Risk Based Security – objavljeno je polugodišnje izvješće za 2018. godinu u kojem je navedena informacija o 2.308 otkrivenih te javno objavljenih kompromitirajućih događaja. Dok je u prvom tromjesečju zabilježen iznenađujuće nizak broj neovlaštenih upada u baze podataka, u drugom je taj broj ipak vraćen u prosjek te se prema tome sredinom 2018. godine ipak može primijetiti da se ponavlja stanje iz 2016. godine, ali da su ti brojevi i dalje daleko niži od istih 2017. godine.
Objavljene informacije o neovlaštenim upadima u baze podataka u 2018. godini:
“2018. je bila zanimljiva godina. Nakon burne 2017. godine u kojoj smo se naviknuli na velik broj neovlaštenih upada u baze u kojima se otkrivala velika količina podataka, 2018. godina se ističe po tome što se broj neovlaštenih upada smanjio dok je broj objavljenih podataka ostao i dalje vrlo visok”, izjavila je Inga Goddijn, izvršna potpredsjednica Risk Based Securityja. Nadodaje: “Nije jednostavno opisati 2.6 milijardi objavljenih podataka kao poboljšanje, iako je riječ o manjem broju objavljenih podataka od 6 milijardi koliko ih je objavljeno prošle godine”.
Phishing korisničkih imena i lozinka te korištenje tih ukradenih korisničkih podataka za pristup sustavima ili uslugama ističe se kao omiljena metoda napada hakera u prvih šest mjeseci ove godine.
Nadalje, nastupanje GDPR-a, Opće uredbe o zaštiti osobnih podataka, u svibnju ove godine, donijelo je još jednu razinu u načine sistematizacije i prijave neovlaštenih upada u baze podataka.
Nakon što je GDPR stupio na snagu, institucije odgovorne za zaštitu podataka diljem EU izvijestile su o znatnom povećanju broja neovlaštenih upada u baze podataka koji su prijavljeni njihovim uredima. Koliko će ih se objaviti javno ili su već javni i tek dolaze u domenu pozornosti regulatornih tijela ostaje za vidjeti.
Slično kao što je bilo i u prvom kvartalu 2018. godine, prevare zadržavaju vrhovno mjesto prema vrsti upada kompromitirajući najveću količinu podataka, tj. 47,5% svih objavljenih podataka. Kao i kod prethodnih izvješća, broj incidenata koji se pripisuju hakiranju ostaje visok te čini više od 50% otkrivenih neovlaštenih upada u baze podataka.
Budući da broj prijavljenih ranjivosti ove godine slijedi trend koji bi mogao prijeći 2017. godinu te da je preko 3.000 tih ranjivosti neotkriveno od strane CVE i National Vulnerability Database (NVD), visok postotak upada hakiranjem može se pripisati nepotpunim ili inferiornim saznanjima o ranjivostima.
Gospođa Goddijn ističe: “Postoji mnogo pokretnih dijelova za stvaranje djelotvornog programa informacijske sigurnosti te je upravljanje zakrpama jedno od varljivijih komponenata za rješavanje problema. Nadalje, isprobane i ispravne tehnike socijalnog inženjeringa uz sposobnosti iskorištavanja osjetljivosti koje su bez zakrpa jedan od najdjelotvornijih alata koje zlonamjerni akteri mogu koristiti. Upravo to obranu protiv aktivnosti poput phishinga i snažno upravljanje ranjivostima okuplja u zaustavljanju hakera.
“Iako možemo očekivati da će hakiranje ostati glavni uzrok gubitaka podataka, ne možemo izgubiti iz vidokruga štetu koja može nastati kroz slučajna izlaganja. Pogrešno konfigurirane usluge, izložene usluge u oblaku (S3 buckets) te čak i nepravilno rukovanje elektroničkom poštom čine velik udio nedavnih upada. Ovakve vrste gubitaka podataka je jednostavno spriječiti te zaštita od njih je skoro u potpunosti u domeni odgovornosti organizacije. Ne smije ih se previdjeti u težnji za sprečavanjem vanjskih napada”, zaključuje gđa. Goddijn.
