COMMENTAIRE
La migration vers le cloud, associée à l'essor de l'intelligence artificielle (IA) et de l'apprentissage automatique, a accéléré de manière exponentielle l'utilisation, la diffusion et le stockage des données dans le cloud. L’adoption de nouvelles technologies pour faciliter ces processus, ainsi que le nombre croissant de lois et de réglementations sur la protection de la vie privée pour tenter de les régir, ont accru la prise de conscience de la nécessité de considérer les données comme une priorité de sécurité autonome en 2023.
Les attaquants, comme toujours, n’étaient pas en reste pour tenter de les arrêter. Parallèlement à l’adoption d’outils et de processus de sécurité des données, 2023 a été une année de violations de données, avec des milliards d’enregistrements sensibles exposés et des millions touchés. Jetez un œil aux trois principales violations de données de 2023, classées par type d’impact, et évaluez ce qui attend le secteur dynamique de la sécurité.
Premier en impact mondial : MOVEit
En mai 2023, un groupe de ransomwares appelé CL0P (TA505) a commencé à abuser d'un exploit zero-day dans MOVEit, un logiciel de transfert de fichiers géré. L'attaque a pris la forme d'une injection SQL du transfert MOVEit de Progress Software – CVE-2023-34362. Les applications Web de MOVEit Transfer accessibles sur Internet ont été exploitées et infectées par un shell Web nommé LEMURLOOT, qui a été utilisé pour voler des données dans les bases de données et les serveurs internes sous-jacents de MOVEit Transfer.
La brèche en chiffres :
-
Plus de 62 millions de personnes ont été touchées.
-
Plus de 2,000 XNUMX organisations ont été piratées.
-
Environ 84 % des organisations victimes de violations sont basées aux États-Unis.
-
Environ 30 % des organisations victimes de violations proviennent du secteur financier.
-
Jusqu’à présent, 10 milliards de dollars représentent le coût total des piratages massifs.
La violation de données de MOVEit se distingue par son ampleur et la diversité des victimes touchées. Elle a démontré comment une faille dans un seul logiciel peut déclencher un désastre mondial en matière de confidentialité des données, exposant les données de nombreux gouvernements et secteurs, des informations financières ainsi que des données sensibles sur les soins de santé – et la portée continue de s'élargir.
Bien que Progress Software ait publié trois correctifs successifs pour atténuer la faille, le mal était déjà fait. Chaque mois depuis le début de l'attaque, de nouvelles organisations signalent avoir été victimes d'une violation, notamment Sony Interactive Entertainment, la BBC, British Airways, le département américain de l'Énergie et Shell. Un nombre croissant de cyberincidents ont été liés à la violation initiale de MOVEit en tant que canal qui a exposé les informations d'identification et les détails du « fertilisant de phishing ».
Premier en termes de quantité de données exposées : Conseil indien de la recherche médicale (ICMR)
En octobre 2023, un acteur malveillant utilisant l'alias « pwn0001 » a publié un fil de discussion sur les forums Breach négociant l'accès aux détails d'identification et de passeport (y compris les noms, adresses et numéros de téléphone) de 81.5 millions de citoyens indiens. Ils ont prouvé leurs capacités en fournissant des échantillons de ces documents, avec des centaines de milliers de détails d'informations d'identification personnelle (PII) confirmés. extrait des bases de données COVID-19 de l'ICMR.
La brèche en chiffres :
-
5 millions de dossiers personnels et de détails de tests COVID ont été violés par l’organisation basée à New Delhi.
-
90 Go de données proposés à la vente pour 80,000 XNUMX $.
Il s'agit de la violation de données la plus importante de l'histoire de l'Inde, et il convient de prêter attention à la fois à la quantité de données extraites et à leur sensibilité. Le manque de processus et de protocoles de sécurité des données régissant une base de données aussi vaste et stratégique expose les agences gouvernementales et les ministères à un risque élevé. Sans robuste et dédié plans de sécurité des données En place, nous pouvons nous attendre à des violations similaires exploitant des données sensibles à des fins criminelles.
Meilleur niveau de sensibilité : 23andMe
En octobre 2023, la société de tests génétiques 23andMe a signalé la détection d’un accès non autorisé. Il a dit que les attaquants utilisé des méthodes de bourrage d'informations d'identification et la suppression de la fonctionnalité DNA Relatives de 23andMe, à laquelle les utilisateurs peuvent choisir de partager plus de données avec leurs amis et leur famille. Selon 23andMe, les pirates détectés ont pu deviner les identifiants de connexion des utilisateurs vérifiés pour accéder à leurs comptes 23andMe. Après avoir obtenu l'accès, les pirates ont utilisé la fonction DNA Relatives pour acquérir encore plus d'informations sur les autres utilisateurs, notamment les noms, adresses e-mail, dates de naissance, ascendance génétique et historique, etc.
La brèche en chiffres :
-
9 millions de comptes d'utilisateurs ont été compromis, soit environ la moitié des utilisateurs de l'entreprise.
-
Plus de 5.5 millions de dossiers clients ont été supprimés et divulgués.
-
6 $ est le prix moyen sur le marché noir d'un compte piraté.
Sans une solide hygiène de sécurité des données dans les bases de données hautement sensibles, les acteurs malveillants peuvent facilement y accéder en utilisant des informations d’identification volées, une méthode qui gagne du terrain et gagne en popularité. 23andMe a répondu en exigeant que tous les clients utilisent la vérification en deux étapes, en désactivant temporairement certaines fonctionnalités de l'outil DNA Relatives et en conseillant aux utilisateurs de modifier leurs informations de connexion et d'activer l'authentification multifacteur.
Informations clés pour la planification de la sécurité des données en 2024
La responsabilité et le rétablissement de la confiance avec les clients sont des principes clés pour les organisations qui comprennent le caractère inévitable des attaques ainsi que leur rôle dans la prévention des dommages et des perturbations. L’équilibre entre l’utilisation des données et leur sécurité restera un défi, en particulier avec les frontières floues autour des outils d’IA générative. Nous continuerons d’assister à une tendance persistante aux attaques à impact et aux « explosions secondaires », avec des violations basées sur l’identité utilisant des techniques telles que le credential stuffing, de plus en plus nombreuses et de plus en plus impactantes.
Que peut-on faire?
Il existe de nombreux niveaux de risque et divers degrés d’hygiène en matière de sécurité des données qui ont permis à ces violations de se produire. Assumer rapidement la responsabilité des données sensibles de l'entreprise et réagir pour réduire les risques en éliminant les données inutiles, le chiffrement et les autorisations d'accès doivent être les piliers du protocole de sécurité post-attaque de chaque organisation.
Adopter la responsabilité à la fois « à gauche du boom » (avant l’attaque) et « à droite du boom » (après l’attaque) aide les organisations à réagir rapidement et à réduire leur impact, à condition qu’elles disposent d’une visibilité précise sur leurs contrôles de sécurité et politiques d’accès. La découverte complète des données sensibles, où qu'elles se trouvent au sein de l'organisation, est une capacité essentielle qui aide les entreprises à se concentrer sur la réduction des risques et à contrôler la prolifération de leurs données.
- Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
- PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
- PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
- PlatonESG. Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
- PlatoHealth. Veille biotechnologique et essais cliniques. Accéder ici.
- La source: https://www.darkreading.com/cyberattacks-data-breaches/top-3-data-breaches-2023-what-lies-ahead-2024
- :est
- :ne pas
- 000
- 2023
- 2024
- 7
- 8
- a
- capacités
- capacité
- Capable
- A Propos
- accéléré
- accès
- Selon
- Compte
- la reddition de comptes
- hybrides
- acquérir
- acteurs
- propos
- adresses
- Adoption
- du conseil
- affecté
- Après
- agences
- devant
- AI
- Airways
- Tous
- aux côtés de
- déjà
- toujours
- montant
- an
- ainsi que
- anticiper
- applications
- SONT
- autour
- artificiel
- intelligence artificielle
- Intelligence artificielle (AI)
- AS
- Evaluer
- aider
- At
- attaquer
- Attaques
- précaution
- Authentification
- moyen
- Balance
- bbc
- BE
- devenez
- était
- a commencé
- derrière
- jusqu'à XNUMX fois
- Milliards
- milliards
- naissance
- tous les deux
- violation
- infractions
- Britannique
- by
- En chiffres
- CAN
- challenge
- Change
- Réseautage et Mentorat
- Citoyens
- le cloud
- Sociétés
- Société
- complet
- Compromise
- CONFIRMÉ
- considéré
- continuer
- continue
- des bactéries
- contrôles
- Core
- Prix
- Conseil
- accouplé
- Covid
- COVID-19
- CRÉDENTIEL
- Lettres de créance
- Criminel
- des clients
- Clients
- cyber
- des dommages
- données
- violation de données
- Infractions aux données
- confidentialité des données
- la sécurité des données
- Base de données
- bases de données
- Dates
- dévoué
- démontré
- Département
- détails
- détecté
- Détection
- catastrophe
- découverte
- Perturbation
- adn
- INSTITUTIONNELS
- fait
- Dynamic
- même
- efforts
- l'élimination
- permettre
- chiffrement
- énergie
- Divertissement
- notamment
- Pourtant, la
- Chaque
- Exploiter
- Exploités
- exponentielle
- exposé
- famille
- loin
- Fonctionnalité
- Fonctionnalités:
- engrais
- Déposez votre dernière attestation
- la traduction de documents financiers
- l'information financière
- Secteur financier
- défaut
- Focus
- Pour
- formulaire
- forums
- amis
- De
- Gain
- gagner
- génératif
- IA générative
- génétique
- Génétique
- Global
- Goes
- gouverner
- gouvernant
- Gouvernement
- organismes gouvernementaux
- Gouvernements
- Réservation de groupe
- Croissance
- les pirates
- hacks
- Half
- nuire
- Vous avez
- la médecine
- accrue
- aide
- Haute
- très
- Histoire
- Comment
- HTTPS
- Des centaines
- ICON
- Identification
- identifier
- Impact
- impact
- in
- Y compris
- croissant
- Inde
- Indian
- individus
- secteurs
- d'information
- idées.
- Intelligence
- Interactif
- interne
- développement
- Publié
- IT
- SES
- jpg
- en gardant
- ACTIVITES
- Peindre
- gros
- Lois
- Lois et règlements
- apprentissage
- Niveau
- niveaux
- en tirant parti
- se trouve
- lignes
- lié
- vous connecter
- Style
- click
- machine learning
- gérés
- Masse
- Mai..
- médical
- la recherche médicale
- méthode
- migration
- million
- des millions
- Réduire les
- Mois
- PLUS
- (en fait, presque toutes)
- authentification multifactorielle
- must
- prénom
- Nommé
- noms
- Besoin
- Nouveauté
- Les nouvelles technologies
- notable
- nombre
- numéros
- nombreux
- obtention
- octobre
- of
- présenté
- on
- organisation
- organisations
- original
- Autre
- payé
- passeport
- Patches
- autorisations
- personnel
- Personnellement
- phishing
- Téléphone
- pièce
- piliers
- Place
- Des endroits
- et la planification de votre patrimoine
- Platon
- Intelligence des données Platon
- PlatonDonnées
- politiques
- popularité
- posté
- prévention
- prix
- priorité
- la confidentialité
- les process
- Progrès
- protocole
- protocoles
- prouvé
- à condition de
- aportando
- des fins
- Rapide
- vite.
- ransomware
- Réagir
- reconstitution
- Articles
- réduire
- réduction
- règlements
- famille
- rapport
- Signalé
- un article
- réside
- responsabilité
- Augmenter
- hausse
- Analyse
- robuste
- Rôle
- s
- Saïd
- SOLDE
- Escaliers intérieurs
- portée
- secondaire
- secteur
- sécurisé
- sécurité
- voir
- sensible
- Sensibilité
- Serveurs
- Partager
- coquillage
- devrait
- significative
- similaires
- depuis
- unique
- So
- jusqu'à présent
- Logiciels
- quelques
- Sony
- propagation
- autonome
- volé
- Arrêter
- storage
- Stratégique
- STRONG
- rembourrage
- tel
- Prenez
- prise
- techniques
- Les technologies
- principes
- tester
- Essais
- que
- qui
- La
- leur
- Les
- Ces
- l'ont
- milliers
- menace
- acteurs de la menace
- trois
- à
- a
- outil
- les outils
- top
- Total
- traction
- transférer
- Trend
- déclencher
- La confiance
- Essai
- type
- non autorisé
- sous-jacent
- comprendre
- inutile
- us
- utilisé
- d'utiliser
- Utilisateur
- utilisateurs
- en utilisant
- variété
- variant
- Vérification
- vérifié
- victimes
- définition
- était
- we
- web
- Applications Web
- WELL
- ont été
- Quoi
- qui
- élargir
- sera
- comprenant
- dans les
- sans
- an
- zéphyrnet