- Krađa ličnih podataka kombinuje tehničke i ljudske greške i ima ozbiljne ekonomske, pravne i reputacijske posljedice.
- Navike poput jakih lozinki, višestruke autentifikacije (MFA), ažuriranja, sigurnosnih kopija i opreza na mreži smanjuju većinu rizika.
- Kompanije moraju šifrirati podatke, ograničiti pristup, obučiti svoje osoblje i definirati protokole za odgovor i sigurno brisanje.
- Kultura sajber sigurnosti i kontinuirana edukacija korisnika su najbolja odbrana od phishinga i drugih napada.
U svijetu u kojem svaki klik ostavlja trag, krađa ličnih podataka postala je jedan od najozbiljnijih rizika i za pojedince i za preduzeća. Ne radi se samo o novcu: vaš digitalni identitet, vaša reputacija, pa čak i vaš mir su u pitanju kada otkrijete da neko djeluje u vaše ime.
Finansijske posljedice kršenja podataka mogu biti razorne, ali utjecaj ide mnogo dalje od toga. Cyber kriminalac može ukrasti vaš identitet , otvoriti bankovne račune, uzeti kredite u vaše ime, ukrasti medicinske podatke ili ugroziti povjerljive informacije kompanije. Srećom, uz dobre navike i nekoliko dobro implementiranih sigurnosnih mjera, moguće je spriječiti veliku većinu incidenata.
Šta je krađa ličnih podataka i zašto bi vas to trebalo zanimati?
Kada govorimo o krađi podataka, mislimo na ilegalno pribavljanje povjerljivih informacija - bilo ličnih, finansijskih, korporativnih ili medicinskih - pohranjenih na računarima, mobilnim uređajima, serverima ili cloud servisima. Napadač ne mora fizički ništa uzeti; jednostavno kopiranje ili dupliciranje informacija je dovoljno da ih iskoristi ili proda.
Ukradeni podaci mogu uključivati sve, od lozinki, brojeva kreditnih kartica, podataka o bankovnim računima , ličnih karata i pasoša, do medicinskih kartona, baza podataka o kupcima, algoritama i internih procesa kompanije. Često ove informacije završe na ilegalnim tržištima gdje se kupuju i prodaju za prevarantske kampanje, masovni phishing i krađu identiteta.
Važno je razlikovati curenje podataka od povrede podataka . Curenje je obično slučajno: loše dijeljen dokument, izgubljeni tvrdi disk, pogrešno konfigurirana baza podataka. Povreda se više odnosi na namjerni napad , gdje neko iskorištava tehničku ili ljudsku ranjivost kako bi dobio pristup tuđim sistemima.
Za kompaniju, incident ove vrste može uključivati tužbe, kazne, troškove povrata , gubitak kupaca i prekid poslovanja. Za pojedinca, najneposredniji rizik je krađa identiteta , s direktnim finansijskim gubicima i ogromnim stresom zbog potrebe za dokazivanjem da niste izvršili određene transakcije.
Kako dolazi do krađe podataka: uobičajene tehnike i greške
Sajber kriminalci koriste kombinaciju tehnologije i psihološke manipulacije kako bi dobili informacije. Iako se alati mijenjaju, obrasci napada se ponavljaju iznova i iznova.
Jedna od najčešćih metoda je socijalni inženjering . Klasičan primjer je phishing: e-poruke, SMS poruke ili objave na društvenim mrežama koje se lažno predstavljaju kao vaša banka, poznata kompanija ili čak vladina agencija, varajući vas da kliknete na link, preuzmete datoteku ili date svoje podatke za prijavu. Ako nasjedete na to, napadač dobija direktan pristup vašim podacima.
Još jedna često iskorištavana ranjivost su slabe ili višekratno korištene lozinke . Ako koristite istu lozinku za sve ili odaberete očigledne kombinacije (datumi rođenja, 123456, ime kućnog ljubimca), napadaču je dovoljan samo jedan proboj web stranice da isproba tu lozinku na svim vašim ostalim računima.
Tehničke ranjivosti također igraju značajnu ulogu: loše programirane aplikacije, sistemi bez sigurnosnih zakrpa, ruteri s tvorničkim postavkama, zastarjeli antivirusni softver… Sve ovo otvara vrata koja napadač može skenirati i iskoristiti automatiziranim alatima.
Ne smijemo zaboraviti interne prijetnje . Nezadovoljni zaposlenici, bivši zaposlenici ili dobavljači kojima pristup nije na vrijeme opozvan mogu kopirati, mijenjati ili izdvajati kritične informacije. Tome se dodaju i ljudske greške : slanje povjerljivog dokumenta pogrešnom kontaktu, slučajno dijeljenje javnog linka, objavljivanje previše sadržaja na društvenim mrežama ili korištenje ličnih uređaja bez sigurnosnih mjera.
Postoje i fizički rizici: krađa laptopa, mobilnih telefona ili USB diskova; gledanje u kafiću; ili postavljanje uređaja na bankomate i POS terminale radi kloniranja kartica . Čak i preuzimanja sa nepouzdanih web stranica ili "besplatnog" softvera mogu sadržavati skriveni zlonamjerni softver koji otvara vrata krađi podataka.
Koje podatke obično kradu i za šta ih koriste?
U praksi, gotovo svaka vrsta informacija može biti vrijedna, ovisno o cilju napadača. Među najčešćim metama su evidencija kupaca , baze podataka koje sadrže imena, adrese, brojeve telefona, e-mail adrese i navike kupovine - sve vrlo korisno za spam kampanje ili ciljane prevare.
Finansijski podaci su također meta visokog prioriteta : brojevi kartica, bankovni računi, IBAN-ovi, akreditivi za online bankarstvo i lični dokumenti koji nekome omogućavaju otvaranje finansijskih proizvoda u vaše ime. S dovoljno informacija, kriminalac može uzimati kredite, obavljati kupovine ili prati novac koristeći vaš identitet.
U korporativnom svijetu, izvorni kod, algoritmi i interni procesi , kao i strateški dokumenti, dizajni, budžeti i poslovni prijedlozi, izuzetno su vrijedni . Tu do izražaja dolaze industrijska špijunaža i konkurentska prednost nad drugim kompanijama u sektoru.
Interno, oni također traže HR evidenciju i podatke o zaposlenicima : platne liste, evaluacije, medicinske podatke, privatne adrese, a sve to bi se moglo koristiti za ucjenu, ciljanu prevaru ili nove kampanje socijalnog inženjeringa.
Konačno, tu su i lični dokumenti koje pohranjujemo na računarima, mobilnim telefonima i u oblaku: ugovori, akti, medicinski izvještaji, privatne fotografije ili osjetljivi razgovori. Nije toliko bitan sam dokument, već šta se s njim može učiniti: krađa identiteta, iznuda ili uništavanje reputacije.
Posljedice krađe podataka za pojedince i kompanije
Kada organizacija pretrpi povredu podataka ili sajber napad, problem nije ograničen samo na početni šok. Posljedice se pretvaraju u direktne i indirektne troškove koji mogu ometati poslovanje godinama.
Među najozbiljnijim uticajima na kompanije su potencijalne tužbe od strane kupaca čiji su podaci kompromitovani, zahtjevi za plaćanje od strane ransomware grupa i visoki troškovi oporavka: vraćanje sigurnosnih kopija, ponovna izgradnja sistema, jačanje infrastrukture, angažovanje stručnjaka i advokata.
Također postoji značajna komponenta štete po reputaciju . Narušavanje sigurnosti može uzrokovati da mnogi kupci izgube povjerenje i pređu na konkurenciju. Nadalje, ovisno o važećim propisima, mogu se izreći novčane kazne i regulatorne sankcije ako se ne demonstriraju adekvatne mjere zaštite podataka.
Ovo je pogoršano periodima zastoja dok se incident istražuje i ulažu napori za vraćanje normalnog rada. Svaki sat bez usluge znači gubitak prodaje, kašnjenja u projektima i utjecaj na produktivnost cijele organizacije.
Za pojedince, najveći rizik je krađa identiteta . Kada se neko predstavlja kao vi, može vas zadužiti, počiniti zločine u vaše ime, uznemiravati druge ili potpisati ugovore koje ćete kasnije morati osporiti. Rješavanje svega ovoga uključuje vrijeme, novac i ogroman emocionalni napor, s tužbama, zahtjevima i dugotrajnim procesom čišćenja vašeg imena.
Ključne navike za sprječavanje krađe podataka u vašem digitalnom životu
Izbjegavanje da postanete laka meta uključuje promjenu nekih svakodnevnih navika pri korištenju interneta, mobilnog telefona ili računara. To su jednostavne mjere koje, kada se pravilno provedu, blokiraju većinu sajber napada usmjerenih na pojedinačne korisnike.
Prvi stub su lozinke . Bitno je koristiti različite lozinke za svaku uslugu, praveći ih dugim i složenim, kombinirajući velika i mala slova, brojeve i simbole. Dobra ideja je koristiti lozinke koje možete zapamtiti i koje nisu povezane s očiglednim ličnim podacima.
Kad god je to moguće, omogućite dvostepenu ili višestepenu autentifikaciju (MFA). Na taj način, čak i ako neko dobije vašu lozinku, trebat će mu i vaš mobilni telefon, otisak prsta ili dodatni kod za pristup. Ovaj jednostavan korak efikasno sprječava većinu neovlaštenih pristupa.
Još jedna ključna navika je biti oprezan prema sumnjivim e-porukama, tekstualnim porukama ili porukama . Nemojte klikati na neočekivane linkove, nemojte preuzimati priloge od sumnjivih pošiljatelja i budite sumnjičavi prema svakoj poruci koja vas pritišće ili traži povjerljive informacije. Ako mislite da bi mogla biti legitimna, sami posjetite službenu web stranicu upisivanjem adrese u preglednik.
Također je dobra ideja ograničiti lične podatke koje dijelite na društvenim mrežama i drugim servisima. Što više javnih podataka ima o vama, to je lakše nekome da izgradi vrlo detaljan profil kako bi vas prevario ili lažno predstavio. Pregledajte postavke privatnosti svojih računa i smanjite ono što bilo ko može vidjeti.
Konačno, izbjegavajte rizične prakse poput sekstinga ili slanja intimnog sadržaja . Ako taj materijal završi u pogrešnim rukama, može se koristiti za ucjenu ili nanošenje štete vama lično i profesionalno.
Osnovne tehničke mjere: antivirus, ažuriranja i sigurnosne kopije
Pored dobrih navika, ključno je oslanjati se na osnovne alate za sajber sigurnost koji djeluju kao sigurnosna mreža kada nešto pođe po zlu. Ne morate biti stručnjak; dovoljno je jednostavno imati nekoliko osnovnih alata pravilno konfigurisanih.
Ažurirani antivirusni program je neophodan na računarima, a toplo se preporučuje za mobilne telefone i tablete. Ova rješenja otkrivaju zlonamjerni softver, ransomware, špijunski softver i druge zlonamjerne programe koji pokušavaju prodrijeti u sisteme putem e-pošte, preuzimanja, web stranica ili USB diskova.
Podjednako je važno ažurirati vaš operativni sistem i aplikacije . Ažuriranja nisu samo vizualna poboljšanja: ona uključuju sigurnosne zakrpe koje zatvaraju poznate ranjivosti. Ako na neodređeno vrijeme odgađate obavještenja o ažuriranjima, ostavljate otvorena vrata koja sajber kriminalci itekako dobro poznaju.
Ne smijemo zaboraviti redovne sigurnosne kopije . Spremanje vaših kritičnih datoteka na eksterni tvrdi disk, USB fleš disk ili uslugu u oblaku štiti vas u slučaju krađe uređaja, kvara diska ili napada ransomwarea. U mnogim slučajevima, sigurnosna kopija je jedini 100% pouzdan način za oporavak vaših podataka.
Također je preporučljivo aktivirati i pravilno konfigurirati zaštitni zid (firewall) ugrađen u vaš operativni sistem ili ruter. Ova barijera kontrolira koje veze ulaze i izlaze iz vašeg računara, blokirajući sumnjive pokušaje udaljenog pristupa.
Ako dijelite računar s drugim ljudima, kreirajte odvojene korisničke račune s ograničenim dozvolama za svakodnevne zadatke, a administratorski račun rezervirajte samo za instaliranje programa ili promjenu važnih postavki. Na taj način, ako je jedan račun kompromitiran, šteta je ograničena.
Zaštita mobilnih uređaja, Wi-Fi mreže i povezani uređaji
Danas koristimo mobilne telefone za gotovo sve : online bankarstvo, kupovinu, društvene mreže, posao, lične fotografije… Zbog toga su jednako atraktivna meta za napadače kao i računar, ako ne i više.
Provjerite da li vaš pametni telefon ili tablet ima zaključavanje ekrana pomoću PIN-a, uzorka, otiska prsta ili prepoznavanja lica i omogućite opciju lociranja uređaja i daljinskog brisanja podataka. Instalirajte aplikacije samo iz službenih trgovina aplikacija i budite oprezni s linkovima koji traže preuzimanje aplikacija izvan tih kanala.
Što se tiče javnih Wi-Fi mreža (aerodromi, kafići, hoteli), trebali biste ih tretirati kao nesigurna okruženja . Izbjegavajte pristup online bankarstvu, korporativnoj e-pošti ili uslugama s osjetljivim podacima. Ako nemate drugu mogućnost, uvijek koristite šifrirane veze (HTTPS) i, idealno, VPN kako biste zaštitili sav promet.
Kod kuće ili u vašem poslovnom prostoru, promijenite zadane lozinke vašeg rutera , omogućite WPA2 ili WPA3 enkripciju i koristite jake lozinke. Razmislite o kreiranju odvojene mreže za goste i za uređaje Interneta stvari (pametni zvučnici, IP kamere, televizori, satovi, fitnes trackeri itd.), jer oni često imaju manje robusnu ugrađenu sigurnost.
Redovno pregledavajte aplikacije i ekstenzije koje ste odobrili u svom pregledniku i na društvenim mrežama. Igre, kvizovi i druge "neobične" usluge koje zahtijevaju pristup vašim kontaktima, historiji pregledavanja ili objavama mogu postati izvor curenja podataka.
Specifične najbolje prakse za kompanije i organizacije
U korporativnom okruženju, zaštita ličnih i povjerljivih podataka zahtijeva korak dalje i kombinovanje tehničkih, organizacijskih i mjera obuke . Samo instaliranje antivirusnog softvera nije dovoljno: potrebna je jasna strategija.
Ključna stvar je šifriranje osjetljivih informacija pohranjenih na serverima, laptopima, mobilnim uređajima i eksternim medijima za pohranu podataka. U slučaju gubitka ili krađe uređaja, šifriranje sprječava treće strane da čitaju podatke bez ispravnog ključa.
Ključno je ograničiti ko može pristupiti čemu. Primjena principa najmanjih privilegija i kontrole pristupa zasnovane na ulogama uveliko smanjuje rizik: svaki zaposlenik treba vidjeti i mijenjati samo informacije potrebne za njegovu ulogu. To uključuje uređaje koji štite lozinkom i internu mrežu, te periodično pregledavanje računa s povećanim privilegijama.
Kompanije moraju implementirati rješenja za sigurnost perimetra i krajnjih tačaka : korporativni antivirus, zaštitni zid, sisteme za detekciju upada, zaštitu od naprednog zlonamjernog softvera i ransomwarea, kao i alate za praćenje kako bi otkrile anomalno ponašanje.
Još jedan bitan element je obuka o sajber sigurnosti za sve zaposlene . Iskustvo pokazuje da je najslabija karika često osoba koja klikne tamo gdje ne bi trebala, dijeli svoju lozinku ili šalje osjetljivu datoteku pogrešnom primaocu. Programi podizanja svijesti, simulacije phishinga i jasni protokoli djelovanja čine svu razliku.
Ako koristite usluge trećih strana kao što su računarstvo u oblaku, SaaS ili skladištenje u oblaku , morate osigurati da one ispunjavaju odgovarajuće sigurnosne standarde i da ugovori jasno navode odgovornosti svake strane u vezi sa zaštitom podataka.
Šta učiniti ako vaša kompanija pretrpi povredu podataka
Kada organizacija otkrije sigurnosni propust koji je otkrio lične podatke kupaca, korisnika ili zaposlenika , vrijeme je od ključne važnosti. Ključno je reagovati brzo i u skladu s unaprijed definiranim planom.
Prvi korak je suzbijanje incidenta : izolacija pogođenih sistema, promjena akreditivnih podataka, isključivanje kompromitovanih servisa i sprječavanje daljeg širenja napada. Istovremeno, tehnički i pravni tim moraju biti aktivirani kako bi koordinirali odgovor.
U slučaju Španije i Opće uredbe o zaštiti podataka, ako kompromitovani podaci uključuju nešifrirane lične podatke , obavezno je obavijestiti Špansku agenciju za zaštitu podataka (AEPD) o povredi u roku od maksimalno 72 sata, kao i obavijestiti pogođene strane kada je rizik po njihova prava i slobode značajan.
Preporučuje se da stručnjaci provedu forenzičku analizu incidenta kako bi utvrdili porijeklo napada, iskorištene ranjivosti, vrstu prikupljenih podataka i stvarni utjecaj. Ovaj rad ne služi samo kao dokaz u pravnim postupcima, već omogućava i jačanje sigurnosnih mjera kako bi se spriječili budući incidenti.
Pored korištenja administrativnih i radnih sredstava, ključno je podnijeti prijavu nadležnim agencijama za provođenje zakona , uz dostavljanje svih dostupnih tehničkih informacija. Mnogi napadi su dio širih kampanja, a saradnja s drugim žrtvama i vlastima pomaže u razbijanju kriminalnih mreža.
Sigurno upravljanje lozinkama na ličnom i korporativnom nivou
Sigurnost mnogih računa doslovno počiva na nizu lozinki, bilo da su dobro ili loše upravljane . Zato je toliko važno slijediti najnovije najbolje prakse, zasnovane na modernim preporukama, poput onih NIST-a ili univerziteta i specijaliziranih organizacija.
Općenito, preporučuje se da lozinke budu dugačke najmanje 8 znakova za standardne račune , a 12-15 znakova ili više za osjetljive ili administratorske račune. Dužina je ključni faktor u snazi sigurnosti, posebno kada se koriste lozinke koje je lako zapamtiti, ali teško pogoditi.
Više nema smisla nametati apsurdno kruta pravila "jedno veliko slovo, jedan broj i jedan simbol" ako to dovodi do toga da svi ponavljaju isti obrazac. Poželjno je dozvoliti duge lozinke, sa bilo kojim znakom koji se može odštampati (uključujući razmake i simbole), i blokirati one za koje se zna da su procurile u prethodnim napadima.
Još jedna važna stvar je izbjegavanje ponovne upotrebe lozinki na različitim servisima . Ako se vaša lozinka za društvene mreže pojavi na procuriloj listi, napadač će pokušati tu istu kombinaciju na vašoj e-pošti, online bankarstvu, pohrani u oblaku i bilo kojoj drugoj popularnoj platformi. Jedna greška može dovesti do daljnjih kompromitiranja.
Budući da je pamćenje desetina različitih jakih lozinki danas nepraktično, najpraktičniji i najsigurniji alat je upravitelj lozinki . Ove aplikacije pohranjuju vaše vjerodajnice u šifriranu bazu podataka, zaštićenu jednom glavnom lozinkom (i po mogućnosti s MFA). Također vam omogućuju automatsko generiranje vrlo jakih lozinki bez potrebe za njihovim pamćenjem.
Višefaktorska autentifikacija: dodatna prepreka koja čini razliku
Višefaktorska autentifikacija (MFA) dodaje dodatni sloj sigurnosti lozinkama zahtijevajući više od samog "onoga što znate". Obično kombinuje faktor znanja (ključ), faktor posjedovanja (mobilni uređaj, token, fizički ključ) i, u nekim slučajevima, inherentni faktor (otisak prsta, lice, glas).
Ovaj pristup znači da čak i ako napadač nekako dobije vašu lozinku, i dalje mu nedostaje taj drugi korak za potpuni pristup. Zato mnoge agencije za sajber sigurnost tvrde da omogućavanje višestruke autentifikacije (MFA) na kritičnim uslugama može spriječiti veliku većinu hakovanja računa zasnovanih na krađi ili curenju akreditiva.
Na nivou preduzeća, ima smisla dati prioritet višefaktorskoj autentifikaciji za administrativni pristup, korporativnu e-poštu, VPN-ove, alate za upravljanje i sisteme koji obrađuju osjetljive podatke . Nakon što se uspostavi u ovim okruženjima, može se primijeniti na druge korisnike.
Preporučljivo je koristiti faktore otpornije na phishing , kao što su aplikacije za autentifikaciju, verificirane push obavijesti ili fizički sigurnosni ključevi, izbjegavajući SMS poruke koliko god je to moguće, koje mogu biti predmet prevare poput zamjene SIM kartice.
Da bi sve ovo funkcionisalo, potrebno je definirati jasne politike oporavka računa , procedure za promjenu uređaja ili zamjenu izgubljenog drugog faktora i pratiti neuspješne pokušaje autentifikacije kako bi se otkrili sumnjivi obrasci.
Politike za odlaganje i tretman zastarjelih uređaja
Svaki put kada kompanija nadogradi svoje računare, mobilne telefone ili servere, suočava se s tihim rizikom: informacijama koje ostaju na starim uređajima . Ako se njome ne upravlja pravilno, ova oprema može postati zlatni rudnik za svakoga ko je primi ili pronađe.
Prvi korak je uspostavljanje interne politike upravljanja i odlaganja podataka koja uključuje ažurirani inventar opreme, specifične procedure prema vrsti uređaja i jasne odgovornosti u vezi s tim ko odlučuje šta se radi sa svakim od njih.
Da bi se osiguralo da se podaci ne mogu oporaviti, neophodne su sigurne metode uništavanja . To može varirati od logičkog brisanja pomoću softvera koji više puta prepisuje informacije, do fizičkog uništavanja diskova i medija za pohranu kada to zahtijeva nivo osjetljivosti.
U slučaju laptopa, mobilnih telefona i tableta koji se koriste u radu na daljinu ili hibridnom radu, neophodno je imati rješenja za upravljanje uređajima (MDM) koja omogućavaju daljinsko brisanje korporativnih informacija u slučaju gubitka, krađe ili otkaza zaposlenika.
Nadalje, sve ove prakse moraju biti usklađene sa zakonskim obavezama zaštite podataka koje se primjenjuju u svakoj zemlji ili sektoru, tako da organizacija može pokazati dužnu pažnju u slučaju revizija ili inspekcija.
Konačno, preporučljivo je provoditi redovne revizije kako bi se provjerilo da li se procesi brisanja i uništavanja ispravno provode, identifikovale slabosti i prilagodile politike kako se tehnologije i rizici mijenjaju.
Obuka i kultura kibernetičke sigurnosti: uloga ljudskog faktora
Veliki dio sigurnosnih propusta potiče, direktno ili indirektno, od ljudske greške . Ovdje se ne radi o okrivljavanju korisnika, već o priznavanju da je bez obuke o sajber sigurnosti i snažne kulture sajber sigurnosti svaka organizacija ranjiva.
Programi obuke moraju ići dalje od tipičnog jednokratnog kursa i postati kontinuirani proces . Važno je da timovi nauče prepoznavati znakove phishinga, efikasno upravljati svojim lozinkama, sigurno pretraživati internet i razumjeti pravila za korištenje ličnih i korporativnih uređaja.
Redovne simulacije napada , posebno phishing kampanja, veoma su efikasan alat za testiranje naučenog i identifikovanje slabosti. Ključno je da se ove vježbe prate konstruktivnim povratnim informacijama, a ne kažnjavanjem.
Viši menadžment mora biti uključen i predvoditi svojim primjerom , pridržavajući se istih standarda koji se zahtijevaju od svih ostalih, podržavajući sigurnosne inicijative i dajući im vidljivost. Ako oni koji su zaduženi zanemaruju procedure, implicitna poruka je da sigurnost nije toliko važna.
Stvaranje okruženja u kojem svako može prijaviti incidente ili sumnje bez straha podjednako je ključno. Ponekad razlika između straha i katastrofe leži u tome što neko na vrijeme prijavi čudan e-mail, neobičnu web stranicu ili anomalno ponašanje računara.
Uz odgovarajuće tehničke mjere, odgovorne digitalne navike i kulturu koja sigurnost stavlja kao zajednički prioritet, moguće je drastično smanjiti rizik od krađe ličnih podataka i učiniti i korisnike i kompanije mnogo manje izloženima sajber napadima koji se dešavaju svakodnevno.
