ASHLEY MADISON: NOTE INTRODUTTIVE
L’eco mediatica che razza di ha guidato la violazione del messo d’incontri extraconiugali Ashley Madison, durante la relativa comunicazione dei dati personali di milioni di utenti e di molte informazioni riservate dell’azienda, non deve condurre in seduzione. Si e affrontato invero di insecable attacco intrinsecamente impersonale, come non presupponeva particolari competenze da porzione degli attaccanti. Pero, conveniente verso tale ragione la esperienza e piu ad esempio no degno di attenzione. Benche la giornale generalista non abbia concesso loro l’enfasi quale avrebbero richiesto, negli ultimi anni si sono verificati attacchi alquanto ancora gravi ancora sofisticati, cosi per termini di impatti immediati ad esempio di conseguenze a lungo limite. Tra questi possiamo rievocare, a legittimazione meramente esemplare, quelli subiti da Adobe, Ebay, JP Morgan, Sony, Anthem, Target, etc.
L’attacco prontamente da Ashley Madison ancora, a adatto collegamento, dai suoi utenza non rappresenta segno excretion accidente raro nel spettacolo attuale, quanto oltre a la regola di cio che tipo di oggidi puo succedere a qualsiasi pianificazione, nell’eventualita che non siano applicate misure basilari di limitazione del rischio e di accrescimento della grinta. Non sono necessari gruppi di hacker governativi ovverosia compagnia dedite al cybercrime preparato verso suscitare un accidente di codesto campione: sono sufficienti insecable prodotto deluso, o indivis adolescente annoiato con insecable elaboratore secondario ad Internet.
LA Piattaforma
Date la deborda natura appunto anche le prassi norma di funzionamento (dal prospettiva dell’architettura, dei processi, delle configurazioni di nuovo delle tecnologie), la ripiano di Ashley Madison sembra costruita intenzionalmente a avere luogo attaccata mediante successo. Qualsiasi ciascuno faccia del messo fiera una sistematica incuria per la privacy dei propri utenza addirittura verso la grinta del contributo uguale.
Il servizio e stato programmato di nuovo implementato che tipo di moltissimi prossimo (la maggioranza dei quali sono usati da migliaia oppure milioni di fruitori, non solo privati popolazione come aziende), seguendo una razionalita obsoleta di sviluppo anche di sport che tipo di ignora l’Information Security, oppure malgrado cio la colloca all’ultimo ambito frammezzo a le prelazione, ed prescinde da qualunque seria stima di Risk Gestione, il quale, nello cornice contemporaneo, e diventato facilmente insopportabile.
Gli errori casomai di Ashley Madison sono stati molti: la programmazione della web application presenta delle debolezze intrinseche (per caso e ed possibile scoprire nell’eventualita che certain convinto recapito email e stato abituato verso registrarsi al posto, agevolmente chiedendo excretion reset della password a quell’account), rso dati degli utenti sono stati memorizzati per chiaro neanche sono stati anonimizzati ancora, soprattutto, sono state conservate verso anni una assai di informazioni completamente non necessarie, il quale ha intorpidito parecchio l’impatto del datazione breach.
Magro ad capire appela tirocinio (piuttosto assurdo) di chiedere soldi verso uccidere stabilmente i dati degli utenza che tipo di decidessero di finire il contributo, escludendo difatti abolire alcunche. E capitato il situazione di rendersi somma come purchessia business online, caldeggiato verso queste pure non accede premesse, e adibito davvero a subire dei danni e, nei casi peggiori, an ospitare insecable dispiacere gravissimo.
GLI Utenti
Analizzando negativamente il “dump” delle informazioni rese pubbliche dagli attaccanti si evidenzia una impressionante mancanza di awareness da parte degli utenza. L’analisi della ritmo delle password utilizzate e impietosa. Le adjonction dieci password verso diffusione (riguardo a un modello statistico agenzia singolare di milioni di account) sono di una ovvieta sconcertante. Oltre a cio infiniti fruitori sinon sono iscritti usando la propria email aziendale, ed nel caso di organizzazioni governative, forze dell’ordine, eccetera, oppure indirizzi email personali utilizzati addirittura a molti altri servizi. A queste informazioni nel database levato ad Ashley Madison sinon aggiungono lequel divisee ai gusti sessuali, all’eta, tenta dislocazione geografica di nuovo rso dati delle carte di considerazione delle vittime.
E nel 2015 gli utenti di servizi online faticano an avvedersi ad esempio pieta queste informazioni e realizzabile impersonarli ed rubarne l’identita, frodarli, ricattarli, danneggiarne l’immagine anche influenzare sfavorevolmente sulle lui vigneto per molti modi (pensiamo per quanti avranno ripercussioni nella energia carente oppure lavorativa, anche ad anni di diversita) ed continuano per fornirle con leggerezza, senza contare preoccuparsene finche non vengono coinvolti da succedane incidenti.
Bensi le conseguenze di excretion momento breach vanno posteriore il uno avvenimento: nei giorni successivi appata diffusione dei dati sottratti si e sostenuto per un’inevitabile circostanza di phishing ed di tentativi di minaccia ai danni degli utenza. Inoltre sono stati compromessi anche molti account delle vittime riguardo a altre piattaforme (altri siti, webmail, aimable sistema), facilmente utilizzando la stessa paio “email-password” che tipo di gli fruitori utilizzavano circa Ashley Madison…
Il che tipo di ha necessariamente ampliato volte danni, durante un qualunque casi in mezzo proprio, estendendoli ancora per soggetti terzi stima alle vittime dell’attacco iniziale (sinon pensi, a ipotesi, alle famiglie o alle aziende degli fruitori del sito, ad esempio hanno immediatamente furti di contante o di informazioni, a caduta). Risulta evidente che tipo di la gruppo degli utenza come oggidi la prima di nuovo piu importante contromisura di nuovo come questa gruppo non possa piuttosto abitare “di davanti”. Ne possiamo addirittura permetterci di rilevare gli utenti degli irresponsabili, ad esempio bambini che razza di non sanno esso quale fanno – con casi del genere si dovranno ancora esporre concrete sanzioni a svista anche oltraggio delle policy aziendali. Sempre che queste policy esistano di nuovo quale si disponga degli equipaggiamento a verificarne l’applicazione, evidentemente.
LE CONTROMISURE
Sebbene l’attacco durante paura cosi abile circa ciascuno volte giornali per la distilla temperamento “pruriginosa”, forse nessuna regolamentazione italiana sinon e preoccupata di tentare la intervento di propri indirizzi email nel dump di Ashley Madison e, contestualmente, di valutarne gli impatti a il proprio insidia, nonostante tanto come indiscutibile che per excretion ambiente totalmente interconnesso qualsiasi avvenimento di presente modello possa occupare conseguenze ben al superficialmente del proprio zona antecedente addirittura compromettere allora chiunque.
Le test cruciali come insecable CISO dovrebbe accollarsi di fronte per data breach di presente qualita potrebbero forse essere: e una trasgressione delle nostre policy? L’immagine aziendale e a rischio? Le relazioni in rso nostri clientela / garzone / investitori possono abitare a repentaglio (persino cosicche qualcuno ha assuefatto le stesse credenziali di Ashley Madison su indivisible loro metodo)? Possiamo assoggettarsi conseguenze legali? Il nostro HR ha suonato le verifiche del caso? Le nostre contromisure rispetto verso potenziali frodi, attacchi anche estorsioni derivanti dall’attacco sono efficaci (nel caso che esistono)?
Nel caso se le risposte non siano soddisfacenti si dovra impegnare il proprio Board circa queste tematiche, assicurandosi che razza di volte nuovi scenari di pericolo siano compresi e indirizzati senza indugio, da tutta l’organizzazione, ciascuno per la propria altezza di maturita e senza contare calare successivo opportunita.