Comments 20
Випнет, лицензии от ФСБ, и прочее ололо. Такая-то безопасность информационных систем и защита данных.
Можно подумать, PCI DSS чем-то принципиально отличается в лучшую сторону. Тут в одном из соседних постов коллега рассказывал, как в HSM аппаратные ключи прямо всегда в USB воткнуты, чтоб если что перезапустить быстро, и прочие ужасы банков.
PCI DSS
Это тут к чему?
Вроде заслуженное удивление высказано сливу ПД клиентов у компании обладающей пачкой сертификатов от гос.контролирующих органов.
Отвечаю: у меня лично точно такое же удивление вызывали сообщения об утечках из банков, которые, конечно же, обязаны были PCI DSS соответствовать. Поскольку это никого уже не удивляет, то в чём состоит удивление о точно таком же (рядовом) случае с сертификатом от другой конторы? Там законы физики меняются в зависимости от того, кто сертификат выдал?
Просто иронично, что классическая ситуация "сапожник без сапог" - ИБ-контора же, и проблема в области ИБ
Не факт, что их взломали. Может быть патриотично-настроенный работник с доступом сам слил. В больших конторах даже с лучшими практиками безопасности, от сотрудников с больной головой ничего не спасёт. А дальше, если они действительно хороши в безопасности, то найдут и накажут того, кто слил...
По мне так у бизона эпичнее, вендор все-таки не интегратор, уметь "воевать" не обязан. В целом к утечкам уже стоит относиться филосовски. Текут все, в т.ч. мировые корпорации, банки итд.
Это тут к чему?
А у них негров вешают, очевидно.
Подтверждено отсутствие какого-либо влияния данного инцидента на ИТ-инфраструктуру ГК «ИнфоТеКС», включая системы разработки, тестирования и производства продуктов ViPNet. Мы подробно описали это в нашем отчете:https://infotecs.ru/press-center/publications/rezultaty-rassledovaniya-intsidenta-utechki-bd-polzovateley-sayta-infotecs/
А еще наши коллеги из Перспективного мониторинга опубликовали итоги расследования: https://habr.com/ru/companies/pm/articles/741360/
Для полноты анекдота пароли должны были быть в открытом виде. Но без соли тоже пойдёт.
Сколько уже было случаев утекания таких дампов из разных контор. Но по итогу никакой информации как именно произошёл слив. Когда читаешь "хакер выложил", то сразу воображение рисует гика, который неистово стучит по клавишам, ломает защиту и проникает в сеть.
А по факту скорее всего в 99% просто штатный сотрудник слил данные, вынес и продал.
И вот все эти сертификации (во всяком случае зарубежные) строятся вокруг того, чтобы предприятие соответствовало требованиям, в рамках которых далеко не всякий штатный сотрудник в одиночку может слить дамп, вынести и продать. <irony>Я могу допустить, что отечественные сертификации, это когда собирают всех сотрудников в одной комнате, запируют на ключ, и капитан/майор полиции на протяжении всего рабочего дня угрожает долгими сроками и тяжкими условиями заключения.</> Но вообще там должно быть про разграничение доступов, журналирование, технические средства защиты и далее. И кейсы, когда что-то выносят из банков или прочих коммерческих предприятий, это когда PCI DSS не был реализован в конкретном бизнес процессе.
Были в наличии документация, сертификаты, отечественное ПО, поэтому не должны были взломать :) Бумага чудеса творит.
С нетерпением жду сообщения что эта база была скомпилирована недоброжелателями из открытых источников.
CMS Bitrix и информационная безопасность в одном предложении :)
Когда из CMS все кишки наружу торчат без единой точки входа и роутинга - в ней каждый месяц будут находить уязвимости, что в целом и происходит.
Хабр уже не торт =\ Сразу видно, что из комментаторов 0.0 % специалисты, кроме NikitchenkoSergey. Сертификаты выданы на продукты, которые никто не взломал. Была взломана CMS Bitrix и только она, иначе бы они (как делали прежде) выложили бы 1ТБ скачанных данных и исходников. Но мы тут видим только зарегистрированных зверей внешнего сайта, и всё?) Раз они не смогли пройти дальше, значит их продукты работают, иначе по пути MSI и подобных всё прошло.
Сайт наверняка расположен на хостинге, который не имеет связи с инфраструктурой. Поэтому говорить о том, что работают или не работают нельзя. Но в целом вы правы, WAF у инфотекса в продуктовом портфеле нет, поэтому сказать, что какие-то из продуктов не защитили нельзя. Тут больше вопросов к товарищам из servicepipe, которые обеспечивают SECaaS для сайта инфотекса.
Перспективный мониторинг рассказал, как произошла утечка, опубликовали итоги расследования: https://habr.com/ru/companies/pm/articles/741360/
DLBI: хакер выложил в открытый доступ часть базы данных зарегистрированных пользователей сайта infotecs.ru