Изображение: Riik@mctr | CC BY-SA 2.0
Британский авиакомпания British Airways подтвердила информацию о том, что стала жертвой кибератаки. Злоумышленникам удалось получить доступ к персональным данным клиентам и завладеть информацией о 380 000 банковских карт.
Что случилось
Согласно заявлению компании, жертвами атаки стали пользователи, приобретавшие авиабилеты через сайт ba.com и мобильные приложения British Airways в период с 21 августа по 5 сентября.
В своем Twitter авиакомпания сообщила, что помимо платежной информации злоумышленники получили доступ к личным данным, включая имена и адреса клиентов. При этом завладеть номера паспортов или информацией о забронированных перелетах им не удалось.
Несмотря на то, что в опубликованном заявлении не содержалась информация о количестве жертв, представитель British Airways в разговоре со СМИ подтвердил, что речь идет о 380 тысячах скомпрометированных банковских карт.
В чем причина атаки
В настоящий момент не до конца понятно, что стало причиной взлома. Однако некоторые СМИ уже написали, что атака была обнаружена, когда «сторонняя организация обнаружила необычную активность» и проинформировала авиакомпанию об этом.
Представитель British Airways заявлял о том, что в данном случае речь идет о «похищении данных, а не их утечки». Это позволило журналистам предположить, что кражу совершили сотрудники компании, имевшие доступ к важной информации. По заявлению компании, в настоящий момент кибератака отражена, и все системы работают в штатном режиме.
В конце августа 2018 года жертвой кибератаки стала другая авиакомпания – Air Canada. Тогда наряду с персональными данными были похищены номера паспортов пассажиров и информация об их перелетах. Жертвами атаки стали 20 тысяч человек.
Время хакеров-одиночек, которые взламывают корпоративные сети финансовых компаний и государственных учреждений, проходит. Сегодня организатору кибератаки не обязательно обладать техническими навыками разработки вредоносного ПО и взлома компьютерных систем. Он может найти необходимые инструменты и наемников на специализированных торговых площадках в дарквебе.
В рамках исследовательской деятельности Positive Technologies в сфере ИБ, мы детально проанализировали рынок преступных киберуслуг и постарались оценить, нужен ли вообще киберпреступнику широкий спектр специализированных знаний, или для реализации атаки достаточно обратиться к представителям теневого рынка.
В четверг, 20 сентября в 14:00, в ходе бесплатного вебинара аналитик Positive Technologies Вадим Соловьев расскажет, сколько стоит организация кибератаки, какие продукты и услуги используются на этапе подготовки и во время проведения атаки, а также приведем примеры реальных наказаний. Вебинар будет интересен всем, кто вовлечен в сферу информационной безопасности.
Для участия в вебинаре нужно зарегистрироваться.
Комментарии (6)
sup
20.09.2018 13:02Когда слышу о кибератаках, сразу вспоминаются голливудские фильмы про хакеров. Конечно, проще свалить всё на грозных хакеров чем признаться в своих проблемах с безопасностью. Так и представляется как админ отражает очередную волну атакующих, меняя пароль с "qwerty123" на "stophacker456".
pyrk2142
20.09.2018 19:53Истории с безопасностью авиакомпаний выглядят довольно грустно. Часто доходит примерно до того, что у крупной компании есть баг, позволяющий получить доступ к любому аккаунту (а там уже мили, данные о полетах, паспортные данные), но компания не хочет ничего давать за него, поэтому тому, кто этот баг нашёл, нет смысла сообщать детали. А потом приходят хакеры и начинают ржать, когда видят уровень защиты данных.
avraam_linkoln
А сохранять у себя данные о картах клиентов вообще законно?
fuzzy
Законно, если пройдена сертификация PCI DSS. В большинстве случаев это слишком дорого и технически сложно, поэтому платежные данные не хранятся на стороне продавца. Но в случае на самом деле больших продавцов (в т.ч. упомянутого BA) это имеет смысл, т.к. значительно упрощает процесс продажи, условно — в один клик, т.к. клиенту ничего не требуется дополнительно вводить повторно.
Rambalac
Ну продажи в один клик можно и не храня карты сделать. Только за процессинг платить придётся.
fuzzy
Да, я в курсе. В этом случае всю платежную инфу хранит у себя процессинговый центр, который как раз и сертифицирован по PCI DSS, ну и еще до кучи всяких требований к нему :)