Ce este o breșă de securitate și cum funcționează un atac cibernetic

Majoritatea breșelor de date ajung la persoane printr-un plic familiar: o scrisoare de la companie, o scuză precaută și o ofertă de monitorizare gratuită a creditului timp de douăsprezece luni. Ceea ce nu descrie scrisoarea este tot ce s-a întâmplat înainte ca aceasta să fie trimisă. Între momentul în care un atacator pătrunde prima dată într-o rețea și momentul în care afli că informațiile tale au fost implicate, trec în medie 194 de zile. Înțelegerea a ceea ce se întâmplă în acele luni și de ce rămân invizibile este mai utilă decât serviciul de monitorizare.

O breșă de date este orice incident de securitate în care informații protejate sunt accesate, copiate sau extrase fără autorizație. Acestea includ înregistrări ale clienților, date financiare, fișiere medicale, identificatori guvernamentali și informații despre angajați. Cadrele legale care le guvernează adaugă un alt strat: conform Regulamentului General privind Protecția Datelor (GDPR) din Europa, organizațiile trebuie să notifice autoritățile în termen de 72 de ore de la momentul în care devin conștiente de o breșă. Expresia operațională este „devin conștiente”, iar intervalul dintre momentul în care breșa începe și momentul în care compania devine conștientă de ea este exact acolo unde se acumulează cea mai mare parte a pagubelor.

Atacatorii pătrund în interior printr-un număr redus de metode sigure. În 2024, exploatarea vulnerabilităților din software, în special în VPN-uri, firewall-uri și instrumente de acces remote pe care organizațiile le folosesc ca puncte de intrare sigure, a reprezentat 33% din breșe. Credențialele furate sau compromise au fost responsabile pentru 16%, iar e-mailurile de phishing pentru 14%. Breșa MOVEit, care a afectat peste 62 de milioane de persoane din sute de organizații într-o singură campanie, ilustrează modul în care o singură vulnerabilitate nedivulgată într-un software de transfer de fișiere larg utilizat poate fi transformată în armă înainte ca furnizorul să aibă cunoștință de ea. Atacurile asupra lanțului de aprovizionare de acest tip exploatează încrederea pe care organizațiile o acordă terților; odată ce software-ul este compromis, fiecare organizație care îl folosește devine simultan o țintă potențială.

Pătrunderea într-o rețea este doar începutul, nu obiectivul. Odată ce un atacator are acces inițial, începe munca de deplasare prin rețea: colectarea de credențiale suplimentare, escaladarea privilegiilor și identificarea sistemelor care dețin cele mai valoroase date. Această fază, numită mișcare laterală, necesită timp și este concepută să rămână invizibilă. Breșa Change Healthcare, care a afectat în cele din urmă aproximativ 100 de milioane de americani și a costat peste 2,4 miliarde de dolari în costuri directe de răspuns, a început cu un singur credențial compromis pentru un portal de acces remote care nu avea autentificare multi-factor. Lacunele de autentificare la nivelul accesului, fie că este vorba de un factor lipsă sau de o interfață de login neactualizată, se dovedesc în mod constant mai grave decât exploiturile software sofisticate.

Media de 194 de zile pentru detectare reflectă o asimetrie fundamentală: atacatorii lucrează în propriul ritm într-o rețea pe care o controlează deja, în timp ce apărătorii caută semnale pe care atacatorii le ascund activ. Când organizațiile detectează breșele prin monitorizare proprie, timpul median de staționare scade drastic la 16 zile, ceea ce sugerează că capacitățile interne de detectare, atunci când există și funcționează corect, prind intruziunile mult mai devreme. Companiile care folosesc inteligență în timp real pentru amenințări au identificat intruziunile cu 28 de zile mai repede, în medie. După detectare, containerea unei breșe durează în medie încă 64 de zile, rezultând un ciclu total de la intruziune la containere de aproximativ 258 de zile.

Înainte ca detectarea să aibă loc, exfiltrarea s-a întâmplat aproape întotdeauna deja. Datele furate urmează rute previzibile prin piețele criminale. Înregistrările de mare valoare, inclusiv numerele de securitate socială, identificatorii medicali și detaliile conturilor financiare, sunt vândute în vrac și revândute către cumpărători specializați. Breșa National Public Data a compromis aproximativ 2,9 miliarde de înregistrări, inclusiv numere de securitate socială pentru persoane din Statele Unite, Regatul Unit și Canada, setul de date fiind oferit spre vânzare cu 3,5 milioane de dolari înainte ca compania să facă o declarație publică. Instrumentele automatizate accelerează acum atât faza de exploatare, cât și pe cea de monetizare, ceea ce înseamnă că intervalul dintre o breșă reușită și prima utilizare criminală a datelor extrase poate fi mult mai scurt decât intervalul dintre breșă și notificarea ta.

Efectele ulterioare ale unei breșe nu sunt imediate nici uniforme. Pierderile din fraudele de identitate au ajuns în 2025 la 27,3 miliarde de dolari, dar majoritatea conturilor frauduloase deschise cu identități furate apar la luni sau ani după breșă, atunci când infractorii consideră momentul avantajos. Furtul de identitate medicală are propria sa cronologie particulară: cererile de despăgubire frauduloase depuse sub o identitate furată pot corupe istoricul medical al titularului legitim, pot afecta acoperirea viitoare și pot necesita ani pentru a fi identificate și corectate. Conștientizarea modului în care funcționează această conductă se numără printre cele mai eficiente apărări individuale disponibile, nu pentru că conștientizarea previne breșele, ci pentru că recunoașterea timpurie a activității suspecte reduce dramatic prejudiciul final.

Nicio investiție în securitate nu elimină complet riscul de breșă. Organizațiile care au suferit cele mai mari și mai grave breșe în ultimii ani nu au fost neglijente. Ele operau sisteme complexe la scară largă, iar atacatorii au găsit golurile care există inevitabil în sistemele complexe la scară largă. Ceea ce schimbă cheltuielile cu securitatea este viteza de detectare și amploarea accesului pe care un atacator îl poate acumula înainte de a fi descoperit. Breșele descoperite în termen de 200 de zile au costat organizațiile în medie cu 1,39 milioane de dolari mai puțin decât cele care au rămas nedetectate mai mult timp. Obiectivul realist nu este invulnerabilitatea, ci capacitatea de reacție.

Dacă primești o notificare de breșă de date, trei pași sunt mai importanți decât oferta de monitorizare a creditului. În primul rând, blochează-ți creditul la principalele birouri de credit: acest lucru împiedică deschiderea de noi conturi pe numele tău, iar deblocarea este simplă atunci când ai nevoie să aplici pentru un credit. În al doilea rând, verifică instrumentul gratuit Have I Been Pwned pentru a vedea dacă adresa ta de e-mail apare în seturile de date cunoscute din breșe. În al treilea rând, schimbă orice parolă partajată între serviciul breachuit și alte conturi, deoarece „credential stuffing” se bazează pe parole reutilizate. Notificarea GDPR pe care ai putea să o primești de la o companie europeană reprezintă fereastra de 72 de ore de la momentul în care organizația a devenit conștientă, nu de la momentul în care a început breșa. Cel mai util detaliu din orice scrisoare de notificare este tipul specific de date implicate: să știi dacă înregistrările tale medicale, credențialele financiare sau identificatorii guvernamentali au fost expuși determină cât de urgent trebuie să acționezi.

Etichete: știri, securitate cibernetică, GDPR, ransomware, breșă de securitate, confidențialitate digitală