Comments 20
Випнет, лицензии от ФСБ, и прочее ололо. Такая-то безопасность информационных систем и защита данных.
Можно подумать, PCI DSS чем-то принципиально отличается в лучшую сторону. Тут в одном из соседних постов коллега рассказывал, как в HSM аппаратные ключи прямо всегда в USB воткнуты, чтоб если что перезапустить быстро, и прочие ужасы банков.
PCI DSS
Это тут к чему?
Вроде заслуженное удивление высказано сливу ПД клиентов у компании обладающей пачкой сертификатов от гос.контролирующих органов.
Отвечаю: у меня лично точно такое же удивление вызывали сообщения об утечках из банков, которые, конечно же, обязаны были PCI DSS соответствовать. Поскольку это никого уже не удивляет, то в чём состоит удивление о точно таком же (рядовом) случае с сертификатом от другой конторы? Там законы физики меняются в зависимости от того, кто сертификат выдал?
Просто иронично, что классическая ситуация "сапожник без сапог" - ИБ-контора же, и проблема в области ИБ
Не факт, что их взломали. Может быть патриотично-настроенный работник с доступом сам слил. В больших конторах даже с лучшими практиками безопасности, от сотрудников с больной головой ничего не спасёт. А дальше, если они действительно хороши в безопасности, то найдут и накажут того, кто слил...
По мне так у бизона эпичнее, вендор все-таки не интегратор, уметь "воевать" не обязан. В целом к утечкам уже стоит относиться филосовски. Текут все, в т.ч. мировые корпорации, банки итд.
Это тут к чему?
А у них негров вешают, очевидно.
Подтверждено отсутствие какого-либо влияния данного инцидента на ИТ-инфраструктуру ГК «ИнфоТеКС», включая системы разработки, тестирования и производства продуктов ViPNet. Мы подробно описали это в нашем отчете:https://infotecs.ru/press-center/publications/rezultaty-rassledovaniya-intsidenta-utechki-bd-polzovateley-sayta-infotecs/
А еще наши коллеги из Перспективного мониторинга опубликовали итоги расследования: https://habr.com/ru/companies/pm/articles/741360/
Для полноты анекдота пароли должны были быть в открытом виде. Но без соли тоже пойдёт.
И вот все эти сертификации (во всяком случае зарубежные) строятся вокруг того, чтобы предприятие соответствовало требованиям, в рамках которых далеко не всякий штатный сотрудник в одиночку может слить дамп, вынести и продать. <irony>Я могу допустить, что отечественные сертификации, это когда собирают всех сотрудников в одной комнате, запируют на ключ, и капитан/майор полиции на протяжении всего рабочего дня угрожает долгими сроками и тяжкими условиями заключения.</> Но вообще там должно быть про разграничение доступов, журналирование, технические средства защиты и далее. И кейсы, когда что-то выносят из банков или прочих коммерческих предприятий, это когда PCI DSS не был реализован в конкретном бизнес процессе.
Были в наличии документация, сертификаты, отечественное ПО, поэтому не должны были взломать :) Бумага чудеса творит.
С нетерпением жду сообщения что эта база была скомпилирована недоброжелателями из открытых источников.
CMS Bitrix и информационная безопасность в одном предложении :)
Когда из CMS все кишки наружу торчат без единой точки входа и роутинга - в ней каждый месяц будут находить уязвимости, что в целом и происходит.
Хабр уже не торт =\ Сразу видно, что из комментаторов 0.0 % специалисты, кроме NikitchenkoSergey. Сертификаты выданы на продукты, которые никто не взломал. Была взломана CMS Bitrix и только она, иначе бы они (как делали прежде) выложили бы 1ТБ скачанных данных и исходников. Но мы тут видим только зарегистрированных зверей внешнего сайта, и всё?) Раз они не смогли пройти дальше, значит их продукты работают, иначе по пути MSI и подобных всё прошло.
Сайт наверняка расположен на хостинге, который не имеет связи с инфраструктурой. Поэтому говорить о том, что работают или не работают нельзя. Но в целом вы правы, WAF у инфотекса в продуктовом портфеле нет, поэтому сказать, что какие-то из продуктов не защитили нельзя. Тут больше вопросов к товарищам из servicepipe, которые обеспечивают SECaaS для сайта инфотекса.
Перспективный мониторинг рассказал, как произошла утечка, опубликовали итоги расследования: https://habr.com/ru/companies/pm/articles/741360/
DLBI: хакер выложил в открытый доступ часть базы данных зарегистрированных пользователей сайта infotecs.ru