Япония
6 статей с этим тегом
Мошенничество с 7pay (2019) — как платёжное приложение без 2FA было захвачено
Захваты аккаунтов начались на следующий день после запуска; ~808 пользователей потеряли ~¥38,6 млн. Ключевой провал — в дизайне аутентификации: (1) не было двухфакторной аутентификации, поэтому для входа хватало ID + пароля, и (2) сброс пароля мог отправить новый пароль на адрес, отличный от зарегистрированного — так что фрагментов личных данных хватало для захвата аккаунта. Защита: требуйте 2FA на чувствительных действиях, ограничивайте сброс пароля зарегистрированными каналами, обнаруживайте и блокируйте подстановку учётных данных и давайте проверять поток аутентификации второй паре глаз перед запуском.
Кража NEM с Coincheck (2018) — как украли около $530 млн и защита через управление ключами
По сообщениям, точкой входа стали целевой фишинг / вредоносное ПО, нацеленные на сотрудников; они позволили украсть приватный ключ подключённого к интернету горячего кошелька, после чего около 523 млн XEM (~$530 млн на тот момент) были выведены одним махом. Ключевой провал — хранение огромного, мгновенно доступного остатка в «горячем» состоянии и без мультиподписи: единственный украденный ключ увёл почти всё. Защищайтесь, храня важные ключи в холоде / в выделенном хранилище, минимизируя горячий остаток, устраняя единые точки отказа (одобрение несколькими сторонами) и обнаруживая и останавливая аномальные массовые операции.
Программа-вымогатель KADOKAWA / Niconico (2024) — почему поражение охватило всю компанию, сегментация сети и BCP
Входом, как описывается, стал фишинг, укравший учётные данные сотрудника; оттуда взломали внутреннюю сеть и запустили программу-вымогатель, обрушив многие сервисы группы (включая Niconico) на месяцы и слив данные ~250 000 человек. Распространение по всей компании сообщения и анализ связывают с тем, что системы очень разной критичности делили одну сеть — по сообщениям, с недостаточной сегментацией. Защита: сегментировать сеть по критичности, использовать устойчивую к фишингу аутентификацию и готовить непрерывность бизнеса (BCP) и восстановление.
Утечка данных Takufile-bin (2019) — почему хранение паролей в открытом виде фатально и защита через хеширование
Через уязвимость сервера получили несанкционированный доступ, и утекло ~4,8 млн записей — имена, почта, пароли входа, даты рождения, включая ушедших клиентов. Решающей ошибкой было то, что пароли входа хранились в открытом виде: утекнув, они сразу годились к использованию и питали захват аккаунтов на других сайтах через повторное использование паролей. Защита — хранить пароли как односторонний хеш с солью, не держать лишних данных, закрывать уязвимости и готовиться к повторному использованию (2FA).
Утечка данных Benesse (2014) — почему инсайдера не остановили, и защита через наименьшие привилегии
Командированный системный инженер в дочерней компании-подрядчике использовал законно выданный доступ к базе, чтобы массово скопировать данные клиентов, передать их на личный смартфон и продать брокерам данных. Программа мониторинга блокировала запись на USB-накопители, но не блокировала передачу на смартфон (MTP). Утекло до ~35 млн записей. Защищайтесь минимизацией привилегий (наименьшие привилегии / need-to-know), закрытием каждого канала утечки через DLP, обнаружением массового доступа и распространением надзора вплоть до подрядчиков и субподрядчиков.
Программа-вымогатель у Capcom (2020) — почему входом стало старое VPN-устройство и как защититься от двойного вымогательства
Входом стало старое резервное VPN-устройство, оставленное работать в североамериканском филиале после того, как его заменили новые модели. Оттуда взломали сеть, украли данные, а затем программа-вымогатель зашифровала системы (двойное вымогательство). Под угрозой утечки оказались данные ~390 000 человек (без данных платёжных карт). Capcom отказалась платить, восстановилась из бэкапа и открыто раскрыла факты. Защита: выводить из эксплуатации неиспользуемое оборудование, патчить пограничные устройства и закрывать и кражу, и шифрование (сегментация, обнаружение, бэкапы).