"Do internetu trafiły wyniki badań medycznych wykonanych przez ostatnie kilka lat w jednej z największych ogólnopolskich sieci laboratoriów medycznych, firmy ALAB. Wyciek jest skutkiem ataku grupy ransomware, a dane to podobno tylko próbka."
Czy wycieknie więcej? Tu paradoksalnie możemy was pocieszyć – ta grupa publikuje swoje wycieki w postaci pojedynczych plików o rozmiarach kilkuset GB poprzez sieć TOR, co oznacza, że nigdy nikomu nie uda się całości pobrać (testowaliśmy ich serwer plików, zrywa połączenie po kilkunastu MB transferu, a jego prędkość gwarantuje, że do końca przyszłego roku nikt 246GB z tego serwera nie pobierze).
Gigantyczne pole do wyłudzeń i szantażu. Można sobie wyobrazić co oszuści będą mogli zrobić mając numer telefonu, imię, nazwisko, adres zamieszkania, PESEL oraz wyniki badań z których np. wynika, że ktoś ma chorobę zakaźną albo weneryczną (a to tylko jeden z przykładów tego jak można wykorzystać tę informację). Aż niewiarygodne że te dane i wyniki nie były w żaden sposób szyfrowane przez firmę.
@Baltic_Vodka albo że wkrótce umrze (pole do wyłudzenia ze spadku ~trochę bardziej zawiłe, ale może być warto),
albo choroby psychiczne (szantaż na tle pracy ... z psychiatry korzystają ludzie z depresją, ASD itd - a nie tylko ludzie, którzy powinni siedzieć w szpitalu w kaftanie)
albo nieuczciwe firmy ubezpieczeń na życie (zerwanie umowy, odmowa odnowienia polisy)
Zastrzec pesel czy nie zastrzec - oto jest pytanie... Chyba zastrzec,ale przy zakładaniu nowego konta będzie trzeba się przejść najpierw do urzędu. Trochę kicha.
@Marchew dziena, rano czytałem na 2 stronach i podawali, że robi się to przez appkę mObywatel, albo na poczcie lub w oddziale banku. Na pocztę nie lubię chodzić, bo rzadko czynna a i z bankiem mi nie po drodze. Z appki mObywatel nie korzystam (nie ufam rządowym appkom), ale mam profil zaufany i przez neta prawilnie zastrzegłem. Sam nie korzystałem z ALAB, ale nieraz miałem medycynę pracy z luxmed i medicover i cholera wie komu oni zlecali sprawdzenie badań.
@RufusVulpes o efekcie wiedziałem. Do teraz sugestia, że coś mzoe być nie halo, potem obligatoryjne. Z tym mObywatelem to też śmieszne, widać dziennikarzyny tego nie ogarnęły skoro o nim pisały.
Chcecie mi powiedzieć, że złodzieje szantażują firmę medyczną udostępnieniem danych, jeśli firma nie zapłaci? A jak zapłaci to co? Usuną pliki? xD Sprzedadzą je komuś i tak i tak. Tyle dobrze, że specjaliści z cyberbezpieki kolejny raz dostaną nowe zlecenia
Od lat różne grupy tak działają, a o niektórych wyciekach nawet opinia publiczna się nie dowiaduje..
Poza wykradaniem danych przestępcy też często je szyfrują uniemożliwiając działanie więc jeśli firma nie ma odpowiednich zabezpieczeń i backupów taniej jest zapłacić niż stawiać systemy od nowa. Zresztą same postawienie systemów to często pikuś przy 'wartości' samych danych.
Grupy hackerskie też dbają o swoją 'renomę' i jeśli chcą żeby kolejni im płacili to dotrzymują słowa
Oczywiście - NIE ZALECA się płacenia, ale zdarzają się sytuacje, w których warto takie ryzyko podjąć.
I jeśli chodzi o tyle newralgicznych danych to jak najbardziej ALAB powinien zapłacić i się modlić, że dane nie wypłyną niż odpowiadać potem za ich wyciek - w każdym razie, zawsze to też dowód w sprawie na korzyść ALAB ponieważ wykażą działania w celu zminimalizowania wycieku.
@zuchtomek tak ale w tym przypadku to nie ransomware, a kradzież. dwa zupelnie inne przypadki, bo przy ransomware jak odszyfrują komputery, to są odszyfrowane - mozesz sobie postawić nowe zabezpieczenia. W przypadku kradzieży plików jak powiedzą, że usunęli to nie sprawdzisz. Układać się ze złodziejami i liczyć na złodziejski "honor" no zajebiscie.
Mówi konkretnie o sytuacji gdzie urząd miasta bał się o upublicznienie danych, a nie ich utratę.
Wszystko wymaga analizy ryzyka i choć raz jeszcze powtórzę - NIE ZALECA SIĘ płacenia - to mimo wszystko koszt okupu jest czasem mniejszy niż potencjalne straty, procesy i odszkodowania.
I jak najbardziej w przypadku ALAB powinni zapłacić żeby ryzyko zminimalizować.
Jest też znacząca różnica w skali - sprzedać to 'zainteresowanym' osobom, a upublicznić całemu światu.
No i w końcu - to nie są jacyś kieszonkowcy czy script kiddies tylko zorganizowane grupy działające wiele lat, którym mimo wszystko zależy żeby kolejne ofiary im płaciły bo upublicznianie danych to dla nich żaden zysk.
Więc raz jeszcze napiszę - gdyby włamali się do mnie, do jakiejś firmy produkcyjnej którą zarządzam, sklepu internetowego czy zwykłej strony internetowej gdzie są 'jakieś' dane klientów - nigdy bym nie zapłacił.
Natomiast jeśli chodzi o tak wrażliwe dane jak w przypadku ALAB czyli przypomnę: pełen adres zamieszkania, pesel oraz wyniki badań - jak najbardziej jestem za zapłatą w celu próby minimalizowania 'strat' - co jak pisałem wcześniej - może też być okolicznością łagodzącą w przypadku późniejszych potencjalnych procesów i kar.
