Elastic DB-intrång
Senaste 30 dagarnaFör att belysa cyberhot i kritiska, globala industrier har WizCase-teamet utfört kontinuerlig cybersäkerhetsforskning. I våra senaste efterforskningar tittade vi på dataläckor i sjukvårdsindustrin och dataläckor inom internetundervisning, varav båda är av kritisk vikt och kraftigt förbisedda. Efter att ha tittat på flera specifika industrier tyckte vi att det skulle vara bra att analysera flera generella serverintrång, som kan drabba alla företag som driver databaser. Under de senaste tio åren har det skett fler än 300 dataintrång på servrar som innehåller över 100 000 uppgifter.
Spårade variabler
Verktyget spårar och visar flera variabler för att visa globala intrångs allvarlighetsgrad och magnitud:
-
Analyserad tidsperiod:
Fyll manuellt i en tidsperiod att visa serveranalys från.
-
Totalt antal skannade servrar:
Det övergripande antalet servrar som skannats under den angivna tidsperioden.
-
Totalt antal Elasticsearch-instanser som körs:
Hur många av de skannade servrarna som körde en Elasticsearch-databas.
-
Totalt antal servrar som är åtkomliga utan auktorisering:
Hur många av Elasticsearch-databaserna som lämnades åtkomliga utan säker autentisering.
-
En genomgång av säkra och osäkra servrar:
Hur stor andel av databaserna som var åtkomliga utan säker autentisering, krävde lösenord eller helt blockerade åtkomst.
-
Serverstorlek i procent:
Hur hög procent av de skannade Elasticsearch-databaserna var under 1 GB, mellan 1 och 100 GB eller över 100 GB.
-
Det totala antalet uppgifter som exponerats på servrar som är åtkomliga utan auktorisering:
Antalet offentligt åtkomliga filer från alla oskyddade Elasticsearch-databaser under en given period.
-
Det totala antalet servrar som är åtkomliga utan auktorisering och som drabbats av illasinnade aktörer:
Hur många osäkra servrar som utsattes för attacker som Meow och som resulterade i stöld eller radering av data.
De vanligaste hoten efter ett dataintrång (för de som exponerats)
Depending on the type of data stolen during a breach, there are multiple ways in which it can
be used against those who had their data exposed:
-
Stöld
—Stulen data kan användas för direkt finansiellt gagn om information såsom kreditkortsuppgifter stjäls. Den kan även användas för identitetsstöld om känsliga personuppgifter kommits över.
-
Utpressning
—Förövarna kan använda informationen de kommit över för att utpressa exponerade parter, speciellt med känslig sjukvårdsinformation eller ekonomiska uppgifter.
-
Övertagning av konto
—Stulen information kan användas för att komma åt konton hos olika tjänster om identiska inloggningsuppgifter används. De kan även användas för att komma åt kontot som är kopplat till leverantören som drabbades av intrånget.
-
Nätfiske/bedrägeri
—Om tillräckligt med personliga uppgifter samlas in så kan de användas för att iscensätta väldigt effektiva nätfiskeattacker (phishing) eller bedrägerier. Detta kan lura personer att avslöja ännu fler känsliga uppgifter, som kreditkortsuppgifter och bankinformation.
Vad dataintrång kostar för företag
Data breaches don’t only affect those whose data was stolen, but also those who were initially entrusted to keep the data safe.
Companies affected by a data breach are likely to suffer from:
-
Juridiska konsekvenser
—Med tanke på många företags globala natur kommer ett dataintrång troligen innebära juridiska problem i flera olika jurisdiktioner. Detta kan resultera i extrema juridiska omkostnader som till och med kan hota företagets existens.
-
Skadat rykte
—Förlusten av kundernas tillit efter ett stort intrång kommer troligen vara gigantisk. Kunderna litar på att företag ska hålla deras uppgifter säkra, så när de misslyckas är risken stor att kunderna väljer att gå till någon annan. Snittvärdet av de förlorade intäkterna efter ett dataintrång är faktiskt runt 9 miljoner kronor.
-
Stöld
—Stulen data kan leda till betydande förluster av olika slag, inklusive allt från immateriell egendom till finansuppgifter.
-
Böter
—Att inte följa lagstiftning för dataskydd kommer med direkta kostnader i form av böter. Equifax-dataintrånget från 2017 resulterade till exempel i att den amerikanska federala handelskommissionen bötfällde företaget upp till 4,4 miljarder kronor.
Topp 5 största dataintrången i historien
De i skrivande stund största dataintrången i historien drabbade några av de största och mest betrodda företagen i världen. Det kommer inte som någon överraskning att två tredjedelar av alla personer på internet hade fått sina uppgifter stulna eller komprometterade fram till 2018.
Det är värt att påpeka att alla toppföretag som drabbats är från USA, där snittkostnaden för ett dataintrång är betydligt högre än globalt – runt 50 miljoner kronor.
-
Yahoo — Yahoo fick otroliga tre miljarder uppgifter stulna (alla konton som fanns på tjänsten då) när de hackades under 2013. Detta inkluderade namn, e-postadresser och lösenord. De hackades igen 2014, då någon stal 500 miljoner uppgifter.
-
First American Corporation — Denna leverantör av försäkringar och avvecklingstjänster exponerade 855 miljoner uppgifter på grund av dålig säkerhet, inklusive amerikanska personnummer, körkort och mer.
-
Facebook — Dålig säkerhet ledde till att 540 miljoner uppgifter läckte under 2019, inklusive kontonamn, detaljer om kommentarer, inläggsreaktioner, vänner, foton, incheckningar och till och med lösenord för 22 000 användare.
-
Marriott International — Hotellkedjan förlorade 500 miljoner uppgifter när en kinesisk grupp hackade den under 2018. Detta inkluderade namn, passuppgifter, e-postadresser, telefonnummer, adresser och mer.
-
Friend Finder Networks — En attack resulterade i att 410 miljoner uppgifter stals under 2016. Även om de inte avslöjade några detaljerade personuppgifter så kunde de fortfarande bekräfta vilka som var medlemmar på sidan.
Tips: Hur man skyddar sig mot dataintrång
There are a few things you can do to ensure that the impact of a data breach on you
personally remains as small as possible:
Ha unika uppgifter för varje konto
Om man återanvänder samma lösenord på flera konton kan ett dataintrång resultera i att flera av ens konton äventyras av ett enda intrång. Använd en pålitlig lösenordshanterare så att du får starka och unika lösenord för varje tjänst.
Använd tvåfaktorsautentisering (2FA)
Om dina kontouppgifter stjäls i ett intrång men du har 2FA aktivt så är det nästan omöjligt för förövarna att komma åt ditt konto utan denna extrakod.
Använd ett verktyg för identitetsbevakning
Det kommer varna dig om dina personuppgifter dyker upp bland stulna webbplatsdata, i låneansökningar, i inlägg på sociala nätverk, i beställningar av tjänster och annat. På så sätt kan du reagera direkt när du blir medveten om att dina uppgifter blivit stulna.
Vanliga frågor: Spåraren av dataintrång och Elasticsearch
Hur stor del av webben skannar Spåraren av dataintrång?
Inledningsvis 100 %, men vi begränsar detta till 0,06 %. En gång i veckan skannar vi hela internet för att söka efter IP-adresser som troligen kör Elasticsearch – uppskattningsvis 250 000 totalt. På så sätt kan vi gå från att söka igenom hela webben till att begränsa sökandet till de relevanta 0,06 procenten, som vi därefter skannar regelbundet för att hålla oss så uppdaterade som möjligt.
Vad kan Spåraren av dataintrång användas till?
Spåraren av dataintrång är ett fantastiskt sätt att utvärdera globala serversårbarheter och analysera hur säkerheten för databaser i hela världen kan förbättras. Med tanke på det stora antalet sårbara databaser hoppas vi att den kan fungera som en väckarklocka för stora företag och alla andra som lagrar känsliga uppgifter på osäkra servrar. Med tanke på att snittkostnaden för ett dataintrång globalt sett ligger på strax under 25 miljoner kronor är det viktigt att företag säkrar sårbara databaser så snart som möjligt.
What is Elasticsearch?
Elasticsearch är en databasmotor som används för att sortera och söka i olika typer av data. Det har många användningar, inklusive applikationssökningar, loggning av analysdata, prestandabevakning och säkerhetsanalys. Användare älskar den framförallt för dess hastighet och förmåga att söka bland stora mängder data på millisekunder. Den rankas som en av de populäraste databasmotorerna i världen.
Vad är en Meow-attack?
Cyberattacken Meow är en särskilt förödande typ av attack som, till skillnad från många andra attacker, inte är ute efter någon form av gagn. Den söker helt enkelt efter osäkrade databaser, raderar allt innehåll och lämnar meddelandet ”Meow” som visitkort i hela databasen. Det drabbar inte bara Elasticsearch-databaser, utan även MongoDB, Cassandra, Hadoop och fler.
Vilket typer av cyberattacker riktar in sig på servrar?
Utöver ovan nämnda Meow finns det flertalet typer av attacker som riktar in sig på servrar, inklusive:
- DoS-attacker (Denial of Service) — En angripare svämmar över en server med mer trafik än den kan hantera, vilket gör att den temporärt försätts offline.
- Brute Force-attacker — Genom att snabbt gissa ett stort antal lösenord försöker man med dessa attacker att få åtkomst till ett konto med högre serverbefogenheter.
- Katalogkorsning (Directory Traversal) — Denna sårbarhet låter en angripare gå bortom webbkatalogen och potentiellt köra kommandon eller hitta känsliga data.
- Vanställning av webbplatser (Website Defacement) — En angripare kan lägga in skadliga eller irrelevanta data i en databas. När legitima användare sedan försöker använda datan så ser de det ”vanställda” resultatet av attacken.
Vilka andra typer av databaser lämnas öppna på internet?
Nästan vilken databas som helst kan lämnas osäkrad och öppen för attack på internet. Några som oftare är öppna för attacker är MongoDB, Cassandra, Hadoop och Jenkins.
Hur kan osäkra databaser fixas?
Elasticsearch innehåller ett antal inbyggda mekanismer för användarautentisering så att endast bekräftade användare kan logga in och se datan på servern. Detta räcker dock inte på egen hand, och användare bör få relevanta befogenheter så att de endast kan se den data de är kvalificerade att se. I Elasticsearch kallas detta för ”role-based access control mechanism” (RBAC) – i grund och botten får varje användare en roll och relaterade befogenheter för att åstadkomma högre datasäkerhet.
Givetvis går säkerhet betydligt djupare än så, men med mer avancerad autentisering hade många servrar redan varit mycket säkrare.
Hur fungerar Spåraren för dataintrång?
Vår Spårare för dataintrång skannar webben varje vecka och letar specifikt efter osäkrade Elasticsearch-databaser som potentiellt kan drabbas av intrång (eller som redan har drabbats). Den sparar sedan denna data och gör den tillgänglig i form av ett detaljerat diagram med flera variabler, så att du kan analysera den exakta tidsperiod och data du vill.
