В прошлом году в Сеть слили 149 389 000 телефонных номеров российских пользователей. Если сравнить эти числа с 2022 годом, то в 2023-м количество утечек персональных данных россиян выросло на 10%. При этом количество уникальных адресов электронной почты уменьшилось на 22%, а количество уникальных телефонных номеров выросло на 26%.

«Основная причина увеличения количества слитых телефонных номеров — переход значительной части сервисов с регистрации по e-mail на регистрацию и авторизацию по SMS в связи с ужесточением законодательства», — объяснил основатель сервиса DLBI автор канала «Утечки информации» Ашот Оганесян.

«Ридус» поговорил с ним о «хакерских итогах» года.

«Ридус»: С чем связан рост утечек?

Ашот Оганесян: Число утечек растет и будет расти, и 10% — вполне неплохой результат, особенно в условиях информационной войны, ведущейся против российских компаний. И в 2022-м, и в прошлом году большая часть утечек была следствием действий украинских хактивистов, атакующих российские ресурсы.

При этом в 2022 году атаки были более целевыми и направлялись на крупные российские компании, взлом которых мог стать громким PR-поводом. Но после того как эти компании более плотно занялись информационной безопасностью, такая стратегия стала неэффективна и уступила место массовому сканированию российского сегмента сети с последующим взломом любых ресурсов, имеющих уязвимости.

«Ридус»: Появились ли в минувшем году новые тренды в хакерских атаках?

Ашот Оганесян: Новым и важным техническим трендом является массовое применение атак типа password reuse, когда пароли из различных утечек объединяются и используются в следующих попытках взлома личных кабинетов или средств удаленного доступа.

Так же, как и поиск уязвимостей, это хорошо автоматизируемый процесс, и число атак такого рода будет расти в наступившем году. И потребует от компаний внимательнее следить за сохранностью паролей и их попаданием в различные утечки.

«Ридус»: Больше всего утечек произошло из банковского сектора и e-commerce. В чём заключаются причины этого? Если говорить об электронной коммерции, кто хуже всего защищает данные?

Ашот Оганесян: Больше всего утечек в 2023 году произошло из сектора электронной коммерции. Из банковской отрасли, несмотря на большой объем, число утечек было минимальным. В e-commerce ситуация обратная — число утечек очень велико, но, поскольку компании небольшие, средний объем утечки редко превышает миллион записей.

Естественно, чем меньше компания, тем меньше она инвестирует в информационную безопасность и тем хуже защищены ее данные. Так что лидерами по числу утечек являются интернет-магазины и небольшие маркетплейсы.

«Ридус»: Что означает на вашем графике строчка «досуг»? Какие компании туда вошли?

Ашот Оганесян: В эту категорию попали сайты клубных и развлекательных проектов, театры и билетные кассы. На долю досуговых проектов пришлось более 20 утечек.

«Ридус»: Количество утечек из госорганов достаточно невелико. Значит ли это, что госорганы лучше защищают свою информацию? Из каких российских госорганов произошли утечки?

Ашот Оганесян: Естественно, государственные ведомства имеют больше возможностей для организации защиты своих данных, чем небольшие компании. После громких взломов 2022 года большинство из них пересмотрели политику информационной безопасности, и сегодня число утечек из госорганов сравнительно невелико. А те, что есть, чаще относятся не к основным их информационным системам, а к веб-сайтам, изолированным от основной инфраструктуры.

«Ридус»: Связан ли рост количества утечек с уходом из России ряда компаний, специализирующихся на сетевом оборудовании?

Ашот Оганесян: Уж с чем точно никакой связи в динамике утечек нет, так это с сетевым оборудованием. Абсолютное большинство утечек происходит в связи с уязвимостями в программном обеспечении, а также человеческим фактором в результате использования социальной инженерии и атак password reuse.

«Ридус»: Насколько безопасно авторизоваться на различных сайтах, включая госорганы, через социальные сети?

Ашот Оганесян: Использование централизованной авторизации, как и все удобное, в принципе небезопасно. Конкретная вероятность взлома зависит от схемы авторизации в социальной сети, в первую очередь от использования двухфакторной аутентификации. Однако на сайтах госорганов авторизоваться через соцсети в любом случае не стоит.

• Телеграм
• Дзен
• Подписывайтесь на наши каналы и первыми узнавайте о главных новостях и важнейших событиях дня.