Συνοπτικό μήνυμα: Η επεξεργασία της Ειδοποίησης Παραβίασης κατά τη διάρκεια μιας Παραβίασης είναι μια συνταγή για καταστροφή.
Τον Δεκέμβριο του 2018, η Booking.com υπέστη παραβίαση, όπου η εταιρεία δέχθηκε εκμετάλλευση μέσω μιας επίθεσης Vishing . Για όσους δεν γνωρίζουν, το Vishing είναι η μέθοδος hacking κατά την οποία οι τηλεφωνικές κλήσεις και τα μηνύματα φωνητικού ταχυδρομείου προσποιούνται ότι προέρχονται από αξιόπιστες εταιρείες, πείθοντας τους χρήστες να δώσουν προσωπικές πληροφορίες, όπως τραπεζικά στοιχεία, αριθμούς πιστωτικών καρτών ή άλλες μη δημόσιες προσωπικές πληροφορίες . Αυτό είναι παρόμοιο με το phishing και το smishing , αλλά χρησιμοποιεί τηλεφωνικά συστήματα και φωνητικό ταχυδρομείο αντί για email ή μηνύματα κειμένου. Αυτό που καθιστά σημαντική αυτήν την παραβίαση δεν είναι η ίδια η παραβίαση, αλλά τα επακόλουθα πρόστιμα που επιβλήθηκαν από την Ολλανδική Αρχή Προστασίας Δεδομένων (DPA). Διαβάστε παρακάτω για να μάθετε γιατί επιβλήθηκαν πρόστιμα.
Σύμφωνα με την έκθεση, η επίθεση πραγματοποιήθηκε εναντίον ξενοδοχείων στα Ηνωμένα Αραβικά Εμιράτα (ΗΑΕ), χρησιμοποιώντας τηλεφωνικά κόλπα κοινωνικής μηχανικής . Οι χάκερ τηλεφώνησαν στο προσωπικό 40 διαφορετικών ξενοδοχείων στην περιοχή και τους έπεισαν να παραδώσουν τα στοιχεία σύνδεσης για τους λογαριασμούς ξενοδοχείων στο σύστημα Booking.com.
Με αυτά τα κλεμμένα διαπιστευτήρια, οι «Vishers» ανέκτησαν δεδομένα από 4109 κρατήσεις πελατών, συμπεριλαμβανομένων των ονομάτων, των διευθύνσεων και των αριθμών τηλεφώνου των πελατών. Οι εγκληματίες απέκτησαν επίσης πρόσβαση σε δεδομένα πιστωτικών καρτών από 283 από αυτές τις κρατήσεις. Οι χάκερ έκλεψαν ακόμη και 97 CVV (3ψήφιος κωδικός στο πίσω μέρος της κάρτας) οι οποίοι δεν θα έπρεπε ποτέ να αποθηκεύονται σε κανένα ηλεκτρονικό σύστημα!
Η Monique Verdier, αναπληρώτρια πρόεδρος της Ολλανδικής Αρχής Προστασίας Δεδομένων (DPA), επεσήμανε στην έκθεση της Αρχής για την παραβίαση:
Παρουσιάζοντας σε email ή στο τηλέφωνο ως προσωπικό ξενοδοχείου, προσπάθησαν να κλέψουν χρήματα από ανθρώπους. Μια τέτοια προσέγγιση μπορεί να φαίνεται εξαιρετικά αξιόπιστη εάν ο απατεώνας γνωρίζει ακριβώς πότε κάνατε κράτηση και σε ποιο δωμάτιο κάνατε κράτηση, και στη συνέχεια σας ζητά να πληρώσετε για τις εν λόγω διανυκτερεύσεις. Με αυτόν τον τρόπο μπορούν να κλαπούν μεγάλα χρηματικά ποσά.
Όλα όσα συζητήθηκαν μέχρι αυτό το σημείο σε αυτό το άρθρο εξηγούν πώς συμβαίνουν οι περισσότερες παραβιάσεις. Πολύ λίγες εταιρείες που έχουν παραβιαστεί λαμβάνουν πρόσθετα κυβερνητικά πρόστιμα, οπότε τι συνέβη και προκάλεσε αυτό εδώ;
Οι ολλανδικές ρυθμιστικές αρχές DPA επέβαλαν πρόστιμο στην Booking.com σχεδόν μισό εκατομμύριο ευρώ, όχι επειδή υπήρξε παραβίαση, αλλά επειδή η εταιρεία δεν ανέφερε την παραβίαση αρκετά γρήγορα :
Η Ολλανδική Αρχή Προστασίας Δεδομένων (DPA) επέβαλε πρόστιμο 475,000 ευρώ στην Booking.com, επειδή η εταιρεία άργησε πολύ να αναφέρει μια παραβίαση δεδομένων στην DPA. Όταν σημειώθηκε η παραβίαση, οι εγκληματίες απέκτησαν τα προσωπικά δεδομένα περισσότερων από 4,000 πελατών. Επίσης, απέσπασαν τα στοιχεία της πιστωτικής κάρτας σχεδόν 300 ατόμων.
Οι επιχειρήσεις της ΕΕ έχουν 72 ώρες για να αναφέρουν μια παραβίαση από τη στιγμή που την επιβεβαίωσαν. Ενώ η Booking.com γνώριζε ότι είχε σημειωθεί διαρροή στις 13 Ιανουαρίου, ενδέχεται να μην γνώριζαν την έκταση της παραβίασης, η οποία θα απαιτούσε κοινοποίηση από την κυβέρνηση. Ωστόσο, τον Ιανουάριο, τη στιγμή που η Booking.com επιβεβαίωσε ότι η παραβίαση επηρέασε περισσότερα από 500 αρχεία, έπρεπε να ειδοποιήσουν την DPA εντός 72 ωρών. Δεν το έπραξαν, γι' αυτό και τους επιβλήθηκε τόσο βαρύ πρόστιμο.
Όσον αφορά την ειδοποίηση παραβίασης, είναι εξαιρετικά σημαντικό να ειδοποιούνται γρήγορα οι χρήστες που επηρεάζονται και οι αρμόδιες υπηρεσίες, όπως η DPA στην Ολλανδία. Από το 2002 έχουν θεσπιστεί αμέτρητοι νόμοι περί απορρήτου δεδομένων σε όλο τον κόσμο. Οι ΗΠΑ έχουν ένα συνονθύλευμα νόμων περί απορρήτου δεδομένων για κάθε πολιτεία, αλλά δεν υπάρχει ομοσπονδιακός νόμος σε ισχύ. Κατά την προετοιμασία της διαδικασίας ειδοποίησης παραβίασης, εάν δραστηριοποιείστε διεθνώς, θα πρέπει να λάβετε υπόψη τους ακόλουθους κανονισμούς:
Η CyberHoot συνιστά να γνωρίζετε τους νόμους που επηρεάζουν την εταιρεία σας και να προετοιμάσετε ένα έγγραφο διαδικασίας ειδοποίησης παραβίασης που να αντικατοπτρίζει αυτούς τους νόμους. Μην ξεχάσετε επίσης να ελέγχετε τη διαδικασία ετησίως.
Πέρα από τη θέσπιση μιας διαδικασίας ειδοποίησης παραβίασης, υπάρχουν πολλές άλλες ενέργειες που μπορεί να λάβει η εταιρεία σας για να μειώσει τον κίνδυνο παραβίασης. Η CyberHoot συνιστά τα ακόλουθα βασικά μέτρα αντιμετώπισης παραβιάσεων:
Όλοι παραβιάζονται στις μέρες μας. Δεν επιβάλλονται πρόστιμα σε όλους επειδή δεν ειδοποιούν τις αρμόδιες αρχές αρκετά γρήγορα. Το Cyberhoot συνιστά να παρακολουθήσετε τα δύο παρακάτω βίντεο, για να μάθετε πώς να δημιουργήσετε μια Διαδικασία Ειδοποίησης Παραβίασης για οποιονδήποτε κανονισμό με τον οποίο πρέπει να συμμορφώνεστε.
Πηγές:
Wikipedia – Νόμοι περί ειδοποιήσεων παραβίασης
Πρόσθετες Πληροφορίες:
Ανακαλύψτε και μοιραστείτε τις τελευταίες τάσεις, συμβουλές και βέλτιστες πρακτικές στον τομέα της κυβερνοασφάλειας – μαζί με νέες απειλές που πρέπει να προσέξετε.
Συγγραφέας: Katie Boquetti | Σύνταξη: Craig Taylor Σύνταξη από τον Craig Taylor: Ξέρουμε εδώ και καιρό...
Διαβάστε περισσότερα
Συγγραφέας: Katie Boquetti | Σύνταξη: Craig Taylor Σύνταξη από τον Craig Taylor: Ένα CAPTCHA θα πρέπει να ελέγχει εάν...
Διαβάστε περισσότερα
Συγγραφέας: Katie Boquetti | Σύνταξη: Craig Taylor Σύνταξη από τον Craig Taylor: Είμαι ευλογημένος που έχω...
Διαβάστε περισσότεραΑποκτήστε πιο οξυδερκή εικόνα των ανθρώπινων κινδύνων, με τη θετική προσέγγιση που υπερτερεί των παραδοσιακών δοκιμών ηλεκτρονικού "ψαρέματος" (phishing).
