(не) Безопасный дайджест: «улетные» пароли, страсти по Xbox и «сцена после титров»

Пришло время для наших нетривиальных ИБ-инцидентов. Традиционно в дайджесте собрали истории, которые больше всего впечатлили нас в марте – в программе хирург, который на спор провел стрим во время операции, поставщики, допустившие утечку данных Nespresso, и компания, попавшая на 15 миллионов из-за слишком легкого пароля.

Что случилось: Хакеры атаковали японского гиганта автомобильных запчастей Denso.

Как это произошло: 14 марта на сайте Denso появилась информация о том, что компания подверглась атаке. После того, как специалисты обнаружили подозрительную активность, Denso незамедлительно отключила сетевое подключение устройств. По заявлению компании, инцидент не привел к нарушению производственной деятельности и заводы продолжили работу в обычном режиме.

Компания промолчала о злоумышленниках, однако ответственность за утечку взяла на себя киберпреступная группа Pandora. Хакеры утверждают, что им удалось украсть 1,4 ТБ данных Denso.
Хак-группа предоставила список файлов, предположительно украденных у Denso. В нем десятки тысяч документов, электронных таблиц, презентаций и изображений, многие из которых содержат данные о клиентах и сотрудниках.
Неясно, как хакеры получили доступ к сети компании, но после того, как Pandora объявила об атаке, нашелся исследователь, который заявил, что предупреждал Denso об угрозе еще пару месяцев назад. В частности, ИБ-эксперту стало известно, что в даркнете продают доступ к ее сети. Но компания не обратила на это внимание – и поплатилась.

Denso принесла клиентам извинения за неудобства, возникшие в результате инцидента. Также компания планирует усилить меры безопасности.

Что случилось: Хирург опубликовал в Twitter видео во время операции, чтобы выиграть спор фанатов Xbox и PlayStation.
Как это произошло: Врач одной из индийских больниц поделился в Twitter видео, на котором проводил хирургическую операцию. В твите пользователь под ником Shreeveera пояснил, что ввел пациенту анестезию, после чего интубировал его, а затем подключил к аппарату искусственной вентиляции легких.  

Оказалось, что хирург участвовал в споре о том, кто делает лучшую консоль – Sony или Microsoft. Спор разгорелся не на шутку: фанаты Xbox усомнились, что в PlayStation могут играть взрослые образованные люди, а не «глупая школота». В частности, они не поверили, что яростный интернет-воин Shreeveera действительно хирург, как написано в его профиле.

На это индийский врач решил доказать свою правоту делом – и опубликовал злополучный твит. До того, как видео удалили из профиля, пользователи успели разглядеть на нем мужчину в маске в операционной, а также его пациента. Чего только ни сделаешь, чтобы выиграть в бессмысленном споре!  Shreeveera остался доволен собой, завершив твит гордым: «Спасать жизни – моя работа, интернет-войны – хобби. Попробуйте поспорить с этим, иксбоксеры!».

Тем временем после инцидента на больницу обрушился шквал негативных отзывов. Теперь у больницы рейтинг всего 1,1 из 5. Разгневанные пользователи писали о том, что хирург нарушил медицинскую этику.

Что случилось: Хакеры взломали сервер африканского подразделения финансовой и страховой компании TransUnion South Africa, используя при этом пароль «password». Теперь злоумышленники обещают опубликовать украденные данные в Сети, если пострадавшая компания не заплатит выкуп в размере 15 млн долларов в криптовалюте.
Как это произошло: TransUnion South Africa официально заявили, что инцидент произошел по вине неизвестных, получивших доступ к их серверу в ЮАР с помощью украденных учетных данных. Но украденных ли?
Ответственность за утечку взяла на себя бразильская хакерская группа N4ughtysecTU. Хакеры утверждают, что ходе кибератаки им удалось скачать 4 ТБ данных компании, включая незашифрованную базу с 54 миллионами клиентских данных. При этом они отрицают, что украли учетные данные. N4ughtysecTU заявляют, что им это бы и не понадобилось – ведь чтобы взломать сервер, оказалось достаточно ввести пароль «password».

TransUnion South Africa пообещала, что уведомит все компании, чьи данные затронула утечка, и лично всем пострадавшим предоставит бесплатную защиту. Также в заявлении подчеркнули, что не собираются платить выкуп хакерам. Вот только хакеры, не будь дураками, решили шантажировать клиентов компании. Злоумышленники предлагают крупным организациям заплатить 1 млн долларов за исключение из «сливного списка», и 100 тысяч долларов (какая благородная скидка) – небольшим компаниям.

Что случилось: То ли хакеры, то ли инсайдеры взломали популярный маркетплейс Wildberries, а то ли все «сломалось» само. Так или иначе, с 14 марта интернет-магазин работает с перебоями.
Как это произошло: Пользователи заметили, что на платформе перестали загружаться каталоги, не получается оплатить заказ и привязать или отвязать карту. Некоторые даже столкнулись с тем, что не могли войти в мобильное приложение и отследить уже оплаченные заказы, потому что не отображались QR-коды для получения посылок. С проблемами столкнулись и поставщики, которые не смогли войти в личный кабинет и отправить товары со складов. За день количество сообщений об ошибках составило более 12 тысяч.

Представители маркетплейса не комментировали ситуацию больше суток, но позже сделали заявление о том, что у сервиса технические неполадки. Версий о причинах сбоя в работе Wildberries несколько и все сводятся к кибератаке. 15 марта CDEK со ссылкой на данные «Киберполигона» во внутренней рассылке оповестили сотрудников о том, что Wildberries подвергся кибератаке. Также в письме упоминалась утечка более 100 тысяч российских карт, поэтому CDEK рекомендовал сотрудникам заблокировать привязанную к маркетплейсу карту. Позже представители логистической компании объяснили, что часто рассылают сотрудникам подобные письма для «перестраховки». 17 марта CDEK принес извинения пользователям маркетплейса, сославшись на то, что в письме не утверждалось, что Wildberries причастен к утечке банковских карт в даркнет.

По другой версии, популярный маркетплейс взломали хакеры OldGremlin. Киберпреступники нарушили работу сайта и захватили над ним контроль. По еще одной версии, Wildberries взломали свои же – русские хакеры, которые уничтожили почти всю инфраструктуру, включая бэкапы.

Начальник ИБ «СёрчИнформ» предположил , что масштаб происходящего можно оценить лишь по косвенным признакам, и судя по тем проблемам, с которыми столкнулся Wildberries, серьезно пострадала внутренняя система. Также эксперт не исключает, что хакеры могли воспользоваться услугами инсайдеров, которые руководствовались идеологическими мотивами – иначе говоря, решили за что-то отомстить работодателю.

Что случилось: Крупнейшая сеть заправочных станций Румынии стала жертвой атаки программы-вымогателя. Хакеры требуют несколько миллионов долларов за возврат украденных данных.
Как это произошло: Дочерняя компания KMG Rompetrol заявила, что подверглась кибератаке, в результате которой была вынуждена приостановить некоторые услуги на станциях и закрыть веб-сайты. По данным Bleeping Computer, ответственность за кибератаку на Rompetrol взяла на себя хак-группа Hive.

Хакеры угрожают газовому гиганту слить в открытый доступ все данные, зашифрованные во время атаки, если Rompetrol не заплатит выкуп в размере 2 млн долларов. Неизвестно, намерена ли Rompetrol или ее материнская компания KMG соглашаться на условия вымогателей, но компания заявила, что тесно сотрудничает с киберорганами «для разрешения ситуации». В официальном пресс-релизе Rompetrol говорится, что не все бизнес-процессы были скомпрометированы, так что автомобилисты по-прежнему могут расплачиваться за бензин наличными или банковской картой.

Есть и другая – конспирологическая версия инцидента. Истиной целью хакерской атаки якобы мог быть крупнейший румынский нефтеперерабатывающий завод Petromidia. По неподтвержденным данным, хакерам на самом деле удалось взломать ИТ-инфраструктуру завода через брешь в каналах коммуникации с контрагентом. Это ли не растущий тренд атак на КИИ?

Что случилось: Сторонний поставщик допустил утечку клиентских данных Nespresso Top Coffee.
Как это произошло: Известно, что южноафриканский дистрибьютор Nespresso разослал клиентам уведомления о возможной утечке, которая могла затронуть их имена, номера телефонов и адреса электронной почты. В утешение дистрибьютор заверил, что платежные данные клиентов не пострадали. В заявлении также говорится, что личная информация клиентов могла быть раскрыта через стороннего поставщика Nespresso.

Позже представители Nestle и Nespresso рассказали журналистам, что они искренне сожалеют о сложившейся ситуации и сделают все возможное, чтобы инцидент больше не повторялся. Вроде и похвалить за честность хочется, но, как показывают другие примеры, публичное покаяние никак не спасает клиентов от неприятных последствий….

Что случилось: Хакеры слили в открытый доступ данные клиентов «Яндекс.Еды» - той самой, которая в начале месяца сама уведомила клиентов об утечке (что похвально) и уверяла, что никаких серьезных данных слито не было (а вот тут уже вопросики).
Как это произошло: 1 марта компания сообщила о том, что обнаружила утечку клиентских данных по вине недобросовестного сотрудника. «Яндекс Еда» обратилась в полицию с заявлением о несанкционированном доступе к данным клиентов и извинилась перед пользователями, которые пострадали в результате утечки. Компания уверяла, что утечка не затронула критичных данных, и пользователям можно спать спокойно. Но этим дело не кончилось.

22 марта по Telegram-каналам разлетелась ссылка, которая вела на сайт с интерактивной картой. Неизвестные хакеры визуализировали личные данные пользователей Яндекса так, что можно было посмотреть имя, номер телефона, адрес и даже общую сумму заказов за последние 6 месяцев. Реакция пользователей на утечку не заставила себя ждать. Одни смогли обнаружить «похождения» своих вторых половинок, а другие пожаловались на то, что общая сумма, потраченная на заказы, огорчила их гораздо больше, чем утечка.

Сервис «Яндекс.Еда» новую утечку не подтвердил , сославшись на то, что хакеры визуализировали данные из февральского слива. Роскомнадзор, тем не менее, уже составил протокол в отношении «Яндекс.Еды» за нарушение законодательства в области персональных данных. Теперь компании грозит «очень большой» штраф в размере от 60 до 100 тысяч рублей. Точную сумму определит суд. Напомним, что за ноябрьскую утечку персданных 1,5 миллиона россиян, включавшую аж скан-копии паспортов, суд оштрафовал Oriflame всего на 30 тысяч рублей.

Что случилось: Больница Mon Health в Западной Виргинии разослала некоторым пациентам письма с предупреждением о возможной утечке персональных данных.
Как это произошло: Согласно письму, Mon Health обнаружила утечку данных некоторых пациентов, поставщиков и сотрудников еще 30 декабря 2021 года. Киберэксперты предполагают, что злоумышленники получили доступ к такой информации о пациентах, как: имя, адрес, дата рождения, номер медицинской карты и счета пациента, идентификационный номер медицинского страхования, даты посещения больницы, информация о претензиях, диагнозах и ходе лечения.

Представители больницы рассказали, что приняли все меры предосторожности, включая отключение систем, сброс паролей и уведомление правоохранительных органов. Пока киберэксперты не зафиксировали какое-либо неправомерное использование личной информации пациентов, но Mon Health уже предложила пострадавшим бесплатное годовое членство в службе защиты личных данных IdentityWorks. Но вряд ли это убережет пострадавших пациентов от попыток шантажа и манипуляций со стороны мошенников, или по меньшей мере спам-рекламы низкокачественных препаратов.