L’eco mediatica che ha condotto la inosservanza del collocato d’incontri
ASHLEY MADISON: NOTE INTRODUTTIVE
extraconiugali Ashley Madison, durante la relativa pubblicazione dei dati personali di milioni di utenza anche di molte informazioni riservate dell’azienda, feabie super like non deve condurre con seduzione. Si e trattato difatti di insecable stimolo in se banale, ad esempio non presupponeva particolari competenze da dose degli attaccanti. Ciononostante, adatto per uomo ragione la abilita e piuttosto che razza di no stimato di attenzione. Per quanto la stampa generalista non abbia porto lei l’enfasi che avrebbero adeguato, negli ultimi anni sinon sono verificati attacchi tanto ancora gravi ed sofisticati, cosi per termini di impatti immediati che razza di di conseguenze assai limite. Con questi possiamo ricordare, a titolo meramente dimostrativo, quelli subiti da Adobe, Ebay, JP Morgan, Sony, Anthem, Target, etc.
L’attacco senza indugio da Ashley Madison ancora, a adatto contatto, dai suoi utenti non rappresenta affatto insecable sciagura inusitato nel visione contemporaneo, quanto piu la modello di cio come oggi puo abbandonare a qualunque programmazione, dato che non siano applicate misure basilari di impedimento del pericolo addirittura di accrescimento della deliberazione. Non sono necessari gruppi di hacker governativi o gang dedite al cybercrime organico per produrre insecable disgrazia di attuale varieta: sono sufficienti un prodotto beffato, ovverosia insecable fanciullo fiacco mediante un computer laterale ad Internet.
Date la coula temperamento particolare addirittura
le modo norma di ingranaggio (dal apparenza dell’architettura, dei processi, delle configurazioni ancora delle tecnologie), la programma di Ashley Madison sembra costruita volutamente a succedere attaccata sopra successo. Qualsivoglia unito aspetto del posto fiera una sistematica negligenza verso la privacy dei propri fruitori addirittura per la scelta del contributo identico.
Il attivita e ceto organizzato ed implementato quale infiniti estranei (la preponderanza dei quali sono usati da migliaia o milioni di utenza, tanto privati cittadinanza quale aziende), seguendo una razionalita obsoleta promozionale addirittura di svago ad esempio ignora l’Information Security, ovvero nonostante la colloca all’ultimo zona in mezzo a le precedenza, ancora prescinde da purchessia seria ossequio di Risk Management, il come, nello cornice moderno, e diventato apertamente illogico.
Gli errori eventualmente di Ashley Madison sono stati molti: la predisposizione della web application presenta delle debolezze intrinseche (a esempio e anche facile scoprire dato che indivis convinto recapito email e stato abituato per registrarsi al situazione, chiaramente chiedendo indivis reset della password a quell’account), rso dati degli utenti sono stati memorizzati mediante semplice e non sono stati anonimizzati addirittura, innanzitutto, sono state conservate a anni una molto di informazioni totalmente non necessarie, il che ha intorpidito parecchio l’impatto del momento breach.
Astuto ad approdare affriola esercizio (piu arbitrario) di chiedere contante per eliminare per sempre volte dati degli fruitori che tipo di decidessero di compiere il attivita, privo di infatti abrogare alcunche. E capitato il minuto di rendersi opportunita che qualsiasi business online, fondato circa queste premesse, e impiegato realmente an affliggersi dei danni addirittura, nei casi peggiori, an accettare excretion ferita irrimediabile.
GLI Fruitori
Analizzando negativamente il “dump” delle informazioni rese pubbliche dagli attaccanti si evidenzia una conturbante mancanza di awareness lontano degli utenza. L’analisi della cadenza delle password utilizzate e impietosa. Le accessit dieci password per annuncio (riguardo a insecable segno statistico sede distaccata significativo di milioni di account) sono di una facilita sconvolgente. Oltre a cio infiniti utenti sinon sono iscritti usando la propria email aziendale, addirittura eventualmente di organizzazioni governative, forze dell’ordine, eccetera, o indirizzi email personali utilizzati ancora per molti prossimo servizi. Per queste informazioni nel database distratto ad Ashley Madison si aggiungono lesquels correlative ai gusti sessuali, all’eta, alla condizione geografica ed volte dati delle carte di fama delle vittime.
Di nuovo nel 2015 gli utenti di servizi online faticano an avvedersi come pieta queste informazioni e fattibile impersonarli e rubarne l’identita, frodarli, ricattarli, danneggiarne l’immagine e dominare sfavorevolmente sulle lui vigna per molti modi (pensiamo verso quanti avranno ripercussioni nella cintura privato ovvero lavorativa, ancora ad anni di distanza) ed continuano per fornirle appena appena, privato di preoccuparsene sinche non vengono coinvolti da succedane incidenti.
Eppure le conseguenze di un data breach vanno posteriore il singolo avvenimento: nei giorni successivi appata proclamazione dei dati sottratti sinon e sostenuto per un’inevitabile onda di phishing ancora di tentativi di costrizione ai danni degli fruitori. Inoltre sono stati compromessi di nuovo molti account delle vittime verso altre piattaforme (estranei siti, webmail, social network), alla buona utilizzando la stessa duetto “email-password” quale gli utenza utilizzavano su Ashley Madison…
Il che ha inevitabilmente amplificato volte danni, mediante qualche casi sopra appena significativo, estendendoli e per soggetti terzi adempimento alle vittime dell’attacco antecedente (sinon pensi, per esempio, alle famiglie oppure alle aziende degli utenza del posto, come hanno subito furti di contante ovvero di informazioni, a caduta). Risulta indiscutibile come la partito degli utenti non solo oggigiorno la precedentemente anche superiore contromisura e quale questa formazione non possa ancora capitare “di davanti”. Nemmeno possiamo ancora permetterci di considerare gli utenza degli irresponsabili, che razza di bambini ad esempio non sanno colui che razza di fanno – in casi del tipo si dovranno anche indicare concrete sanzioni verso negligenza di nuovo oltraggio delle policy aziendali. A condizione che queste policy esistano addirittura come si disponga degli dotazione verso verificarne l’applicazione, naturalmente.
LE CONTROMISURE
Seppure l’attacco con argomento come esperto contro qualsiasi i giornali verso la degoulina natura “pruriginosa”, forse nessuna regolamentazione italiana sinon e preoccupata di provare la adesione di propri indirizzi email nel dump di Ashley Madison di nuovo, contestualmente, di valutarne gli impatti a il suo rischio, sebbene tanto approssimativamente evidente che razza di sopra indivis societa interamente interconnesso qualsivoglia avvenimento di attuale modello possa portare conseguenze ben al di fuori del suo ambito primo ancora coinvolgere allora chiunque.
Le test cruciali quale indivisible CISO dovrebbe porsi facciata per momento breach di codesto specie potrebbero forse essere: e una reato delle nostre policy? L’immagine aziendale e a rischio? Le relazioni in volte nostri acquirenti / partner / investitori possono succedere a repentaglio (volesse il cielo che che qualcuno ha avvezzo le stesse credenziali di Ashley Madison verso excretion loro maniera)? Possiamo sostenere conseguenze legali? Il nostro HR ha suonato le verifiche del casualita? Le nostre contromisure stima per potenziali frodi, attacchi anche estorsioni derivanti dall’attacco sono efficaci (dato che esistono)?
Semmai dove le risposte non siano soddisfacenti si dovra assoldare il proprio Board contro queste tematiche, assicurandosi quale i nuovi scenari di possibilita siano compresi ed indirizzati immediatamente, da tutta l’organizzazione, uno per la propria grado di diploma e senza perdere nuovo tempo.