A medida que termina 2014, la violación de Sony Pictures Entertainment es claramente la mayor violación de datos del año y una de las más devastadoras para cualquier corporación..
Los atacantes irrumpieron y tomaron lo que quisieron, exfiltrando gigabytes y gigabytes de documentos, correos electrónicos e incluso películas enteras, aparentemente a voluntad durante meses y meses..
+ También en Network World: Las historias de ciencia / tecnología más extrañas, extravagantes y geniales de 2014 | Peeping en 73,000 cámaras de seguridad no seguras gracias a las contraseñas predeterminadas +
Publicar los datos robados y la naturaleza de celebridad de gran parte de ellos ha resultado en una pesadilla de relaciones públicas para la compañía. Reveló comentarios personales sarcásticos que nunca tuvieron la intención de hacerse públicos, así como información personal, como números y salarios de la Seguridad Social e información competitiva sobre proyectos en curso..
ReutersEl escenario es el peor temor de cualquier profesional de seguridad informática: ser pwned y pasar el rato para que se seque públicamente. A eso se suman las demandas presentadas contra Sony por ex empleados que buscan daños que dicen haber sufrido porque la compañía no protegió adecuadamente los datos..
Mientras que la mayoría de las infracciones se llevan a cabo con fines de lucro, como el robo de información de tarjetas de crédito, este ataque tenía la intención de lastimar a su víctima tanto como sea posible en múltiples frentes y ha tenido mucho éxito.
Muchas de las grandes infracciones con fines de lucro involucraron compromisos de las máquinas de deslizar tarjetas de crédito / débito en tiendas minoristas, entre ellas Target, Home Depot, Neiman Marcus, Michael's y PF Chang.
[Lea todo el año de Network World en historias de revisión]
Una forma común en que los delincuentes entraron fue infiltrarse en socios comerciales de confianza y robar credenciales legítimas para acceder a las redes de las víctimas. Una vez dentro, se movieron de una máquina a otra hasta que llegaron a las subredes que contenían máquinas de puntos de venta, que infectaron con raspadores para robar números de tarjetas y fechas de vencimiento.
Los problemas de Sony dominan los titulares sobre los hacks, hubo otros robos importantes este año. Aquí hay algunos de ellos descritos brevemente.
Sony
Datos comprometidos: aparentemente todo lo almacenado en la red.
Cómo entraron - Desconocido. La especulación va desde un ataque lanzado en un hotel de Tailandia hasta un trabajo interno.
Cuánto tiempo pasaron sin ser detectados - Desconocido.
Cómo fueron descubiertos: el 22 de noviembre, las computadoras de los empleados recibieron mensajes que amenazaban la distribución pública de datos robados y exhibiciones de calaveras en sus pantallas.
Objetivo
ReutersLa violación de Target ocurrió el año pasado, pero los detalles importantes salieron este año, por lo que se incluye aquí.
Datos comprometidos: 40 millones de tarjetas de crédito y débito, 70 millones de números de teléfono, direcciones postales y direcciones de correo electrónico.
Cómo entraron: pirateando las credenciales de un socio comercial legítimo, una empresa de HVAC, para ingresar a la red de Target, y luego instalar malware en máquinas de punto de venta.
Cuánto tiempo pasaron sin ser detectados: aproximadamente dos semanas.
Cómo fueron descubiertos: el Departamento de Justicia les contó al respecto, pero el software antimalware también marcó el problema.
Deposito de casa
Datos comprometidos: hasta 56 millones de tarjetas de crédito están en riesgo, 53 millones de direcciones de correo electrónico
Cómo entraron: a través de las credenciales de un proveedor externo, seguidas de una falla de Windows sin parches.
Cuánto tiempo pasaron sin ser detectados: de abril a septiembre.
Cómo fueron descubiertos: los funcionarios bancarios y policiales les dijeron a los ejecutivos de las tiendas.
Goodwill Industries (C&K Systems)
Datos comprometidos: 868,000 números de tarjeta de crédito / débito.
Cómo ingresaron: al infectar las máquinas de tarjetas de puntos de venta después de comprometer la red del operador de las máquinas. Otros dos clientes no identificados de C&K Systems también se vieron comprometidos.
Cuánto tiempo pasaron sin ser detectados: 18 meses.
Cómo fueron descubiertos: funcionarios federales e investigadores de tarjetas de pago les dijeron.
JP Morgan
Datos comprometidos: números de teléfono y direcciones de correo electrónico de 76 millones de hogares más 7 millones de pequeñas empresas.
Cuánto tiempo pasaron sin ser detectados: tres meses
Cómo se descubrieron: investigación interna, así como datos externos sobre un anillo de tarjeta de crédito robado masivo.
Cómo entraron: los delincuentes comprometieron la computadora con un empleado con privilegios especiales que se usaba tanto en el trabajo como en el hogar.
Datos comprometidos: un número no confirmado de números de tarjetas de crédito, pero posiblemente hasta 7 millones
Cómo entraron: no revelados, pero los sistemas de puntos de venta se vieron comprometidos
Cuánto tiempo pasaron sin ser detectados: nueve meses.
Cómo fueron descubiertos: el Servicio Secreto les contó sobre la violación
Neiman Marcus
Datos comprometidos: 350,000 tarjetas de pago
Cómo entraron - Incierto pero los sistemas de punto de venta se vieron comprometidos
Cuánto tiempo pasaron sin ser detectados: tres meses.
Cómo se descubrieron: los procesadores de tarjetas de crédito advirtieron sobre una posible violación y un consultor lo confirmó.
Michaels
Datos comprometidos: 2.6 millones de tarjetas de crédito / débito
Cómo entraron: no reveladas, pero las máquinas de los puntos de venta estaban infectadas
Cuánto tiempo pasaron sin ser detectados: ocho meses
Cómo fueron descubiertos - No revelados
Únase a las comunidades de Network World en Facebook y LinkedIn para comentar temas que son lo más importante.
