Cele mai multe sfaturi privind prevenirea încălcărilor de securitate, inclusiv propriul nostru ghid pentru prevenirea încălcării securității datelor, se concentrează pe ținerea atacatorilor departe de rețeaua companiei dvs. Utilizarea unor acreditări mai puternice, rezistența la phishing, sistemele actualizate și furnizorii verificați sunt toate componente-cheie ale acestei practici. Toate acestea sunt măsuri esențiale, dar nu pot fi singurele tactici de protecție împotriva încălcării securității datelor: nu vă vor fi de folos dacă un atacator reușește să vă pătrundă în rețea.
Obținerea accesului și furtul de date sunt lucruri diferite. Un atacator care compromite un inbox, un laptop sau conexiunea unui furnizor nu a furat încă nimic. A obținut un punct de sprijin, iar ceea ce se întâmplă între acel punct și momentul în care datele părăsesc incinta este o etapă pe care majoritatea ghidurilor de securitate pentru IMM-uri o omit complet, deoarece nu este vorba doar de securizarea rețelei dvs., ci și de a observa că datele sunt transferate în afara acesteia.
Această fază se numește exfiltrare și durează de obicei zile întregi sau chiar se întinde pe parcursul mai multor luni fără a fi detectată. Este posibilă datorită instrumentelor și canalelor care par complet obișnuite pentru oricine nu le monitorizează în mod specific. Notificările privind încălcările de securitate sosesc frecvent cu întârziere nu pentru că organizațiile au fost neglijente cu privire la compromiterea inițială, ci pentru că atacatorul nu a fost detectat în interiorul rețelei companiei.
Faza de exfiltrare: ce se întâmplă între acces și furt
De ce este greu de depistat exfiltrarea?
Ce ar trebui să monitorizeze companiile
Cum vă poate schimba poziția juridică detectarea timpurie
Ce se întâmplă cu datele exfiltrate ale companiei?
Limitați ceea ce poate accesa un atacator
Faza de exfiltrare: ce se întâmplă între acces și furt
Odată ce un atacator obține accesul inițial, fie printr-un e-mail de phishing, o acreditare furată sau conexiunea compromisă a unui furnizor, rareori trece direct la furtul de date. Acțiunea imediată riscă să declanșeze o alertă înainte de a fi găsit ceva valoros de sustras, așa că tiparul cel mai frecvent este răbdarea.
Atacatorul petrece timp cartografiind mediul, inclusiv:
- Unde sunt stocate evidențele financiare
- Evaluarea instrumentelor SaaS care conțin date despre clienți
- Localizarea conturilor cu cel mai extins acces
- Detectarea existenței unei eventuale monitorizări a activității.
Această etapă de recunoaștere poate fi lentă. Unii atacatori acționează în câteva ore, în special în cazurile oportuniste de atacuri ransomware, unde viteza contează mai mult decât discreția. Alții, în special în cazurile centrate pe furtul de date pe termen lung sau pe spionaj, rămân infiltrați timp de săptămâni sau luni, învățând tiparele normale de activitate suficient de bine pentru a se confunda cu ele.
Oricum ar fi, în momentul în care atacatorul începe să transfere datele în exterior, de obicei știe deja cu exactitate ce dorește și ce cont sau sistem îi va permite să le preia fără a declanșa o alarmă.
Cum arată exfiltrarea datelor
Exfiltrarea malițioasă este dificil de observat, deoarece seamănă cu activitatea de zi cu zi. Administratorii IT nu caută transferuri de fișiere puțin mai mari decât de obicei sau foldere sincronizate undeva unde nu ar trebui să fie.
Transferuri mari sau neobișnuite de date
Aceasta este cea mai directă formă de exfiltrare. De exemplu, un cont poate descărca brusc gigaocteți de pe un server de fișiere sau dintr-o bază de date pe care în mod normal o accesează doar ocazional, ori poate efectua o exportare masivă dintr-o platformă CRM sau de resurse umane.
În mediile axate masiv pe SaaS, exfiltrarea are loc adesea prin caracteristicile native de exportare ale platformei: descărcări masive CSV, exporturi PDF ale dosarelor clienților sau o serie de capturi de ecran ale unui tablou de control care nu are deloc buton de exportare.
Un caz tipic ar putea arăta astfel: un cont compromis de resurse umane este utilizat, pe parcursul mai multor săptămâni, pentru a efectua mici exporturi eșalonate de date ale angajaților, în loc de o singură descărcare masivă și evidentă. Fiecare exportare individuală pare nesemnificativă în sine, încadrându-se perfect în ceea ce o platformă de resurse umane așteaptă de la o persoană cu acel rol.
Doar tiparul urmărit pe parcursul săptămânilor, cu același cont exportând date similare la intervale ciudate, ar putea dezvălui ce se întâmplă, iar acel tipar devine vizibil doar pentru o companie care îl monitorizează în mod activ.
Compromiterea căsuței de e-mail
Un atacator care compromite o căsuță poștală de e-mail profesional poate configura o regulă care copiază discret fiecare mesaj sau fiecare mesaj ce corespunde anumitor cuvinte cheie către o adresă externă, oferindu-i un flux continuu de corespondență confidențială mult timp după ce e-mailul de phishing inițial a fost uitat.
Compromiterea stocării în cloud
Stocarea personală în cloud este o altă cale frecventă. Laptopul compromis al unui angajat sau un cont compromis cu acces la fișierele companiei poate fi folosit pentru a copia documente într-un cont personal de Dropbox, Google Drive sau un serviciu similar, un transfer care pare adesea identic cu o copie de siguranță legitimă a fișierelor, cu excepția cazului în care cineva verifică unde au ajuns datele.
De ce este greu de depistat exfiltrarea?
Adevărul inconfortabil despre exfiltrare este că, de obicei, nu necesită deloc malware(fereastră nouă). Un atacator care utilizează un cont compromis pentru a exporta un raport, pentru a redirecționa câteva e-mailuri sau pentru a încărca fișiere pe o unitate din cloud utilizează aceleași instrumente și permisiuni pe care un angajat legitim le folosește zilnic.
Nu există niciun fișier executabil suspect pe care software-ul antivirus să îl semnaleze și niciun proces neobișnuit pe care soluția de securitate pentru puncte finale să îl detecteze, deoarece nimic din această activitate nu este anormal din punct de vedere tehnic. Pare în neregulă doar în context, iar contextul este exact ceea ce majoritatea instrumentelor de securitate pentru IMM-uri nu sunt construite să evalueze.
Acesta este motivul pentru care sistemele de apărare axate pe perimetru, oricât de bine ar fi implementate, nu sunt suficiente de unele singure. O companie poate face totul corect la punctul de intrare: să impună acreditări puternice, să instruiască angajații împotriva atacurilor de phishing, să aplice corecții pentru fiecare sistem și, cu toate acestea, să nu aibă nicio modalitate de a ști că un cont compromis transferă constant fișiere către o destinație externă, deoarece acea activitate nu a fost concepută de la bun început să pară suspectă.
Cercetătorii în securitate numesc uneori acest lucru „living off the land”: utilizarea propriului software legitim al țintei, a integrărilor de cloud și a instrumentelor administrative, în loc de a folosi instrumente pe care un produs antivirus le-ar recunoaște ca fiind nelegitime.
Un client de sincronizare a fișierelor, o funcție încorporată de exportare sau o regulă standard de e-mail nu sunt instrumente malițioase în sine. De aceea, un atacator care se bazează pe ele poate opera atât de mult timp fără a declanșa alertele sistemelor concepute pentru a detecta malware.
Ce ar trebui să monitorizeze companiile
Depistarea timpurie a exfiltrării se reduce la urmărirea unui număr restrâns de semnale specifice, mai degrabă decât la scanarea generală pentru activități suspecte.
Trafic și exporturi
Volumele sau destinațiile neobișnuite de transfer de date merită cea mai mare atenție. Organizația dvs. ar trebui să urmărească creșterile bruște ale traficului de ieșire, exporturile masive dintr-un sistem care în mod normal nu înregistrează astfel de acțiuni sau orice transfer direcționat către o destinație pe care nu o recunoașteți.
Ghidul NCSC privind securitatea datelor(fereastră nouă) recomandă în mod specific înregistrarea în jurnal a accesului la datele confidențiale și monitorizarea interogărilor neobișnuite sau a tentativelor de exporturi masive, tocmai pentru că acest tipar reprezintă un indiciu că utilizarea depășește limitele normale.
Reguli de redirecționare a e-mailurilor
Regulile de redirecționare a e-mailurilor merită auditate direct, în special pentru orice cont care a fost implicat într-un incident suspectat de phishing. O regulă care redirecționează discret mesajele către o adresă necunoscută poate rămâne neobservată luni de zile și este unul dintre cele mai simple aspecte de verificat odată ce știți ce să căutați.
Conectări neobișnuite
Activitatea de conectare din locații sau la ore neașteptate este un semnal ce merită tratat cu toată seriozitatea. O conectare la ora 3 dimineața dintr-o țară în care compania nu are nicio prezență nu reprezintă o dovadă în sine, dar, atunci când este coroborată cu un transfer de date aproximativ la aceeași oră, este un detaliu care poate confirma un incident.
Activitatea conturilor de administrator în afara orelor de program merită o atenție deosebită, deoarece conturile de admin au de obicei cel mai extins acces într-un sistem și sunt o țintă preferată tocmai datorită acestei anverguri.
Activitatea pe aceste conturi noaptea târziu, în weekenduri sau în timpul unei perioade în care se știe că administratorul real nu este la birou reprezintă unul dintre cei mai fiabili indicatori că un cont, nu doar un dispozitiv, a fost compromis.
Cum vă poate schimba poziția juridică detectarea timpurie
Atât în conformitate cu GDPR din UE, cât și cu GDPR din Regatul Unit, Articolul 33(fereastră nouă) oferă organizațiilor 72 de ore pentru a notifica autoritatea de supraveghere competentă de îndată ce iau la cunoștință producerea unei încălcări care afectează datele cu caracter personal; ICO în Regatul Unit(fereastră nouă) sau autoritatea națională de protecție a datelor din fiecare stat membru al UE.
Cerința este în esență aceeași pentru toate jurisdicțiile: cronometrul pornește pentru organizația dvs. din momentul luării la cunoștință, nu din momentul în care s-a produs efectiv încălcarea. Acesta este motivul pentru care o monitorizare temeinică a exfiltrării contează atât de mult pentru conformitate, nu doar pentru securitate.
O companie care detectează din timp exfiltrarea, prin audituri ale regulilor de redirecționare, monitorizarea transferurilor sau alerte privind conectările neobișnuite, poate notifica proactiv, conform propriului calendar, având o imagine rezonabil de clară asupra datelor sustrase.
O companie care descoperă o încălcare doar săptămâni sau luni mai târziu, adesea pentru că un client a depus o plângere sau datele furate au apărut pe un forum infracțional, notifică reactiv, sub presiune, adesea cu o imagine incompletă asupra amplorii incidentului și cu o autoritate de reglementare care întreabă de ce a durat atât de mult depistarea.
Diferența depășește modul în care vă este afectată reputația. Aceasta definește modul în care este evaluat întregul incident și gradul de indulgență pe care o autoritate de reglementare este dispusă să îl acorde.
Ce se întâmplă cu datele exfiltrate ale companiei?
Observatorul pentru încălcarea securității datelor de la Proton urmărește ceea ce apare pe dark web odată ce s-a produs o încălcare, iar acest tipar oferă o perspectivă realistă și utilă asupra a ceea ce urmărește de fapt exfiltrarea datelor.
Conform actualizării din 2026 a Observatorului pentru încălcarea securității datelor, numele și adresele de e-mail apar în aproape nouă din zece încălcări monitorizate, detaliile de contact, cum ar fi numerele de telefon și adresele fizice, apar în aproximativ trei sferturi dintre acestea, iar parolele sunt expuse în aproape jumătate din cazuri.
Categoriile mai sensibile, documentele de identitate emise de guvern, evidențele medicale și alte informații de identificare personală apar în puțin peste o treime din încălcări, în timp ce informațiile financiare directe figurează într-o proporție mai mică, de aproximativ unu la douăzeci.
IMM-urile reprezintă majoritatea încălcărilor pe care Observatorul le monitorizează și sunt reprezentate disproporționat în incidentele care implică cele mai sensibile categorii de date.
Această combinație, vizarea frecventă ca țintă și o rată ridicată de expunere a datelor sensibile, este conformă cu tipul de exfiltrare pe care îl descrie acest articol: atacurile care au loc pe o perioadă lungă de timp în sistemele unei organizații mai mici tind să genereze mai multe profituri, deoarece nimeni nu a știut că datele erau divulgate și atacatorii au putut sustrage totul.
Limitați ceea ce poate accesa un atacator
Monitorizarea exfiltrării detectează datele în momentul ieșirii lor, dar amploarea problemei este decisă anterior, prin ceea ce poate accesa de la bun început un cont compromis. Un atacator care obține acces la un cont cu permisiuni largi și nerestricționate poate sustrage date din mult mai multe sisteme decât unul care compromite un cont delimitat strict la ceea ce necesită acel rol specific.
Acreditările unice pentru fiecare cont, combinate cu un acces limitat la ceea ce necesită cu adevărat un rol, reduc direct suprafața de exfiltrare. Dacă un cont de marketing compromis poate accesa doar sistemele de marketing, scenariul cel mai nefavorabil este limitat prin structură, în loc să depindă de reținerea atacatorului sau de un sistem de monitorizare care să îl depisteze la timp.
Aceasta este aceeași logică de izolare care limitează raza de impact într-o încălcare bazată pe acreditări în general: contul care este compromis ar trebui să poată divulga doar ceea ce îi era permis în mod legitim să acceseze.
Un manager de parole pentru companii precum Proton Pass for Business face ca menținerea acestei delimitări să fie realistă, deoarece elimină tentația de a reutiliza un set convenabil de acreditări generale pentru mai multe instrumente doar pentru că gestionarea manuală a celor unice nu este scalabilă.
Când fiecare cont are propria acreditare, iar accesul este evaluat în raport cu ceea ce are efectiv nevoie un rol, un singur cont compromis încetează să mai fie o rută către toate datele organizației și devine, în cel mai rău caz, un incident izolat.
Proton Pass for Business vă poate oferi asistență companiei cu:
- Politici de echipă personalizabile care vă ajută să vă aplicați politica privind parolele cu cerințe referitoare la parole, autentificare cu doi factori (2FA) obligatorie și reguli revocate de partajare a datelor
- Jurnale de utilizare care vă permit să vizualizați activitatea din rețeaua dvs., cu asistență suplimentară prin programul nostru avansat de securitate ridicată Proton Sentinel
- Grupuri organizate în funcție de rol, proiect sau nivel de acces, simplificând gestionarea accesului și asigurându-se că fiecare membru al echipei are acces doar la ceea ce are nevoie.
Opriți exfiltrarea datelor pe bază de acreditări cu un manager de parole pentru companii.
