, ale są one zaszyfrowane.” To nie jest zbytnio pocieszające, a oto dlaczego. Wiele firm używa najprostszej formy szyfrowania haseł: niesolonego haszowania SHA1.

Haszowanie i solenie? Brzmi jak smaczny sposób na rozpoczęcie dnia. Ale jeśli chodzi o szyfrowanie haseł, to nie jest tak świetnie. Hasło zaszyfrowane przy użyciu SHA1 zawsze zaszyfruje się lub zhaszuje do tego samego ciągu znaków, co ułatwia ich odgadnięcie. Na przykład „password” zawsze zhaszuje się jako

„5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8”, a „123456” zawsze zhaszuje się jako „7c4a8d09ca3762af61e59520943dc26494f8941b.”

To nie powinno być problemem, bo to najgorsze możliwe hasła i nikt nie powinien ich używać. Ale tak się dzieje. Roczna lista najczęstszych haseł SplashData pokazuje, że ludzie nie są tak kreatywni z hasłami, jak powinni być. Na szczycie listy od pięciu lat: „123456” i „password.” Wielkie brawa dla wszystkich.

Mając to na uwadze, cyberprzestępcy mogą sprawdzić listę skradzionych, haszowanych haseł z listą znanych haszowanych haseł. Z odszyfrowanymi hasłami i pasującymi nazwami użytkownika lub adresami e-mail, cyberprzestępcy mają wszystko, czego potrzebują, aby włamać się na Twoje konto.

Co się dzieje, gdy Twoje dane zostaną ujawnione w wyniku naruszenia danych?

Skradzione dane zazwyczaj trafiają do Dark Web. Jak sama nazwa wskazuje, Dark Web to część Internetu, której większość ludzi nigdy nie widzi. Dark Web nie jest indeksowany przez wyszukiwarki, a do jego przeglądania potrzebna jest specjalna przeglądarka o nazwie Tor Browser. O co więc chodzi z tym płaszczem i sztyletem?

Przestępcy wykorzystują głównie Dark Web do handlu różnymi nielegalnymi towarami. Te rynki Dark Webu wyglądają i działają bardzo podobnie do typowych stron zakupowych online, ale znajome doświadczenie użytkownika maskuje nielegalną naturę oferowanych towarów. Cyberprzestępcy kupują i sprzedają nielegalne narkotyki, broń, pornografię i Twoje dane osobowe. Rynki specjalizujące się w dużych partiach informacji osobowych zebranych z różnych naruszeń danych nazywane są, w żargonie przestępczym, jako dump shops.

Największy znany zbiór skradzionych danych znalezionych online, wszystkie 87 GB, został odkryty w styczniu 2019 roku przez badacza bezpieczeństwa Troy'a Hunta, twórcę strony Have I Been Pwned (HIBP), która pozwala sprawdzić, czy Twój e-mail został naruszony w wyniku naruszenia danych. Dane, znane jako Kolekcja 1, zawierały 773 miliony e-maili i 21 milionów haseł z różnych znanych naruszeń danych. Około 140 milionów e-maili i 10 milionów haseł były jednak nowe dla HIBP, jako że nie były wcześniej uwzględnione w żadnym udostępnionym naruszeniu danych.

Autor książek o cyberbezpieczeństwie i dziennikarz śledczy Brian Krebs dowiedział się, rozmawiając z cyberprzestępcą odpowiedzialnym za Kolekcję 1, że wszystkie dane zawarte w tym zrzucie danych są stare od dwóch do trzech lat—co najmniej.

Czy dane z dawnego wycieku mają jakąś wartość (poza ceną .000002 centa za hasło, za którą Kolekcja 1 była sprzedawana)? Tak, całkiem sporo.

Cyberprzestępcy mogą użyć Twojego starego loginu, aby oszukać Cię, myśląc, że Twoje konto zostało zhakowane. Oszustwo to może działać jako część ataku phishingowego lub, jak informowaliśmy w 2018 roku, jako sextortion scam. Oszuści sextortionowe wysyłają teraz e-maile twierdząc, że zhakowali kamerę internetową ofiary i nagrali ją podczas oglądania pornografii. Aby nadać zagrożeniu trochę wiarygodności, oszuści dołączają dane logowania z dawnego naruszenia danych w e-mailach. Wskazówka: gdyby oszuści rzeczywiście mieli Twoje wideo, pokazaliby je Tobie.

Jeśli ponownie używasz haseł w różnych witrynach, narażasz się na niebezpieczeństwo. Cyberprzestępcy mogą również użyć skradzionego loginu z jednej witryny do włamania się na konto użytkownika w innej witrynie w ramach cyberataku znanego jako wypychanie danych uwierzytelniających. Przestępcy wykorzystują listę adresów e-mail, nazw użytkowników i haseł uzyskanych w wyniku naruszenia danych, aby wysyłać automatyczne żądania logowania do innych popularnych witryn w niekończącym się cyklu hakowania, kradzieży i hakowania.

Które naruszenia danych były największe?

To jest dziesiątka, na której nikt nie chce się znaleźć. Oto nasza lista 10 największych wycieków danych wszechczasów. Prawdopodobnie będziesz mógł zgadnąć wiele z wymienionych firm na tej liście, ale może być też kilka niespodzianek.

10. LinkedIn | 117 milionów
Cyberprzestępcy zniknęli z adresami email i zaszyfrowanymi hasłami 117 milionów użytkowników LinkedIn podczas tego naruszenia danych z 2012 roku. Hasła były zaszyfrowane, prawda? Nic wielkiego. Niestety, LinkedIn używał tego nieszczęsnego szyfrowania SHA1, o którym wcześniej mówiliśmy. A jeśli masz jakiekolwiek wątpliwości, że Twoje skradzione hasła są odszyfrowywane, Malwarebytes Labs informowało o złamanych kontach LinkedIn używanych w kampanii phishingowej InMail.

Te wiadomości InMail zawierały złośliwe URL-e, które prowadziły do strony internetowej sfałszowanej, by wyglądała jak strona logowania do Google Docs, na których cyberprzestępcy wyłapywali nazwy użytkowników i hasła Google. I tak, to wciąż lepsze niż ta praca trenowa temp-to-perm przy kopaniu rowów, którą ciągle wysyłają rekruterzy.

9. eBay | 145 milionów
Na początku 2014 roku cyberprzestępcy kliknęli „Ukradnij to teraz”, gdy włamali się do sieci popularnej strony aukcyjnej i ukradli hasła, adresy e-mail, daty urodzenia oraz adresy fizyczne dla 145 milionów użytkowników. Jednym z pozytywnych wniosków jest to, że informacje finansowe z siostrzanej strony PayPal były przechowywane oddzielnie od informacji o użytkownikach w praktyce znanej jako segmentacja sieci (o tym więcej później). Miało to na celu ograniczenie ataku i zapobieżenie przejęciu przez przestępców naprawdę wrażliwych informacji o płatnościach.

8. Equifax | 145,5 miliona
Firma raportująca o zdolności kredytowej Equifax poniosła znaczny cios swojemu „scorowi kredytowemu”, przynajmniej wśród konsumentów w USA, gdy firma ogłosiła, że doświadczyła wycieku danych w 2017 roku. Wszystko to można było uniknąć, gdyby Equifax aktualizował swoje oprogramowanie. W zamian, hakerzy byli w stanie wykorzystać dobrze znany bug oprogramowania i włamać się do podstawowego oprogramowania wspierającego stronę internetową Equifax.

To, co sprawia, że naruszenie danych Equifax jest tak straszne, to nie rozmiar, choć jest on znaczny; jest to raczej wartość skradzionych informacji. Sprawcy wykradli nazwiska, daty urodzenia, numery ubezpieczenia społecznego, adresy i numery prawa jazdy 145,5 miliona Amerykanów. Dodając do tego około 200 000 numerów kart kredytowych, otrzymujemy jeden z najgorszych naruszeń danych pod względem wrażliwości zagrożonych danych.

7. Under Armour | 150 milionów
Slogan firmy zajmującej się odzieżą sportową Under Armour to „Chroń ten dom.” Wygląda na to, że nie wzięli sobie do serca własnej rady, gdy ich aplikacja do diet i ćwiczeń MyFitnessPal została zhakowana w lutym 2018 roku. W tym ataku, cyberprzestępcy zdołali ukraść nazwy użytkowników, e-maile i zaszyfrowane hasła dla 150 milionów użytkowników. Under Armour dobrze zrobił, ogłaszając wyciek danych w ciągu tygodnia od jego odkrycia. Z drugiej strony firma użyła słabego szyfrowania SHA1 w przypadku niektórych skradzionych haseł, co oznacza, że przestępcy mogli złamać hasła i ponownie użyć je na innych popularnych stronach internetowych.

6. Exactis | 340 milionów
Wyciek danych z Exactis różni się nieco w tym sensie, że nie ma dowodów na to, że cyberprzestępcy dokonali kradzieży danych. Jednak badacz cyberbezpieczeństwa, który odkrył „wyciek danych”, wierzy, że przestępcy to zrobili. Rozmawiając z Wired, Vinny Troia powiedział: „Byłbym zaskoczony, gdyby ktoś inny już tego nie miał.” Exactis, firma marketingowa z Florydy, miała zapisy dla 340 milionów Amerykanów (to każdy mieszkaniec USA) przechowywane na niepewnym serwerze.

Każdy cyberprzestępca mógł znaleźć dane używając specjalnej wyszukiwarki Shodan, która pozwala użytkownikom odnajdywać urządzenia połączone z Internetem. Choć naruszenie nie obejmowało danych takich jak numery kart kredytowych i numery ubezpieczenia społecznego, obejmowało szczegółowe informacje o stylu życia, jak religia i hobby, które można wykorzystać w atakach phishingowych.

5. Myspace | 360 milionów
Pamiętasz Myspace? Serwis społecznościowy, który istniał przed Facebookiem? Jeśli miałeś konto na Myspace i używasz tych samych haseł na różnych stronach, możesz być w zagrożeniu. Cyberprzestępcy ukradli dane 360 milionów użytkowników Myspace przed rokiem 2013. To może nie wydawać się wielkim problemem, ale skradzione hasła używały tego słabego szyfrowania SHA1, o którym cały czas mówimy. Jak wcześniej wspomniano, przestępcy mogą próbować ponownie używać Twoich starych haseł na innych popularnych stronach w ataku credential stuffing.

4. AdultFriendFinder | 412 milionów
Myślałbyś, że strona taka jak AdultFriendFinder, reklamowana jako „Największa społeczność seksualna i swingersów na świecie”, wiedziałaby jak się zabezpieczyć. Zamiast tego cyberprzestępcy przeniknęli przez obronę strony i ukradli nazwy użytkowników, zaszyfrowane hasła, e-maile, daty ostatniej wizyty i status członkostwa dla 412 milionów kont. Poprzedni wyciek danych na AdultFriendFinder, dotykający 4 milionów użytkowników, obejmował preferencje seksualne i to, czy użytkownik szuka romansu pozamałżeńskiego. Straszne.

3. Yahoo | 500 milionów
Yahoo? Bardziej pasuje 'o nie'! Yahoo po raz pierwszy pojawia się na naszej liście z atakiem z 2014 roku na dawną technologiczną potęgę internetową. W czasie swojego świetności podczas boomu dot-comów, Yahoo była jedną z najczęściej odwiedzanych stron w sieci. Ta ogromna powierzchnia ataku przyciągnęła uwagę różnych złych aktorów.

W tym ataku cyberprzestępcy ukradli osobiste informacje nawet 500 milionów użytkowników Yahoo. W 2017 roku Departament Sprawiedliwości USA wniosło oskarżenia przeciwko czterem rosyjskim obywatelom w związku z atakiem na Yahoo, z których dwóch to rosyjscy urzędnicy rządowi. Do tej pory tylko jeden z Rosjan zobaczył wnętrze celi więziennej.

2. Marriott International | 500 milionów
Podobnie jak obsługa pokojowa, hakerzy zignorowali znak „Nie przeszkadzać” i złapali największą na świecie firmę hotelarską Marriott International w kompromitującej sytuacji. Atak na Starwood-Marriott z 2014 roku nie został odkryty aż do września 2018 roku. W tym czasie cyberprzestępcy mieli nieograniczony dostęp do osobistych informacji 500 milionów klientów Starwood-Marriott—każdego, kto kiedykolwiek zarezerwował pokój w obiekcie Starwood—w tym imion, adresów korespondencyjnych, numerów telefonów, adresów e-mail, numerów paszportów i dat urodzenia.

1. Yahoo—po raz drugi | 3 miliardy
Yahoo ma niechlubne wyróżnienie jako jedyna firma, która pojawia się dwukrotnie na naszej liście największych wycieków danych. Jako dodatek do obrazy, Yahoo zajmuje także najwyższe miejsce. W sierpniu 2013 roku cyberprzestępcy ukradli dane wszystkich użytkowników Yahoo na świecie—wszystkich trzech miliardów z nich. Ogrom tej kradzieży trudno pojąć.

Ponad jedna trzecia światowej populacji została dotknięta. Kiedy atak został po raz pierwszy ujawniony w 2016 roku, Yahoo twierdziło, że tylko miliard ich użytkowników został dotknięty wyciekiem danych, później zmieniając liczbę na „wszystkie konta użytkowników Yahoo” mniej niż rok później. Jeżeli chodzi o czas, nie mogło być gorzej. W momencie, gdy Yahoo ujawniło zaktualizowane liczby wycieków danych, firma była w trakcie negocjacji o przejęciu przez Verizon. Wiadomość o wycieku danych pozwoliła Verizonowi na przejęcie Yahoo za cenę z wyprzedaży. Yahoo zostało przejęte przez Verizon w 2017 roku.

Prawo dotyczące naruszeń danych

Wygląda na to, że z każdym cyklem wiadomości czytamy o kolejnym wycieku danych. Czy naruszenia danych rzeczywiście zyskują na częstotliwości, czy chodzi o coś innego? Jednym z możliwych powodów wzrostu liczby wycieczek danych (przynajmniej wyglądających na wzrost) jest wzrastająca regulacja sposobu, w jaki komunikujemy naruszenia danych.

Od początku milenium rządy na całym świecie wprowadzały przepisy wymagające od firm i organizacji podjęcia jakieś formy ujawnienia po doświadczonym naruszeniu danych. Podczas gdy w minionych latach poszkodowane strony mogły zachować wiedzę o naruszeniu danych tak długo, jak chciały.

W Stanach Zjednoczonych nie ma ogólnokrajowego prawa nadzorującego ujawnianie naruszeń danych. Jednak od 2018 roku wszystkie 50 stanów USA ma przepisy dotyczące naruszeń danych. Wprawdzie różnią się one w poszczególnych stanach, ale mają kilka wspólnych cech. Mianowicie, każda organizacja będąca w centrum naruszenia danych musi podjąć następujące kroki:

Powiadom osoby dotknięte naruszeniem o tym, co się stało, jak najszybciej.
Powiadom rząd tak szybko, jak to możliwe, co zwykle oznacza poinformowanie prokuratora generalnego.
Zapłać jakąś grzywnę.

Na przykład Kalifornia była pierwszym stanem, który w 2003 roku wprowadził przepisy dotyczące ujawniania naruszeń danych. Osoby lub firmy będące w centrum naruszenia danych muszą powiadomić osoby poszkodowane „bez nieuzasadnionej zwłoki” i „natychmiast po odkryciu”. Ofiary mogą domagać się odszkodowania do 750 $, podczas gdy prokurator generalny stanu może nakładać grzywny do 7500 $ za każdą ofiarę.

Podobne przepisy zostały wprowadzone w Unii Europejskiej i w całym regionie Azji i Pacyfiku. Facebook jest pierwszą dużą firmą technologiczna, która rzekomo naruszyła przepisy Ogólnego Rozporządzenia o Ochronie Danych (GDPR) w UE, po tym jak ogłosiła, że błąd w oprogramowaniu umożliwił deweloperom aplikacji nieautoryzowany dostęp do zdjęć użytkowników w przypadku 6,8 miliona użytkowników. Facebook nie zgłosił naruszenia przez dwa miesiące – około 57 dni zbyt późno, według GDPR. W konsekwencji firma może zostać zmuszona do zapłaty grzywny do 1,6 miliarda dolarów.

Co zrobić, jeśli Twoje dane zostaną ujawnione w wyniku naruszenia danych?

Nawet jeśli nigdy nie korzystałeś z żadnej z wymienionych witryn i usług na naszej liście największych naruszeń danych, istnieją setki mniejszych naruszeń danych, o których nie wspomnieliśmy. Zanim przejdziemy do naszych kroków reagowania na naruszenie danych, warto odwiedzić Have I Been Pwned i sprawdzić na własną rękę. Wystarczy wpisać swój adres e-mail w polu wyszukiwania „pwned?” i z przerażeniem zobaczyć, w jakich naruszeniach danych zostałeś pwned.

Warto również zauważyć, że Twoje dane mogą być częścią naruszenia, o którym opinia publiczna jeszcze nie wie. Często zdarza się, że naruszenie danych nie zostaje odkryte przez wiele lat.

W taki czy inny sposób jest duża szansa, że twoje dane zostały skompromitowane i bardzo duża szansa, że zostaną skompromitowane ponownie.

Teraz, gdy wiesz, że Twoje dane krążą gdzieś w Dark Webie, przygotowaliśmy tę listę krok po kroku, co zrobić, gdy Twoje dane zostaną skradzione.

Uruchom darmowy skan cyfrowych śladów używając jedynie swojego adresu email.
Zresetuj hasło do zaatakowanego konta i wszystkich innych kont korzystających z tego samego hasła. Nie powinieneś jednak ponownie używać haseł w różnych witrynach. Skorzystaj z naszego bezpłatnego generatora haseł, aby utworzyć silne i unikalne hasła. Menedżery haseł mają dodatkową zaletę polegającą na ostrzeganiu użytkownika, gdy trafi na fałszywą stronę internetową. Chociaż strona logowania do Google lub Facebook może wyglądać na prawdziwą, menedżer haseł nie rozpozna adresu URL i nie wypełni za ciebie nazwy użytkownika i hasła.
Monitoruj swoje konta kredytowe. Szukaj podejrzanej aktywności. Pamiętaj, że raz w roku możesz otrzymać darmowy raport kredytowy, jeden z każdej z trzech głównych agencji kredytowych, na annualcreditreport.com. To jedyna strona autoryzowana przez amerykańską Federalną Komisję Handlu do uzyskiwania darmowych raportów kredytowych.
Rozważ zamrożenie kredytu. Zamrożenie kredytu utrudnia otwarcie linii kredytowej na Twoje nazwisko, ograniczając dostęp do raportu kredytowego. Możesz w każdej chwili znieść lub przerwać zamrożenie. Jedynym utrudnieniem jest to, że musisz skontaktować się z każdą agencją kredytową indywidualnie, aby wprowadzić lub usunąć zamrożenie.
Uważnie obserwuj swoją skrzynkę odbiorczą. Oportunistyczni cyberprzestępcy wiedzą, że miliony ofiar każdego naruszenia danych oczekują jakiejś komunikacji dotyczącej zhakowanych kont. Oszuści korzystają z okazji i wysyłają wiadomości phishingowe, które wyglądają tak, jakby pochodziły z tych zhakowanych kont, próbując skłonić cię do podania danych osobowych. Przeczytaj nasze wskazówki, jak rozpoznać wiadomość phishingową.
Rozważ usługi monitorowania zdolności kredytowej. Czy powinieneś się zarejestrować? Często, po naruszeniu danych, poszkodowane firmy i organizacje oferują ofiarom bezpłatne usługi monitorowania kradzieży tożsamości. Warto zauważyć, że usługi takie jak LifeLock i inne powiadomią Cię, jeśli ktoś otworzy linię kredytową na Twoje nazwisko, ale nie mogą ochronić Twoich danych przed kradzieżą. Podsumowując - jeśli usługa jest bezpłatna, śmiało zarejestruj się. W przeciwnym razie zastanów się dwa razy.
Używaj uwierzytelniania wieloskładnikowego (MFA). Uwierzytelnianie dwuskładnikowe jest najprostszą formą MFA, co oznacza, że potrzebujesz hasła i jednej innej formy uwierzytelnienia, aby udowodnić, że jesteś tym, za kogo się podajesz, a nie cyberprzestępcą próbującym włamać się na twoje konto. Na przykład witryna internetowa może poprosić o podanie danych logowania i wprowadzenie osobnego kodu uwierzytelniającego wysłanego SMS-em na telefon.

Jak zapobiegać naruszeniom danych?

Grzywny, koszty usuwania skutków, opłaty prawne, pozwy sądowe, a nawet wypłaty ransomware związane z naruszeniem danych sumują się do dużych kwot. Badanie Cost of Data Breach z 2018 roku przeprowadzone przez Ponemon Institute stwierdziło, że średni koszt naruszenia danych to około 3,9 miliona dolarów, co stanowi wzrost o 6,4 procent w porównaniu z poprzednim rokiem. Podczas gdy koszt za każdy skradziony rekord wyniósł 148 dolarów, co stanowi wzrost o 4,8 procent w porównaniu z poprzednim rokiem. Według tego samego badania, Twoje szanse na doświadczenie naruszenia danych są tak wysokie, jak jeden na cztery.

Czy nie ma sensu być proaktywnym w zakresie bezpieczeństwa danych i unikać naruszeń w pierwszej kolejności? Jeśli odpowiedź brzmi tak, a mamy nadzieję, że tak jest, oto kilka najlepszych praktyk, które pomogą zabezpieczyć Twoją firmę i dane.

Zastosuj segmentację danych. Na płaskiej sieci danych cyberprzestępcy mogą swobodnie poruszać się po Twojej sieci i kraść każdy bajt cennych danych. Wdrażając segmentację danych, spowalniasz przestępców, zyskujesz dodatkowy czas podczas ataku i ograniczasz skompromitowane dane. Segmentacja danych pomaga także w naszym kolejnym tipie.

Wprowadzaj zasadę najmniejszych uprawnień (PolP). PolP oznacza, że każde konto użytkownika ma dostęp tylko do takich zasobów, jakie są niezbędne do wykonania jego pracy i nic więcej. Dzięki temu, jeśli zostanie skompromitowane jedno konto użytkownika, cyberprzestępcy nie będą mieli dostępu do całej Twojej sieci.

Zainwestuj w oprogramowanie chroniące przed kradzieżą tożsamości. Będziemy monitorować narażenie tożsamości i ostrzegać o wszelkich zagrożeniach.

Zainstaluj renomowaną ochronę cyberbezpieczeństwa, taką jak Malwarebytes Premium. Jeśli masz nieszczęście kliknąć złośliwy link lub otworzyć zły załącznik, dobry program cyberbezpieczeństwa będzie w stanie wykryć zagrożenie, zatrzymać pobieranie i zapobiec przedostaniu się złośliwego oprogramowania do sieci.

Zobacz także: Czym jest komunikacja RCS?