За четыре месяца текущего года в Сети оказалось более 300 млн строк конфиденциальных сведений из российских компаний, общий объем этой информации составил более 1,1 ТБ. Об этом говорят данные, собранные сервисом мониторинга внешних цифровых угроз Solar Aura компании «РТК-Солар». В этот массив входят свыше 61 млн электронных адресов пользователей, 144,3 млн телефонных кодов. Анализ показал, что 76% украденной и размещенной в открытом доступе информации — это различного рода базы данных, а 24% — документы, похищенные с серверов. В 6% случаев атаки сопровождались дефейсом сайта организации — оператора персональных данных (замена или изменение страницы ресурса злоумышленниками).

— За последний год уровень киберугроз увеличился драматически, так как российская IT-инфраструктура стала ключевой целью для хакеров самой разной квалификации из различных стран, — сообщил директор центра противодействия кибератакам Solar JSOC компании Владимир Дрюков. По его мнению, для преодоления современных угроз бизнес нуждается в профессиональном мониторинге внешних цифровых рисков.

Но не только операторам персональных данных следует позаботиться о безопасности своей IT-инфраструктуры. Чувствительная информация утекает из смартфонов россиян, включая и так называемый полезный мусор. Это неструктурированные данные, похищенные троянами-стилерами (вредоносными программами в мобильных и ПК). По данным «РТК-Солар», комбинации чужих паролей от различных аккаунтов и личных кабинетов активно продаются на черном рынке. Во время мониторинга аналитики компании обнаружили, что скомпрометированы 134 406 аккаунтов клиентов российских банков; 977 615 аккаунтов пользователей российских социальных сетей; 887 707 аккаунтов пользователей популярных российских почтовых сервисов. В той или иной степени эти сведения несут в себе риски хищения средств или другого причинения вреда.

Из-за того что сегодня в Сети открыто хранится море персональных данных, нельзя считать незначительной утечку любой фрагментарной информации о гражданине. Даже публичные сведения о человеке, например, те, что указаны в визитке, могут стать отправной точкой для мощной атаки.

— Например, им интересно атаковать организацию, в которой вы работаете. Берут, прогоняют ваш номер мобильного телефона по базам, находят данные о том, где вы заказывали еду, находят привязку к соцсетям, находят ваш личный e-mail и рабочий. Если им повезло, то по утечкам они могут найти ваши логины и пароли. Вот уже и возможность нанести удар по организации, — объясняет эксперт по кибербезопасности Александр Вураско.

Речь может идти, например, о попадании в рабочую админку информационного ресурса с целью размещения фейка, диверсии на производстве, получении конфиденциальных сведений, хищении баз данных о клиентах и прочих негативных последствиях.

Главной стимулом атак на организации на протяжении последних двух десятилетий были деньги, но в 2022–2023 годах произошло смещение мотивации в сторону хактивизма, говорит Вураско.

— На первый план выходит идеологическая подоплека, то есть желание навредить. В первую очередь расширился перечень атакуемых компаний. Концепция «да кому мы нужны, мы маленький интернет-магазин» больше не работает. Любая уязвимая компания может быть атакована и будет атакована. И данные за последние 16 месяцев это подтвердили. Характерно, что в Сеть начали активно выкладывать скрипты и инструменты, которые позволяют неподготовленным пользователям совершать сложные атаки. Начиная от скриптов, позволяющих автоматически искать уязвимые серверы с базами данных и выкачивать их содержимое, и заканчивая автоматизированными фишинговыми китами и прочими инструментами, — указывает эксперт.

Такая тенденция привлекла в отрасль огромное количество новичков. Одно из самых негативных последствий новой мотивации киберпреступников — появление массивов данных в общем доступе.

— Многое из того, что раньше выставлялось на продажу, теперь доступно бесплатно. Исключительно для того, чтобы навредить интересам нашей страны, — отмечает Вураско.

Законодатель систематически ужесточает контроль за оборотом личных данных граждан организациями, однако специалисты в области информационной безопасности сомневаются, что оборотные штрафы и другие меры ответственности для операторов ПД серьезно уменьшат масштабы проблемы.

— Пора честно себе признаться, что это новая реальность, — говорит о массовых утечках исполнительный директор российской IT-компании HFLabs Константин Степанов. — Никакие стены не защитят данные в том объеме, в котором они уже существуют. И их будет еще больше. Не стоит цепляться за прошлое. Думать о защите и повышении культуры работы с персональными данными нужно, но это не должно быть единственным вектором. Да и наказаниями за утечки всё не исчерпывается. Если накажут компанию, то для человека, чьи данные оказались в свободном доступе, это ничего не изменит. Данные сегодня повсюду: каждая кофейня делает свою программу лояльности. И если информация о вас утекла, то, по сути, уже ничего не сделать. Никакие средства уже не уберут ее из Сети.

По его мнению, стоит изменить подходы к работе с персональными данными и сделать так, чтобы их утечка не имела никакой ценности.

— Например, чтобы мы могли одной кнопкой менять номер телефона и извещать об этом тех, кого считаем нужными. Например, я нажал «сменить номер», через секунду банк получил эту информацию и отправляет туда все сообщения. Что-то похожее уже появляется: так, у некоторых смартфонов есть функция скрыть свой адрес электронной почты и генерировать для каждого сервиса новый.