Najważniejsze wnioski
- Do naruszenia bezpieczeństwa danych dochodzi, gdy ktoś uzyska dostęp do wrażliwych lub poufnych informacji lub gdy informacje te zostaną ujawnione bez upoważnienia.
- Do naruszeń dochodzi w wyniku wykorzystania luk w zabezpieczeniach, ataków typu SQL injection, działania oprogramowania szpiegującego, phishingu oraz nieprawidłowo skonfigurowanych mechanizmów kontroli dostępu, co umożliwia atakującym kradzież danych.
- Skradzione dane często obejmują hasła, dane osobowe i informacje finansowe, które przestępcy mogą odszyfrować, jeśli zastosowano słabe algorytmy haszujące (takie jak SHA-1).
- Ujawnione dane są zazwyczaj sprzedawane lub wymieniane w Dark Web, co sprzyja oszustwom, wymuszeniom i atakom typu credential stuffing.
- Nawet „stare” skradzione dane mają swoją wartość, umożliwiając przeprowadzanie ataków phishingowych, oszustw związanych z sekstorcją oraz przejmowanie kontroli nad kontami, gdy użytkownicy ponownie wykorzystują hasła.
Czym jest naruszenie danych?
Naruszenie danych to incydent, który skutkuje nieautoryzowanym ujawnieniem poufnych, prywatnych, chronionych lub wrażliwych informacji. Naruszenia te mogą wystąpić przypadkowo lub celowo, z udziałem zewnętrznych napastników lub osób wewnątrz organizacji. Skradzione informacje mogą zostać wykorzystane do osiągnięcia korzyści finansowych lub do dalszych ataków, co sprawia, że naruszenia danych stanowią poważne zagrożenie zarówno dla osób fizycznych, jak i firm.
„Naruszenie danych jest wynikiem cyberataku, który umożliwia cyberprzestępcom uzyskanie nieautoryzowanego dostępu do systemu komputerowego lub sieci i kradzież prywatnych, wrażliwych lub poufnych danych osobowych i finansowych klientów lub użytkowników.”
Jak dochodzi do naruszeń danych?
Exploit to rodzaj ataku, który wykorzystuje błędy lub luki w oprogramowaniu, które cyberprzestępcy wykorzystują do uzyskania nieautoryzowanego dostępu do systemu i jego danych. Luki te są ukryte w kodzie systemu, a wyścig między przestępcami a badaczami cyberbezpieczeństwa polega na tym, kto pierwszy je znajdzie.
Z jednej strony przestępcy chcą wykorzystywać luki w zabezpieczeniach, z drugiej zaś badacze chcą zgłaszać je producentom oprogramowania, aby można było je załatać. Do najczęściej atakowanego oprogramowania należą sam system operacyjny, przeglądarki internetowe, aplikacje firmy Adobe oraz pakiet Microsoft Office. Grupy cyberprzestępcze czasami łączą wiele exploitów w zautomatyzowane zestawy exploitów, które ułatwiają wykorzystanie tych luk przestępcom posiadającym niewielką wiedzę techniczną lub nieposiadającym jej wcale.
Atak typu SQL injection (SQLI)to rodzaj ataku, który wykorzystuje luki w oprogramowaniu do zarządzania bazami danych SQL na niezabezpieczonych stronach internetowych w celu zmuszenia serwisu do ujawnienia informacji z bazy danych, których w rzeczywistości nie powinien udostępniać. Oto jak to działa. Cyberprzestępca wprowadza złośliwy kod do pola wyszukiwania na przykład na stronie sklepu internetowego, gdzie klienci zazwyczaj wpisują zapytania typu „najlepiej oceniane słuchawki bezprzewodowe” lub „najlepiej sprzedające się trampki”.
Zamiast wyświetlić listę słuchawek czy trampek, strona internetowa udostępni hacker listę klientów wraz z numerami ich kart kredytowych. Atak typu SQLI jest jednym z najprostszych do przeprowadzenia i wymaga minimalnej wiedzy technicznej. Malwarebytes Labs atak SQLI na trzecim miejscu w rankingu „5 najgłupszych cyberzagrożeń, które i tak działają”. Atakujący mogą nawet skorzystać z automatycznych programów, które przeprowadzą atak za nich. Wystarczy, że wprowadzą adres URL docelowej strony, a potem mogą spokojnie czekać, aż oprogramowanie zajmie się resztą.
Spyware to rodzaj malware, który infekuje Twój komputer lub sieć i kradnie informacje o Tobie, Twoim korzystaniu z Internetu i wszelkie inne cenne dane, do których ma dostęp. Możesz zainstalować spyware jako część pozornie nieszkodliwego pobrania (znanego także jako bundleware). Co więcej, spyware może pojawić się na Twoim komputerze jako infekcja wtórna poprzez Trojan, taki jak Emotet.
Jak doniesiono na blogu Malwarebytes Labs, Emotet, TrickBot i inne trojany bankowe znalazły nowe zastosowanie jako narzędzia do rozprzestrzeniania oprogramowania szpiegującego i innych rodzajów malware'u. Po zainfekowaniu systemu, oprogramowanie szpiegowskie przesyła wszystkie Twoje dane osobowe z powrotem na serwery command and control (C&C) zarządzane przez cyberprzestępców.
Ataki phishingowe polegają na nakłonieniu nas do ujawnienia poufnych informacji, takich jak nazwy użytkownika i hasła, często wbrew zdrowemu rozsądkowi i logice, poprzez wykorzystanie inżynierii społecznej w celu manipulowania naszymi emocjami, takimi jak chciwość i strach. Typowy atak phishingowy rozpoczyna się od wiadomości e-mail, która została sfałszowana tak, aby wyglądała, jakby pochodziła od firmy, z którą współpracujesz, lub od zaufanego współpracownika. Wiadomość ta zawiera agresywny lub nakazujący ton i wymaga podjęcia jakiegoś działania, np. weryfikacji płatności lub zakupów, których nigdy nie dokonałeś.
Kliknięcie podanego linku skieruje Cię do złośliwej strony logowania, zaprojektowanej do przechwycenia Twojej nazwy użytkownika i hasła. Jeśli nie masz włączonej wieloskładnikowej autoryzacji (MFA), cyberprzestępcy będą mieli wszystko, czego potrzebują, by włamać się na Twoje konto. Podczas gdy e-maile są najczęstszą formą ataków phishingowych, wiadomości SMS oraz wiadomości w mediach społecznościowych są również popularne wśród oszustów.
Nieprawidłowo działające lub źle skonfigurowane mechanizmy kontroli dostępu mogą spowodować, że prywatne części danej witryny staną się publiczne, choć nie powinny. Na przykład administrator witryny internetowego sklepu odzieżowego ustawi jako prywatne określone foldery zaplecza witryny, tj. foldery zawierające poufne dane klientów oraz informacje dotyczące płatności. Może jednak zapomnieć o ustawieniu jako prywatnych również powiązanych z nimi podfolderów.
Podczas gdy te podfoldery mogą nie być łatwo widoczne dla przeciętnego użytkownika, cyberprzestępca korzystający z kilku dobrze przygotowanych wyszukiwań w Google może znaleźć te błędnie skonfigurowane foldery i ukraść zawarte w nich dane. Podobnie jak włamywacz wspinający się do domu przez otwarte okno, nie potrzeba dużych umiejętności, aby przeprowadzić tego rodzaju cyberatak.
Czy moje ukradzione dane są zaszyfrowane?
Po wycieku danych firmy, których to dotyczy, będą próbowały złagodzić obawy i oburzenie swoich klientów, mówiąc coś w stylu: „Tak, przestępcy zdobyli wasze hasła, ale są one zaszyfrowane”. Nie jest to zbyt pocieszające, a oto dlaczego. Wiele firm stosuje najprostszą z możliwych metod szyfrowania haseł: funkcję skrótu SHA-1 bez soli.
Hash i sól? Brzmi jak pyszny sposób na rozpoczęcie dnia. Jeśli chodzi o haszowanie haseł, to już nie jest tak świetnie. Hasło poddane haszowaniu za pomocą algorytmu SHA-1 zawsze generuje ten sam ciąg znaków, co sprawia, że łatwo je odgadnąć. Na przykład hasło „password” zawsze da w wyniku haszowania
„5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8”, a „123456” zawsze zhaszuje się jako „7c4a8d09ca3762af61e59520943dc26494f8941b.”
To nie powinno być problemem, bo to najgorsze możliwe hasła i nikt nie powinien ich używać. Ale tak się dzieje. Roczna lista najczęstszych haseł SplashData pokazuje, że ludzie nie są tak kreatywni z hasłami, jak powinni być. Na szczycie listy od pięciu lat: „123456” i „password.” Wielkie brawa dla wszystkich.
Mając to na uwadze, cyberprzestępcy mogą porównać listę skradzionych, zaszyfrowanych haseł z listą znanych zaszyfrowanych haseł. Dysponując złamanymi hasłami oraz pasującymi do nich nazwami użytkowników lub adresami e-mail, cyberprzestępcy mają wszystko, czego potrzebują, aby włamać się na Twoje konto.
Co się dzieje, gdy Twoje dane zostaną ujawnione w wyniku naruszenia danych?
Skradzione dane zazwyczaj trafiają do Dark Webu. Jak sama nazwa wskazuje, Dark Web to część Internetu, której większość ludzi nigdy nie zobaczy. Dark Web nie jest indeksowany przez wyszukiwarki i potrzebujesz specjalnej przeglądarki zwanej Tor Browser, aby go zobaczyć. Więc o co chodzi z tym zamaskowaniem i sztyletem?
Przestępcy wykorzystują głównie Dark Web do handlu różnymi nielegalnymi towarami. Te rynki Dark Webu wyglądają i działają bardzo podobnie do typowych stron zakupowych online, ale znajome doświadczenie użytkownika maskuje nielegalną naturę oferowanych towarów. Cyberprzestępcy kupują i sprzedają nielegalne narkotyki, broń, pornografię i Twoje dane osobowe. Rynki specjalizujące się w dużych partiach informacji osobowych zebranych z różnych naruszeń danych nazywane są, w żargonie przestępczym, jako dump shops.
Największy znany zbiór skradzionych danych znalezionych online, wszystkie 87 GB, został odkryty w styczniu 2019 roku przez badacza bezpieczeństwa Troy'a Hunta, twórcę strony Have I Been Pwned (HIBP), która pozwala sprawdzić, czy Twój e-mail został naruszony w wyniku naruszenia danych. Dane, znane jako Kolekcja 1, zawierały 773 miliony e-maili i 21 milionów haseł z różnych znanych naruszeń danych. Około 140 milionów e-maili i 10 milionów haseł były jednak nowe dla HIBP, jako że nie były wcześniej uwzględnione w żadnym udostępnionym naruszeniu danych.
Autor książek o cyberbezpieczeństwie i dziennikarz śledczy Brian Krebs dowiedział się, rozmawiając z cyberprzestępcą odpowiedzialnym za Kolekcję 1, że wszystkie dane zawarte w tym zrzucie danych są stare od dwóch do trzech lat—co najmniej.
Czy dane z dawnego wycieku mają jakąś wartość (poza ceną .000002 centa za hasło, za którą Kolekcja 1 była sprzedawana)? Tak, całkiem sporo.
Cyberprzestępcy mogą użyć Twojego starego loginu, aby oszukać Cię, myśląc, że Twoje konto zostało zhakowane. Oszustwo to może działać jako część ataku phishingowego lub, jak informowaliśmy w 2018 roku, jako sextortion scam. Oszuści sextortionowe wysyłają teraz e-maile twierdząc, że zhakowali kamerę internetową ofiary i nagrali ją podczas oglądania pornografii. Aby nadać zagrożeniu trochę wiarygodności, oszuści dołączają dane logowania z dawnego naruszenia danych w e-mailach. Wskazówka: gdyby oszuści rzeczywiście mieli Twoje wideo, pokazaliby je Tobie.
Jeśli używasz tych samych haseł na różnych stronach, narażasz się na niebezpieczeństwo. Cyberprzestępcy mogą również użyć skradzionego loginu z jednej strony, by włamać się na Twoje konto na innej stronie w ramach ataku cybernetycznego znanego jako credential stuffing. Przestępcy używają listy e-maili, nazw użytkowników i haseł uzyskanych z naruszenia danych, by wysyłać zautomatyzowane żądania logowania do innych popularnych stron w niekończący się cykl hakowania i kradzenia i jeszcze więcej hakowania.
Które naruszenia danych były największe?
Istnieje wiele godnych uwagi przypadków naruszenia bezpieczeństwa danych, o których warto wspomnieć. Oto kilka przykładów, które omówiliśmy wcześniej na naszym blogu.
Wyciek danych z firmy AT&T obejmujący 176 milionów rekordów
Pisaliśmy o nowo udostępnionym zbiorze danych, opisywanym jako dane klientów firmy AT&T gromadzone na przestrzeni lat. Zgodnie z doniesieniami zawiera on 176 milionów rekordów, w tym numery ubezpieczenia społecznego (pełne numery oraz cztery ostatnie cyfry), pełne imiona i nazwiska oraz adresy, numery telefonów i inne informacje.
„Największy wyciek danych w historii”: 26 miliardów rekordów ujawnionych w sieci
Wcześniej informowaliśmy, że badacze zajmujący się bezpieczeństwem odkryli w sieci miliardy ujawnionych rekordów, nazywając to zdarzenie „matką wszystkich wycieków”. Okazało się, że zbiór danych pochodzi z kompilacji wielu wycieków.
Atak ransomware na firmę Under Armour: w dark webie pojawiło się prawie 192 milionów rekordów klientów
W 2025 roku firma Under Armour padła ofiarą potężnego ataku ransomware, w wyniku którego grupa Everest ogłosiła, że uzyskała dostęp do 343 GB danych wewnętrznych i danych klientów. Prawie 192 miliony rekordów — w tym adresy e-mail, imiona i nazwiska, numery telefonów oraz dane dotyczące lokalizacji — wyciekły później do sieci po tym, jak żądania okupu nie zostały spełnione.
LinkedInW wyniku naruszeń bezpieczeństwa danych serwisu LinkedIn ujawniono adresy e-mail i hasła niemal wszystkich jego użytkowników
W wyniku wycieku danych z 2012 roku cyberprzestępcy wykradli adresy e-mail i zaszyfrowane hasła 117 milionów LinkedIn . Od tamtej pory LinkedIn kolejnych wycieków danych. Szacuje się, że obecnie narażone na ujawnienie są dane 700 milionów LinkedIn . Oznacza to, że problem ten dotknął niemal wszystkich użytkowników LinkedIn.
Prawo dotyczące naruszeń danych
Wygląda na to, że z każdym cyklem wiadomości czytamy o kolejnym wycieku danych. Czy naruszenia danych rzeczywiście zyskują na częstotliwości, czy chodzi o coś innego? Jednym z możliwych powodów wzrostu liczby wycieczek danych (przynajmniej wyglądających na wzrost) jest wzrastająca regulacja sposobu, w jaki komunikujemy naruszenia danych.
Od początku nowego tysiąclecia rządy na całym świecie wprowadziły przepisy, które nakładają na firmy i organizacje obowiązek ujawnienia pewnych informacji po wystąpieniu naruszenia bezpieczeństwa danych, podczas gdy w przeszłości podmioty, których dane zostały naruszone, mogły ukrywać tę informację tak długo, jak tylko chciały.
W Stanach Zjednoczonych nie ma ogólnokrajowego prawa nadzorującego ujawnianie naruszeń danych. Jednak od 2018 roku wszystkie 50 stanów USA ma przepisy dotyczące naruszeń danych. Wprawdzie różnią się one w poszczególnych stanach, ale mają kilka wspólnych cech. Mianowicie, każda organizacja będąca w centrum naruszenia danych musi podjąć następujące kroki:
- Powiadom osoby dotknięte naruszeniem o tym, co się stało, jak najszybciej.
- Powiadom rząd tak szybko, jak to możliwe, co zwykle oznacza poinformowanie prokuratora generalnego.
- Zapłać jakąś grzywnę.
Na przykład Kalifornia była pierwszym stanem, który w 2003 roku wprowadził przepisy dotyczące ujawniania naruszeń danych. Osoby lub firmy będące w centrum naruszenia danych muszą powiadomić osoby poszkodowane „bez nieuzasadnionej zwłoki” i „natychmiast po odkryciu”. Ofiary mogą domagać się odszkodowania do 750 $, podczas gdy prokurator generalny stanu może nakładać grzywny do 7500 $ za każdą ofiarę.
Podobne przepisy zostały wprowadzone w Unii Europejskiej oraz w całym regionie Azji i Pacyfiku. Facebook pierwszą dużą firmą technologiczną, która rzekomo naruszyła unijne rozporządzenie o ochronie danych osobowych (RODO), po tym jak ogłosiła, że błąd w oprogramowaniu umożliwił twórcom aplikacji nieuprawniony dostęp do zdjęć 6,8 mln użytkowników. Facebook zgłosił tego naruszenia przez dwa miesiące – czyli około 57 dni za późno, zgodnie z wymogami RODO. W rezultacie firma może zostać obciążona grzywną w wysokości do 1,6 mld dolarów.
Co zrobić, jeśli Twoje dane zostaną ujawnione w wyniku naruszenia danych?
Nawet jeśli nigdy nie korzystałeś z żadnej z wymienionych witryn i usług na naszej liście największych naruszeń danych, istnieją setki mniejszych naruszeń danych, o których nie wspomnieliśmy. Zanim przejdziemy do naszych kroków reagowania na naruszenie danych, warto odwiedzić Have I Been Pwned i sprawdzić na własną rękę. Wystarczy wpisać swój adres e-mail w polu wyszukiwania „pwned?” i z przerażeniem zobaczyć, w jakich naruszeniach danych zostałeś pwned.
Warto również zauważyć, że Twoje dane mogą być częścią naruszenia, o którym opinia publiczna jeszcze nie wie. Często zdarza się, że naruszenie danych nie zostaje odkryte przez wiele lat.
W taki czy inny sposób jest duża szansa, że twoje dane zostały skompromitowane i bardzo duża szansa, że zostaną skompromitowane ponownie.
Teraz, gdy wiesz, że Twoje dane krążą gdzieś w Dark Webie, przygotowaliśmy tę listę krok po kroku, co zrobić, gdy Twoje dane zostaną skradzione.
- Wykonaj bezpłatną analizę śladu cyfrowego, podając jedynie swój adres e-mail.
- Zresetuj hasło do naruszonego konta oraz wszystkich innych używających tego samego hasła. Naprawdę, lepiej nie używać tego samego hasła na różnych stronach. Skorzystaj z naszego darmowego generatora haseł, aby tworzyć silne i unikalne hasła. Menedżery haseł mają dodatkową zaletę ostrzegania Cię, gdy trafisz na fałszywą stronę. Choć strona logowania do Google czy Facebook może wyglądać prawdziwie, Twój menedżer haseł nie rozpozna adresu URL i nie wypełni dla Ciebie pola nazwy użytkownika i hasła.
- Monitoruj swoje konta kredytowe. Szukaj podejrzanej aktywności. Pamiętaj, że raz w roku możesz otrzymać darmowy raport kredytowy, jeden z każdej z trzech głównych agencji kredytowych, na annualcreditreport.com. To jedyna strona autoryzowana przez amerykańską Federalną Komisję Handlu do uzyskiwania darmowych raportów kredytowych.
- Rozważ zamrożenie kredytu. Zamrożenie kredytu utrudnia otwarcie linii kredytowej na Twoje nazwisko, ograniczając dostęp do raportu kredytowego. Możesz w każdej chwili znieść lub przerwać zamrożenie. Jedynym utrudnieniem jest to, że musisz skontaktować się z każdą agencją kredytową indywidualnie, aby wprowadzić lub usunąć zamrożenie.
- Uważnie obserwuj swoją skrzynkę odbiorczą. Oportunistyczni cyberprzestępcy wiedzą, że miliony ofiar naruszeń danych oczekują jakiejś komunikacji dotyczącej zhakowanych kont. Oszuści Ci wykorzystają okazję, aby wysłać e-maile phishingowe, udające nadchodzące z tych zhakowanych kont, próbując nakłonić Cię do ujawnienia danych osobowych. Przeczytaj nasze wskazówki, jak rozpoznać e-mail phishingowy.
- Rozważ skorzystanie z usług monitorowania historii kredytowej. Czy warto się zarejestrować? Często po wycieku danych firmy i organizacje, których to dotyczy, oferują ofiarom bezpłatne usługi monitorowania kradzieży tożsamości. Warto zauważyć, że serwisy takie jak LifeLock i inne powiadomią cię, jeśli ktoś otworzy linię kredytową w twoim imieniu, ale nie są w stanie zapobiec kradzieży twoich danych. Podsumowując – jeśli usługa jest bezpłatna, śmiało się zarejestruj. W przeciwnym razie zastanów się dwa razy.
- Używaj uwierzytelniania wieloskładnikowego (MFA). Dwuskładnikowe uwierzytelnianie to najprostsza forma MFA, oznaczająca, że potrzebujesz swojego hasła i jeszcze jednego sposobu uwierzytelniania, aby udowodnić, że jesteś tym, za kogo się podajesz, a nie cyberprzestępcą próbującym przejąć Twoje konto. Na przykład, strona może poprosić Cię o wprowadzenie danych logowania oraz wpisanie osobnego kodu uwierzytelniającego wysłanego na Twój telefon przez SMS.
Jak zapobiegać naruszeniom danych?
Kary, koszty usunięcia skutków naruszenia, opłaty prawne, postępowania sądowe, a nawet okupy związane z naruszeniem bezpieczeństwa danych to ogromne kwoty. Badanie Ponemon Cost of Data Breach z 2018 roku wykazało, że średni koszt naruszenia bezpieczeństwa danych wynosi około 3,9 mln dolarów, co stanowi wzrost o 6,4 procent w porównaniu z rokiem poprzednim, natomiast koszt każdego skradzionego rekordu wyniósł 148 dolarów, co oznacza wzrost o 4,8 procent w porównaniu z rokiem poprzednim. Według tego samego badania prawdopodobieństwo doświadczenia naruszenia bezpieczeństwa danych wynosi aż jedną czwartą.
Czy nie ma sensu być proaktywnym w zakresie bezpieczeństwa danych i unikać naruszeń w pierwszej kolejności? Jeśli odpowiedź brzmi tak, a mamy nadzieję, że tak jest, oto kilka najlepszych praktyk, które pomogą zabezpieczyć Twoją firmę i dane.
Zastosuj segmentację danych. Na płaskiej sieci danych cyberprzestępcy mogą swobodnie poruszać się po Twojej sieci i kraść każdy bajt cennych danych. Wdrażając segmentację danych, spowalniasz przestępców, zyskujesz dodatkowy czas podczas ataku i ograniczasz skompromitowane dane. Segmentacja danych pomaga także w naszym kolejnym tipie.
Wprowadzaj zasadę najmniejszych uprawnień (PolP). PolP oznacza, że każde konto użytkownika ma dostęp tylko do takich zasobów, jakie są niezbędne do wykonania jego pracy i nic więcej. Dzięki temu, jeśli zostanie skompromitowane jedno konto użytkownika, cyberprzestępcy nie będą mieli dostępu do całej Twojej sieci.
Zainwestuj w oprogramowanie chroniące przed kradzieżą tożsamości. Będziemy monitorować narażenie Twojej tożsamości i ostrzegać Cię o wszelkich zagrożeniach.
Zainstaluj renomowaną ochronę cyberbezpieczeństwa, taką jak Malwarebytes Premium. Jeśli masz nieszczęście kliknąć złośliwy link lub otworzyć zły załącznik, dobry program cyberbezpieczeństwa będzie w stanie wykryć zagrożenie, zatrzymać pobieranie i zapobiec przedostaniu się złośliwego oprogramowania do sieci.