Tonis Koiv - Andmelekked

Üldinfo

Pealkiri: "Andmelekked"

Autor: Tõnis Kõiv

Kursuse nimetus: IT sotsiaalsed, professionaalsed ja eetilised aspektid

Õppejõud: Kaido Kikkas

Kokkulepitud esitamise tähtaeg: 7.12.2022

Põhitekst

Sissejuhatus

Tänapäeval on pea kõik meie isikuandmed kuhugi pilve üles laetud. Ühest küljest on see hästi mugav kuna nii saab paljusid toimingud interneti teel teha kuid teisest küljest suurendab see ka küberrünnaku riski kuna kõik andmed on ühte kohta kogutud.

Siin wiki lehel uurin kuidas andmelekked juhtuvad, mis on nende tagajärjed ja kuidas saab üksikisik oma andmeid kaitsta.

Lõpus toon ka näiteid suurimatest andmelekketest ja ühest huvitavast veebilehest, mis varastatud andmeid müüs.

Andmelekete erinevad tüübid

Andmelekkeid on kahte tüüpi:

1) Data Leak (Andmeleke)

2) Data Breach (Andmerike)

Andmelekke puhul on andmete lekitajaks oma töötaja. Tavaliselt juhtuvad andmelekked kogemata - töötaja ei pea turvameetmetest kinni.

Andmerikke puhul on andmed saadud kätte väljaspoolt organisatsiooni kasutades erinevaid küberrünnaku meetodeid. Data breachide taga on alati pahatahtlikud mõtted

Kuidas andmelekked ja andmerikked juhtuvad

Andmelekked juhtuvad nii, et töötaja ei pea turvameetmetest kinni. See viitab ka organisatsiooni sisestele probleemidele kuna turvameetmete jälgimine ja nendest teadmine on tööandja probleem.

Kõige tavalisemad andmelekke olukorrad on järgmised:

• Valesti konfigureeritud serverid - AWS S3 failiserveri baaskonfiguratsioonis turvagrupp ei anna ühelegi üleslaetud failile veebis ligipääsu ja selle tõttu leevendatakse neid meetmeid aga sealt tekib alatihti viga, et uued ligipääsu tingimused on liiga leebed ja igaüks saab neile ligi.

• Õngitusrünnakute ohvriks sattumine - Õngitsusrünnak on juba data breach'i ja andmelekke piiri peal aga selle tulemusel võib ründaja saada ligipääsu keskkondadesse kuhu pole tal õigust.

• Krüpteerimata andmekandjad - Krüpteerimata kõvakettad on kõige aktuaalsem teema siis, kui tööarvuti võib töö juurest kaasa võtta. Vahepeal ikka juhtub, et läheb tööarvuti kaduma ning siis kõik andmed on krüpteerimata kõvakettalt väga lihtsasti kättesaadavad.

• Valedesse kätesse sattunud informatsioon - Kui peale koosolekut jääb ruumi informatsioon, mida koosolekul kasutati, siis juba see on põhimõtteliselt andmeleke. Kuna need andmed ei peaks olema kättesaadavad inimestele, kes koosolekul ei osalenud.

Andmerikked juhtuvad küberrünnakute tulemusel. Erinevaid küberrünnakuid on mitmeid:

• Kahjuvara - Häkkerid otsivad turvavigu ja nende abil panevad ohvri masinasse nende kontrollitud tarkvara, millega on võimalik andmeid varastada.
• Õngitsusrünnakud - Kõige lihtsam viis andmete kätte saamiseks. Hästi korraldatud õngitsusrünnakuid on väga raske ära hoida ja võimalus, et töötaja selle ohvriks langeb on suur.
• Jõurünne - Jõurünne tähendab seda, et proovitakse läbi töötaja kasutajanime ja parool nii kaua kui parool õige on ja süsteem ligipääsu annab.
• Lihtsalt küsimine - Tihti on ka nii, et kui lihtsalt mingeid andmeid või informatsiooni küsida, siis ka antakse.
• Füüsiliselt andmete vargus - Näiteks häkker ootab ukse juures ja vaatab kuidas töötaja koodi sisse paneb ja peale seda läheb ka uksest sisse ja varastab mingi tööarvuti ära.

Andmelekete ja andmerikete tagajärjed

Kaotatud andmete puhul on tagajärgi mitmeid, mõned on tõsisemad kui teised .

• Õngitsusrünnakud kasutajate pihta - See on kõige aktuaalsem kuna nii saavad üksikisikud kõige suurema kahju.

• Rahaline kaotus organisatsioonile - Tavaliselt, peale andmeleket või andmeriket, kaasnevad sellele kohtuasjad, et kannatanud osapooled saaksid kompenseeritud.

• Organisatsiooni maine saab kahjustada - Potentsiaalsed kliendid ei usalda ettevõtet, kus ei suudeta andmeid kaitsta.

Kuidas oma andmeid kaitsta

Organisatsiooni tasemel

Organisatsiooni tasemel peaks alguses kindlaks tegema, mis on need tundlikud andmed, mida kindlasti kaitsma peaks. Need võivad olla nii kasutajate isikuandmed kui ka ärisaladused. Peale selle kindlaksmääramist peab kasutusele võtma adekvaatsed turvameetmed. Töötaja ei tohiks saada oma töökeskkonda sisselogida ilma, et tal oleks peal VPN. Valitud parool peab olema pikk ja sisaldama erinevaid tähti, numbreid ja erilisi tähti ning kasutusel peaks olema ka 2FA (2-faktoriline autentimine). Kahe faktorilise autentimise puhul oleks targem kasutada tarkvarapõhist süsteemi ja mitte SMS põhist süsteemi. Sellel on lihtne põhjus, SMS sõnumid ei ole turvalised.

Teiseks peaks töötajatele korraldama vähemalt kord aastas küberhügieeni kursus. Kursuse kaudu saab õpetada töötajatele, mida teha kui postkasti tuleb kahtlane kiri või kui nad leiavad maast USB pulga jne.

Tööarvutid peaksid olema krüpteeritud kõvakettaga, et vältida eseme kaotuse puhul andmetele ligipääsemist.

Üksikisiku tasandil

Üksikisiku tasandil on ainult nii palju mida teha saab, et kaitsta oma andmeid andmelekke või andmerikke korral. Kindlasti peaks valima pikad paroolid ja mitte kunagi kasutama ühte parooli mitmes kohas. Soovitatav on ka kasutada password manageri . See aitab hõlpsasti uusi paroole genereerida ja kui on andmelekke/rike juhtunud, annab ta sellest teada ja soovitab parooli ära muuta. Tänu GDPR'le on nüüd peaaegu igal veebilehel võimalik oma kasutaja ära kustutada ja see tõttu, kui on veebilehti mida enam ei kasuta, siis oleks mõistlik sealt konto ära kustutada. Internetist oste tehes on soovitatav kasutada ka ühekordselt kasutatavaid interneti maksekaarte. Isegi kui veebileht, kust ost tehti, on kompromiteeritud siis ei saa pahalane teie pangakaardi andmeid uuesti kasutada.

Kui on teada, et andmeleke/andmerike on juhtunud, siis:

• Tuleb paroolid ära vahetada
• Olge andmepüügirünnakute suhtes valvel - Alati peab seda meeles pidama (ja oma vanematele ja vana-vanematele edasi ütlema), et pank ei küsi mitte kunagi telefoni või SMS teel raha või paroole või muid tundlikke andmeid.

Huvitavad andmelekete näited Eestis

Charlot E-pood

Aastal 2019 avastas Ajakiri Geenius ajakirjanik, et e-poe Charlot kataloogid on avalikult nähtav ning sealt oli võimalik kätte saada üle 14 000 kasutaja isikuandmed - isikukood, nimi, meiliaadress ja isegi e-poe konto parool.

E-poe omaniku teavitati sellest probleemist ja ta pidi selle võimalikult kiiresti ära lahendama. Hiljem andsid e-poe omanikud aru sellest, kuidas andmeleke juhtus. Nimelt oli neile korraldatud küberrünnak, mille vastu kaitsmiseks nad uuendasid oma tarkvara, kuid selle tõttu jäi üks logifail liiga lahtiste õigustega.

Ulatuslik andmeleke kus oli ka .ee lõpuga domeene leida

17. jaanuar 2019 avalikustatud andmelekkes on üle 460 000 Eesti meiliaadressi koos parooliga. Ekspertide sõnul hõlmab see andmeleke andmeid mitmetest erinevatest andmeleketest ning kõige vanemad andmed on aastast 2008. Andmekogus oli ka leida 3000 riigitöötaja andmeid. Aga kuna leke hõlmab ennast mitmete, vanemate lekete sisu, siis suurem osa aadresse seal pole enam kasutusel. RIA osakonna CERT.ee juht arvab, et terve see leke võib viidata finantspettusele.

Perli andmebaas

Perli andmebaas on Imre Perli poolt koostatud superandmebaas, kus oli igasuguseid andmeid Eesti inimeste kohta - elanikuregister, maksuvõlad, telefoninumbrid, autoregister, erinevad rikkumised jne. Kui praegu oleks sellise andmebaasi koostamine seaduse vastane, siis 90ndatel selle kohta seadust ei olnud ning Imre Perli andmebaasi koostamise eest süüdi ei mõistetud. Selle andmebaasi koostamine andis X-teele aimu, et kui koostada üks keskne andmebaas siis selle kompromiteerimise on suur ja tagajärjed oleks katastroofilised.

Huvitavad andmelekete näited välismaal

Aadhaar

Aadhaar on India valitsuse isikuandmete andmebaas. Eesti vaste Aadhaarile on isikukood.

Aastal 2018 jäi Aadhaar küberrünnaku ohvriks ja selle tõttu üle 1.1 miljardi kasutaja isikuandmed ja ka biomeetrilised andmed sattusid valedesse kätesse. Hiljem selgus ka, et lisaks isikuandmetele olid lekitatud ka pangakontode andmed. Totaalne katastroof. Ühel hetkel müüsid küberrünnaku autorid ligipääsu Aadhaari andmebaasile ainult 6 euro eest, kümneks minutiks .

Revolut

Kolm kuud tagasi oli andmerike ka internetipangas Revolut. Nende andmeil ainult 0.16% kasutajate andmetest said lekitatud (50 000 kasutajat). Revolut keeldus vastamast, mis andmeid täpsemalt häkkerid kätte said, aga nende sõnul raha kasutajate kontodelt ära ei varastatud.

Selle andmerikke tulemusena on mitmed kasutajad jäänud õngitsusrünnakute ohvriks. Revoluti puhul on neid rünnakuid raskem tähele panna kuna tegemist on internetipangaga, siis SMS saamine nende käest on tavaline nähtus

Rockstar Games

Seitse päeva peale Revoluti andmeriket sai üks 16-aastane häkker ligipääsu Rockstar Games'i Slack serverile ja lekitas sealt 50 minutit videomaterjali GTA 6 kohta. Seda andmeriket peetakse üheks kõige suuremaks videomängu lekkeks üldse.

Rockstar Games tegeleb usinasti, et YouTube'st ja muudest kanalitest kõik see videomaterjal maha võtta, kuid kahju on juba tehtud ja materjali on väga kerge internetist üles leida .

WeLeakInfo

WeLeakInfo oli veebileht mis tegeles aastatel 2017 kuni 2020. Nad kraapisid andmerikkeid süvaveebist ning ehitasid sellele tavaveebis otsingumootori ja müüsid selle kasutusõigust. Hinnad olid vahemikus 2-70$, kus madalaima eest sai teatud otsingute arvu ning kalleim pakkus piiranguteta kasutust 3 kuu vältel.

2020. aasta alguses FBI ja mitmed Euroopa agentuurid korraldasid ühisoperatsiooni ja võtsid veebilehe maha. Selle tagajärjel arreteeriti Hollandis üks inimene ja Põhja-Iirimaal teine. Kolmas isik on veel siiamaani tuvastamata

Mitteametlike allikate kohaselt teenis WeLeakInfo 40 000 eurot kuus.