O que é um vazamento de dados? Pare de dar acesso gratuito aos cibercriminosos

Um vazamento de dados ocorre quando dados confidenciais são acidentalmente expostos fisicamente, na Internet ou em qualquer outra forma, incluindo discos rígidos ou laptops perdidos, permitindo que criminosos cibernéticos possam obter acesso não autorizado aos dados confidenciais sem esforço. Quando dados confidenciais são postados na dark web após um ataque cibernético, esses eventos também são classificados como vazamentos de dados, pois ajudam a agilizar as violações de dados.

Os termos violação de dados e vazamento de dados são frequentemente usados de forma intercambiável, mas isso é incorreto, pois são duas categorias separadas de comprometimento de dados.

1. Uma violação de dados ocorre quando dados confidenciais são acessados e comprometidos em um ataque bem-sucedido.
2. Um vazamento de dados é a exposição de dados confidenciais que podem ser usados para fazer com que futuras violações de dados aconteçam mais rapidamente. Por exemplo, dados roubados postados em blogs de ransomware são classificados como vazamentos de dados, pois podem ser usados para comprometer redes de TI com menos esforço. Práticas inadequadas de segurança de dados, como configurações incorretas de software, também causam vazamentos de dados.

Conheça as diferenças entre vazamentos de dados e violações de dados da betweek >

Se um cibercriminoso identificar um vazamento de dados, os dados expostos podem ser usados para criar estratégias para um ataque cibernético bem-sucedido. Portanto, ao detectar e corrigir vazamentos de dados antes que eles sejam descobertos, o risco de violações de dados é significativamente reduzido.

Uma forma comum de vazamento de dados é chamada de vazamento de nuvem. Um vazamento de nuvem é quando um serviço de armazenamento de dados em nuvem, como o S3 da Amazon Web Service, expõe os dados confidenciais de um usuário à Internet. Embora a AWS proteja buckets do S3 por padrão, acreditamos que a segurança do S3 é falha e a maioria das pessoas precisa verificar suas permissões do S3.

S3 não é o único culpado. O compartilhamento de arquivos do Azure e um repositório GitHub mal configurado podem provar ter proteção de dados ruim se mal configurados, causando vazamento de dados não intencional.

A pior parte é que, uma vez que uma exposição de dados aconteceu, é extremamente difícil saber se os dados foram acessados. Isso significa que seus dados confidenciais, segredos comerciais, código-fonte, dados de clientes, dados pessoais e qualquer outra coisa armazenada em sistemas de informação podem ser expostos ou usados como parte da espionagem corporativa.

Os vazamentos de dados são causados por erros simples, mas aqueles cujos dados são expostos não se importam com a forma como os dados foram expostos, apenas com o fato de que foram. Os requisitos de notificação de violação para vazamentos de dados são os mesmos, assim como o potencial de danos à reputação, financeiros, legais e regulatórios.

Os serviços em nuvem oferecem grandes vantagens para o local, mas trazem novos riscos que podem resultar em violações de segurança por meio de vazamentos de dados.

O que os criminosos cibernéticos procuram em vazamentos de dados?

A principal coisa que os criminosos cibernéticos procuram são informações de identificação pessoal (PII). As informações pessoais incluem números de previdência social, números de cartão de crédito e quaisquer outros detalhes pessoais que possam resultar em roubo de identidade. Observe que nem todas as informações de identificação pessoal (PII) são o que você tradicionalmente consideraria informações confidenciais. Dados simples como um nome ou o nome de solteira da mãe também são alvos.

Outro alvo comum são as informações médicas ou de saúde protegida (PHI), conforme definido no padrão HIPAA dos EUA, "informações criadas por um profissional de saúde [e] relacionadas à saúde ou condição física ou mental passada, presente ou futura de qualquer indivíduo".

Informações ao cliente

Esses dados diferem de empresa para empresa, mas geralmente há alguns fatores comuns envolvidos:

• Informações de identidade: nome, endereço, número de telefone, endereço de e-mail, nome de usuário, senha
• Informações de atividade: histórico de pedidos e pagamentos, hábitos de navegação, detalhes de uso
• Informações do cartão de crédito: números de cartão, códigos CVV, datas de validade, códigos postais de cobrança

Informações específicas da empresa também podem ser expostas. Podem ser finanças para bancos e grupos de investimento, registros médicos para hospitais e seguradoras ou documentos e formulários confidenciais para entidades governamentais.

Dados da empresa

As informações do cliente não são a única coisa. Informações corporativas podem vazar, incluindo:

• Comunicações internas: memorandos, e-mails e documentos detalhando as operações da empresa
• Métricas: estatísticas de desempenho, projeções e outros dados coletados sobre a empresa
• Estratégia: detalhes de mensagens, roteiros, rolodexes e outras informações críticas de negócios

A exposição desse tipo de informação pode prejudicar os projetos da empresa, dar aos concorrentes uma visão das operações de negócios e revelar a cultura e as personalidades internas. Quanto maior a empresa, mais interesse há nesse tipo de dado.

Segredos comerciais

Esta é a coisa mais perigosa de ser exposta em um vazamento de dados. Informações essenciais para o seu negócio e sua capacidade de competir. Os segredos comerciais incluem:

• Planos, fórmulas, designs: informações sobre produtos e serviços existentes ou futuros
• Código e software: tecnologia proprietária que a empresa vende ou construiu para uso interno
• Métodos comerciais: estratégias de mercado e contatos

A exposição desse tipo de dados pode desvalorizar os produtos e serviços que sua empresa fornece e desfazer anos de pesquisa.

Análise

A análise depende de grandes conjuntos de dados contendo várias fontes de informação que revelam tendências, padrões e trajetórias gerais. Por mais importante que a análise seja para muitas empresas, os dados necessários para realizar a análise podem ser um vetor de ataque se não forem devidamente protegidos. Os dados analíticos incluem:

• Dados psicográficos: preferências, atributos de personalidade, dados demográficos, mensagens
• Dados comportamentais: informações detalhadas sobre como alguém usa um site, por exemplo
• Dados modelados: atributos previstos com base em outras informações coletadas

O Analytics oferece uma maneira de entender os indivíduos como um conjunto de pontos de dados e prever suas próximas ações com um alto grau de precisão. Isso pode parecer abstrato, mas esse tipo de dado pode ser usado para influenciar os eleitores e mudar a maré das eleições, persuadindo em escala. Olhe para a Cambridge Analytica, Aggregate IQ e Facebook se você não acha que essas informações podem causar danos à reputação.

Por que vazamentos de dados acontecem?

Para entender por que os vazamentos de dados acontecem, precisamos dar um passo atrás e entender como as informações são geradas, manipuladas e usadas. Hoje em dia, é quase uma conclusão precipitada que existem grandes conjuntos de dados confidenciais e as empresas os estão usando.

Quando examinamos a segurança da informação, fica claro que organizar um processo resiliente é difícil em escala. Lacunas operacionais, erros de processo e pouca conscientização sobre segurança cibernética podem levar a ativos vulneráveis, o que leva a vazamentos de dados.

Os benefícios e riscos dos dados digitais são os mesmos. Os dados digitais podem ser reproduzidos de forma barata e sem degradação. As organizações têm muitas cópias de dados de produção que incluem dados de clientes, segredos comerciais e outras informações confidenciais. Ferramentas de prevenção contra perda de dados (DLP), armazenamento, recuperação de desastres, ambientes de desenvolvimento e teste, serviços de análise e laptops que seus funcionários levam para casa podem abrigar cópias de seus dados e dos dados mais confidenciais de seus clientes.

A questão é que existem muitas cópias de dados e quanto mais cópias de dados existirem, maior a chance de que algo ou alguém possa expô-los acidentalmente.

Segurança de aplicativos e a cadeia de custódia de dados

Quando você processa dados, eles estão efetivamente fluindo por uma cadeia de custódia. Pode ser tão simples quanto sua cabeça para o computador ou tão complexo quanto fluir por vários serviços em nuvem em várias geografias.

A principal coisa a entender é que medidas inadequadas de segurança e segurança cibernética de aplicativos em qualquer parte da cadeia de custódia podem causar um vazamento de dados. É por isso que o gerenciamento de riscos de terceiros e o gerenciamento de riscos de fornecedores são fundamentais para qualquer negócio. Não são mais apenas os empreiteiros de defesa e as empresas de serviços financeiros que precisam se preocupar com a segurança dos dados. É todo mundo.

A digitalização está mudando fundamentalmente os negócios e as repercussões estão afetando pequenas empresas e grandes multinacionais. Embora você possa não estar no negócio de dados, você ainda gera muitos deles. Mesmo se você estiver vendendo bens físicos como carros ou fornecendo um serviço como saúde, é provável que esteja gerando, processando e até terceirizando dados em algum lugar.

E embora sua empresa possa ter ferramentas de segurança e proteção contra malware, se os terceiros que estão processando seus dados não o fizerem, seus dados ainda poderão ser expostos.

Como os vazamentos de dados podem ser explorados?

Quatro maneiras comuns pelas quais os vazamentos de dados são explorados são:

1. Engenharia social

As operações de engenharia social mais eficazes são conhecidas como ataques de phishing. É quando um cibercriminoso envia um e-mail falso direcionado com base em informações conhecidas para melhor se passar por uma figura de autoridade ou executivo. As informações expostas em vazamentos de dados, especialmente dados psicográficos e comportamentais, são exatamente o tipo de dados necessários para aprimorar ataques de engenharia social e dar aos criminosos cibernéticos a capacidade de usar informações contra um alvo que normalmente não conheceriam.

2. Doxxing

As informações de identificação pessoal (PII) podem ser usadas para mais do que fraudes de cartão de crédito. Doxxing é uma prática de adquirir e publicar as informações de uma pessoa contra sua vontade. O doxxing é realizado por vários motivos. Em casos de extremismo político, vingança, assédio ou perseguição, as PII expostas podem causar danos reais às pessoas.

3. Vigilância e Inteligência

Os dados psicográficos têm muitos usos. Seu próprio propósito é prever e moldar opiniões. As campanhas políticas o usam para ganhar votos e as empresas o usam para conquistar clientes.

4. Interrupção

Vazamentos de dados podem ser usados para retardar ou interromper as operações de negócios e expor informações confidenciais ao público. As informações expostas em um vazamento de dados podem ter consequências drásticas para o governo, empresas e indivíduos.

Por que os vazamentos de dados são importantes?

Considere este cenário:

Sua equipe de marketing precisa mover sua lista de e-mails de um provedor de serviços de e-mail para outro e armazenar os dados em um bucket do S3 não utilizado enquanto decide sobre a nova ferramenta. Uma vez que a ferramenta tenha sido decidida, os contatos são carregados na nova ferramenta e tudo está bem. Exceto que a equipe de marketing esqueceu de limpar o bucket do S3 e ele está configurado para acesso público total.

Isso pode parecer erro humano e é. O problema não é que alguém cometeu um erro, o problema é que nada estava em vigor para evitar o erro em primeiro lugar ou pelo menos detectar que aconteceu para que pudesse ser corrigido imediatamente.

Você pode pensar que isso não é grande coisa, são apenas e-mails, mas e se fosse sua lista de clientes ou, pior, as informações de identificação pessoal (PII) do seu cliente? Até mesmo os endereços de e-mail são um grande problema e podem resultar em danos irrefutáveis à reputação. A resiliência deve ser incorporada ao trabalho processual que é realizado dia após dia.

A principal coisa a entender é que vazamentos de dados, como violações de dados, podem ser explorados. Aqui estão quatro maneiras comuns pelas quais os vazamentos de dados são explorados:

1. Fraude de cartão de crédito: os criminosos cibernéticos podem explorar informações vazadas de cartão de crédito para cometer fraudes de cartão de crédito.
2. Vendas no mercado negro: Uma vez que os dados são expostos, eles podem ser leiloados na dark web. Muitos criminosos cibernéticos se especializam em encontrar instâncias de nuvem não seguras e bancos de dados vulneráveis que contêm números de cartão de crédito, números de previdência social e outras informações de identificação pessoal (PII) para vender para operações de fraude de identidade, spam ou phishing. Pode ser tão simples quanto usar consultas de pesquisa no Google.
3. Extorsão: Às vezes, as informações são mantidas sobre a cabeça de uma empresa para resgate ou para causar danos à reputação.
4. Vantagens competitivas degradantes: Os concorrentes podem tirar proveito de vazamentos de dados. Tudo, desde suas listas de clientes até segredos comerciais, dá a seus concorrentes acesso aos seus recursos e estratégia. Isso pode ser tão simples quanto o que sua equipe de marketing está trabalhando ou operações logísticas complexas.

Como os vazamentos de dados podem ser evitados?

A forma como as informações são tratadas varia de setor para setor, de empresa para empresa e até de pessoa para pessoa. Existem diretrizes gerais que você deve seguir ao operar em um setor regulamentado, como PCI, DSS, HIPAA ou FERPA.

Dito isso, caberá à sua organização e seus empregadores seguir os padrões de prevenção e proteção no dia-a-dia. Para simplificar, a maioria dos vazamentos de dados são problemas operacionais, não problemas tradicionais de segurança cibernética. Os vazamentos de dados não são causados por criminosos cibernéticos, mas podem ser explorados por eles.

As três maneiras comuns de evitar violações de dados são as seguintes:

1. Valide as configurações de armazenamento em nuvem

À medida que o armazenamento em nuvem se torna mais comum, a quantidade de dados que está sendo movida para dentro e para fora do armazenamento em nuvem está aumentando exponencialmente. Sem o processo adequado, os dados confidenciais podem ser expostos em um bucket não seguro. É por isso que as configurações de armazenamento em nuvem devem ser validadas na implantação e durante o tempo de hospedagem de dados confidenciais. As validações contínuas minimizam o risco de segurança cibernética de que os dados serão expostos e podem até notificá-lo proativamente se ocorrer acesso público.

2. Automatize os controles de processo

Em uma escala grande o suficiente, a validação se torna difícil de policiar. Os computadores são muito melhores em manter a uniformidade do que as pessoas. Os controles de processo automatizados devem atuar como documentação executável que garante que todo o armazenamento em nuvem seja protegido e permaneça seguro.

3. Monitore o risco de terceiros

Seus fornecedores podem expor suas informações com a maior facilidade possível. Mesmo que você não exponha os dados de seus clientes, ainda será responsabilizado pelo vazamento de dados aos olhos de seus clientes e, muitas vezes, de seus reguladores. Isso torna a avaliação de risco de terceiros, risco de terceiros e avaliações de risco de segurança cibernética tão importante quanto a segurança cibernética interna e o gerenciamento de riscos de informações.

Saiba mais sobre como evitar vazamentos de dados.

Exemplos de vazamentos de dados

Três exemplos de vazamentos de dados que causaram danos massivos:

1. Aproximadamente 6,2 milhões de endereços de e-mail foram expostos pelo Comitê de Campanha do Senado Democrata em um bucket de armazenamento do Amazon S3 mal configurado. A lista de endereços separados por vírgulas foi carregada no bucket em 2010 por um funcionário do DSCC. O nome do balde e do arquivo faz referência a "Clinton", presumivelmente tendo a ver com uma das candidaturas anteriores de Hillary Clinton para senador de Nova York. A lista continha endereços de e-mail dos principais provedores de e-mail, juntamente com universidades, agências governamentais e militares.
2. Um pesquisador da UpGuard descobriu três buckets do Amazon S3 acessíveis publicamente relacionados à Attunity. Destes, um continha uma grande coleção de documentos comerciais internos. O tamanho total é incerto, mas o pesquisador baixou uma amostra de cerca de um terabyte de tamanho, incluindo 750 gigabytes de backups de e-mail compactados. Os backups das contas do OneDrive dos funcionários também estavam presentes e abrangeram a ampla gama de informações de que os funcionários precisam para realizar seus trabalhos: correspondência por e-mail, senhas do sistema, informações de contato de vendas e marketing, especificações do projeto e muito mais.
3. Um repositório de armazenamento em nuvem contendo informações pertencentes ao LocalBlox, um serviço de pesquisa de dados pessoais e comerciais, foi deixado acessível ao público, expondo 48 milhões de registros de informações pessoais detalhadas de dezenas de milhões de indivíduos, coletadas e extraídas de várias fontes.

Saiba como evitar falsos positivos de vazamento de dados.

Assista ao vídeo abaixo para obter uma visão geral dos recursos de detecção de vazamento de dados do UpGuard.

Para obter mais diretrizes de detecção e prevenção de vazamento de dados, consulte os seguintes recursos:

• 8 estratégias de prevenção de vazamento de dados para 2023.
• Como as empresas de tecnologia podem detectar vazamentos de dados
• Como evitar falsos positivos de vazamento de dados.
• Como faculdades e universidades podem detectar vazamentos de dados.
• Como faculdades e universidades podem evitar vazamentos de dados.
• Causas mais comuns de vazamentos de dados em 2023.