Was Hosting-Unternehmen aus den Top 5 der größten Datenschutzverletzungen gelernt haben

Aufgrund der immer stärker werdenden Datendiebstähle ist die Gründung und Führung eines Unternehmens heute riskanter als je zuvor. Und weil Datenschutzverletzungen mit hohen Kosten verbunden sind, erhöhen mehrere Unternehmen ihre Ausgabengrenzen für Cybersicherheit.

In den letzten zehn Jahren ereigneten sich viele hochkarätige Datenschutzverletzungen, die modernen Unternehmen wertvolle Lehren liefern. Dieser Artikel gibt einen Überblick über die wichtigsten Dateneinbrüche des letzten Jahrzehnts, um abschließend die Cybersicherheit zu verbessern.

Jede Datenschutzverletzung bietet IT-Mitarbeitern die Möglichkeit, zu wachsen und sich zu verbessern. Wenn man bedenkt, dass es zum ersten Mal mehr Internet-Datenpannen als On-Premises-Verstöße gibt, wie im Verizon Data Breach Investigations Report gemeldet wird, trifft dies besonders zu (DBIR).

Lassen Sie uns weiter graben:

Die Datenverletzungsdefinition und ihre Verbindung mit E-Mail

Wenn Daten ohne Zustimmung der Person aus einer Datenbank erfasst werden, spricht man von einer Datenschutzverletzung. Eine Datenschutzverletzung kann Unternehmen und Organisationen jeder Größe betreffen.

Kreditkartendetails, Kundeninformationen, Firmengeheimnisse und sogar nationale Sicherheitsdetails sind alles Beispiele für sensible, geschützte und private Daten, die bei Diebstahl gefährdet sein können.

Als Folge einer Datenschutzverletzung kann die betroffene Organisation aufgrund der negativen Konnotation, die mit dem Begriff „Vertrauensbruch“ verbunden ist, einen Reputationsschaden erleiden.

Was die Verbindung mit E-Mail betrifft, so muss das Unternehmen, das den Datenverlust erlitten hat, wahrscheinlich seine Kunden benachrichtigen.

Dies gilt insbesondere für europäische Unternehmen aufgrund der Anforderung der Datenschutz-Grundverordnung, dass sie alle Datenschutzverletzungen, die ihre Kunden betreffen, melden müssen.

Benutzer ändern normalerweise ihre Anmeldeinformationen, nachdem sie über eine Verletzung benachrichtigt wurden, aktualisieren jedoch nicht ihre E-Mail-Adressen. Aus Sicht des Betrugsmanagements wird es hier interessant. Sie können mehr über E-Mail-Datenschutzverletzungen zur Betrugserkennung lesen.

Wie wirkt sich eine Datenschutzverletzung auf Hosting-Unternehmen aus?

Die meisten neuen Unternehmen mit begrenzten Ressourcen entscheiden sich dafür, Dienste zu hosten, während sie ihre Websites online stellen. Die Inhalte Ihrer Webseite werden zusammen mit den Daten von Hunderten, wenn nicht Tausenden anderer Domains auf einem Server gespeichert, wenn Sie sich für Shared Hosting entscheiden.

Obwohl dies dazu beiträgt, die Preise niedrig zu halten, wirft es mehrere Sicherheitsprobleme auf. Sie können sich bei Ihren Webhosting-Anforderungen auch an die Hilfe von GoogieHost wenden.

Wenn sich Ihre Website auf einem gemeinsam genutzten Server befindet, können Hacker Sicherheitslücken in anderen Websites ausnutzen, die sich auf demselben Server befinden. Da Sie kein Mitspracherecht darüber haben, was andere Leute auf den Server stellen, könnten Hacker jede Schwachstelle auf einer Site nutzen, um in Ihre einzudringen. Die persönlichen Daten von fast 1,2 Millionen GoDaddy-WordPress-Benutzern wurden aufgrund einer Datenpanne kompromittiert.

Wenn andere Benutzer Ihres Shared Hosting-Plans ihre Software nicht aktualisieren und Sicherheitslücken schließen, ist ein Exploit auch dann möglich, wenn Sie dies tun.

Wenn die Dokument- und Verzeichnisrechte des gemeinsam genutzten Hosts lasch sind, kann ein Hacker, der eine Site auf dem Server verletzt, leicht auf die anderen zugreifen.

Die 5 größten jüngsten Datenschutzverletzungen

Im Folgenden präsentieren wir Ihnen fünf massive Datenschutzverletzungen, die zeigen, wie private Informationen großer Unternehmen in den letzten Jahren kompromittiert wurden.

1. RayChat

Raychat, ein Messaging-Dienst, wurde während eines massiven Cyberangriffs im Februar 2021 nicht kompromittiert. Hacker konnten dank einer Schwachstelle im Design einer Cloud-Datenbank uneingeschränkten Zugriff auf 267 Millionen Bildschirmnamen, E-Mail-Adressen, Passwörter, Metadaten und unverschlüsselte Konversationen erhalten.

Kurz darauf wurden die Daten des gesamten Unternehmens durch einen Botnet-Angriff gelöscht. Die Daten wurden aufgrund einer Fehlkonfiguration in MongoDB offengelegt. Der Vorfall hat gezeigt, wie anfällig NoSQL-Datenbanken für Angriffe von Botnets sind.

Wenn es um Aufzeichnungen geht, müssen Unternehmen Vorkehrungen treffen. Kriminelle, die Daten aus NoSQL-Datenbanken stehlen oder löschen wollen, verlangen oft Lösegeld dafür, dass sie die Datenbanken in Ruhe lassen. Für Raychat wird eine README-Lösegeldnachricht angezeigt, in der rund 700 US-Dollar verlangt werden.

Also, welche Lektion haben wir gelernt?

Datenbanken, die darin enthaltenen Daten, das Datenbankverwaltungssystem und die Programme, die sich mit ihnen verbinden, müssen mit verschiedenen Tools, Einschränkungen und Methoden gesichert werden. Penetrationstests und andere Formen der Cyber-Sicherheitstechnologie können nützlich sein.

2. Freundesfinder

Im Jahr 2016 kompromittierten Hacker das Friend Finder-Netzwerk, das viele erotikzentrierte soziale Netzwerke umfasste, und legten die persönlichen Daten von etwa 400 Millionen Personen offen.

Aufgrund eines Fehlers im Umgang des Servers mit Local File Inclusion (LFI) könnte ein Angreifer Dateien aus einem anderen Teil des Netzwerks in das Endprodukt der betroffenen Anwendung einschleusen.

Sie könnten für böswillige Zwecke eingesetzt werden, z. B. zum Ausführen von Code. Die OWASP-Best-Ten-Liste führt LFI als eine der größten Schwachstellen bei Online-Bewerbungen auf.

Also, welche Lektion haben wir gelernt?

Sie können Probleme beim Einschließen von Dateien verhindern, indem Sie keine vom Benutzer bereitgestellten Daten an Dateisysteme oder Framework-APIs senden. Ihr Datenspeicherort sollte für Ihre Sicherheitsstrategie oberste Priorität haben.

3. Yahoo

Yahoo gab schließlich zu, dass der Hack im Jahr 2016 stattgefunden hatte, zwei Jahre später. Es wurde berichtet, dass der Cyberangriff die wahren Identitäten, E-Mail-Konten, Geburtsdaten und Kontaktinformationen von 500 Millionen Menschen offenlegte.

Einige Monate später veröffentlichte Yahoo eine zweite Erklärung, in der ein Datenleck beschrieben wurde, das 1 Milliarde Konten betraf und im Jahr 2013 auftrat. Neben privaten Daten wurden auch Passwörter, Sicherheitscodes und Antworten offengelegt.

Im Jahr 2017 glaubte das einst dominierende Internetunternehmen nun, dass alle drei Milliarden Benutzeridentitäten durch die Hacks kompromittiert wurden. Verizon zahlte 4,48 Milliarden US-Dollar für die Übernahme von Yahoo, einem Unternehmen mit einem früheren Wert von 100 Milliarden US-Dollar.

Also, welche Lektion haben wir gelernt?

Es wäre besser gewesen, wenn sie offen zu ihren Kunden gewesen wären, Fehler gestanden und ihre Pläne zur Behebung der Angelegenheit erklärt hätten.

4. Aadhaar

Als das ID-Netzwerk Aadhaar der indischen Regierung gehackt wurde, wurden die persönlichen Daten von 1,1 Milliarden Menschen veröffentlicht. Obwohl die Registrierung bei der Datenbank freiwillig ist, müssen die Einwohner Zugang zu einigen staatlichen Diensten haben.

Journalisten von The Tribune zahlten angeblich 500 indische Rupien (etwa 8 US-Dollar im Jahr 2018), um einen Passcode für WhatsApp zu erhalten, der es ihnen ermöglichte, auf die Datenbank zuzugreifen und persönliche Informationen wie Namen, Geburtsdaten, E-Mail-Adressen, Telefonnummern und Postleitzahlen einzusehen.

Für zusätzliche Rs 300 (etwa 5 US-Dollar im Jahr 2018) stellte der Anbieter Reportern eine Software zur Verfügung, mit der sie personalisierte ID-Karten herstellen konnten.

Der Verkäufer war Berichten zufolge ein Gangmitglied, das durch scheidende Aadhaar-Mitarbeiter Zugang zu den Informationen erhielt. Eine ungeschützte Anwendungsprogrammierschnittstelle (API), die zur Überprüfung der Identität von Kunden verwendet wird, war Berichten zufolge die Quelle des Verstoßes, wie von ZDNet berichtet.

Also, welche Lektion haben wir gelernt?

Best Practices zur Überprüfung der Sicherheit von APIs sind ein guter Ausgangspunkt. Schützen Sie sich vor Schaden, indem Sie API-Sicherheitstools verwenden. Befolgen Sie die Richtlinien für die Verwaltung von Benutzeridentitäten und Zugriffsberechtigungen und implementieren Sie Maßnahmen, um potenzielle Insider-Bedrohungen zu identifizieren und abzuwehren.

5. Akzent

Accenture wurde im August 2021 von einem LockBit-Ransomware-Angriff heimgesucht. Um die angeblich gestohlenen 6 Terabyte an Daten wiederherzustellen, fordern die Kriminellen ein Lösegeld von 50 Millionen US-Dollar.

Es scheint, dass Passwörter für Accenture-Kundenkonten auf dem am stärksten gefährdeten Server gespeichert wurden. Etwa 40.000 Passwörter wurden im Klartext in einer Backup-Datenbank gespeichert.

Selbst in den technisch ausgereiftesten und sichersten Unternehmen kann es zu einer Datenpanne wie dieser kommen, die schwerwiegende Folgen haben kann, wie der Sicherheitsexperte Chris Vickery in einem von ihm veröffentlichten Artikel herausstellte.

Also, welche Lektion haben wir gelernt?

Die für IT- und Cybersicherheit Verantwortlichen sollten die Einstellungen Ihrer AWS-Cloud-Server noch einmal überprüfen, um sicherzustellen, dass sie richtig eingerichtet sind. Falsch konfigurierte Server sind ein weiches Ziel für Hacker, die erheblichen Reputations-, Kunden- und finanziellen Schaden anrichten können.

So verhindern Sie Datenschutzverletzungen

Tipp 1: Investieren Sie in Cybersicherheit

Im Jahr 2004 wurden in der Cybersicherheitsbranche rund 3,5 Milliarden US-Dollar umgesetzt. Der Wert des Marktes wird in diesem Jahr auf 124 Milliarden US-Dollar geschätzt.

Diese exponentielle Expansion ist auf die zunehmende Erkenntnis unter den Entscheidungsträgern kleiner und mittlerer Unternehmen zurückzuführen, dass der entscheidende Prozess der Integration einer umfassenden Cybersicherheitsstrategie wichtig ist.

Einige kleine und mittlere Unternehmen ignorieren die Bedeutung von Investitionen in IT-Lösungen, aber die überwiegende Mehrheit weiß, dass dies wahr ist.

Tipp 2: Bereiten Sie einen Notfallwiederherstellungsplan vor

Normalerweise brauchen Unternehmen über neun Monate oder 279 Tage, um eine Sicherheitsverletzung in ihrem Framework zu entdecken und zu stoppen.

Eines der wichtigsten Dinge, die Sie zum Schutz Ihres Netzwerks tun können, ist die Entwicklung einer Notfall-Business-Continuity-, Disaster-Recovery- und Business-Continuity-Strategie.

Tipp 3: Schulen Sie Ihre Belegschaft

Menschen machen Fehler. Es ist unvermeidlich und kann nicht verhindert werden. Die Begrenzung der Möglichkeit menschlicher Fehler ist jedoch eine grundlegende Notwendigkeit und die Grundlage jeder vollständigen Cybersicherheitsstrategie.

Aus diesen und anderen Gründen beinhaltet Impact Networking Sicherheitsbewusstseinsschulungen als Teil unserer umfassenden präventiven Cybersicherheitsmaßnahme. Dies trägt dazu bei, dass die Mitarbeiter wachsamer und sachkundiger in Bezug auf die ordnungsgemäße Handhabung von Daten werden.

Siebenundvierzig Prozent der Datenschutzverletzungen werden durch Unachtsamkeit von Mitarbeitern ausgelöst, wie z. B. unbeabsichtigter Verlust eines Geräts oder elektronische Fehlleitung einer Datei. Angesichts von Cyberangriffen, die Unternehmen mit geschätzten 5 Millionen US-Dollar schaden, ist dies ein Aspekt, den alle kleinen und mittleren Unternehmen (KMU) zu verbessern versuchen müssen.

In Bezug auf Cybersicherheit bedeutet Sensibilisierung, Einstellungen und Verhaltensweisen gegenüber Technologie zu ändern, Remote-Arbeit sicherer zu machen und eine „digitale Hygiene“-Mentalität unter den Mitarbeitern zu fördern.

So viel können Hosting-Unternehmen aus Datenschutzverletzungen lernen

Eine Sache, die wir aus diesen Ereignissen lernen können, ist die Notwendigkeit, unsere Datensicherheitsmaßnahmen zu verstärken. Sowohl große als auch kleine Unternehmen sammeln sensible Daten, schützen sie aber nicht.

Die gleichen unzureichenden Sicherheitsverfahren und Hacks, die dazu führen, dass Regierungsbehörden und große Firmen Daten preisgeben, betreffen wahrscheinlich auch kleine und mittlere Unternehmen.