Trong một báo cáo mới về sự phơi bày của ngành công nghiệp an ninh mạng toàn cầu trên Dark Web năm nay, công ty bảo mật ứng dụng toàn cầu, ImmuniWeb, phát hiện ra rằng 97% công ty an ninh mạng hàng đầu có rò rỉ dữ liệu hoặc các sự cố bảo mật khác bị lộ trên Dark Web, trong khi trung bình, có hơn 4.000 thông tin đăng nhập bị đánh cắp và dữ liệu nhạy cảm khác bị lộ trên mỗi công ty an ninh mạng.
Ngay cả bản thân ngành an ninh mạng cũng không tránh khỏi những vấn đề này, như đã được chứng minh trong nghiên cứu của ImmuniWeb.
Các phát hiện chính mà nghiên cứu tìm thấy liên quan đến việc các công ty an ninh mạng hàng đầu thế giới tiếp xúc với Dark Web bao gồm:
- 97% các công ty bị rò rỉ dữ liệu và các sự cố bảo mật khác trên Dark Web.
- 631.512 sự cố bảo mật đã được xác minh đã được phát hiện với hơn 25% (hoặc 160.529) trong số đó được phân loại là mức độ rủi ro cao hoặc nghiêm trọng + chứa thông tin nhạy cảm cao như thông tin xác thực hoặc PII, bao gồm dữ liệu tài chính hoặc dữ liệu tương tự. Do đó, trung bình, có 1.586 thông tin đăng nhập bị đánh cắp và dữ liệu nhạy cảm khác bị lộ trên mỗi công ty an ninh mạng. Hơn 1 triệu sự cố chưa được xác minh (1.027.395) cũng được phát hiện trong quá trình nghiên cứu của ImmuniWeb và chỉ có 159.462 được ước tính là có nguy cơ thấp.
- 29% mật khẩu bị đánh cắp là yếu, nhân viên từ 162 công ty sử dụng lại mật khẩu của họ – nghiên cứu cho thấy 29% mật khẩu bị đánh cắp là yếu, có ít hơn 8 ký tự hoặc không có chữ hoa, số hoặc các ký tự đặc biệt khác và nhân viên từ 162 công ty (khoảng 40) sử dụng lại các mật khẩu giống hệt nhau trên các mật khẩu bị vi phạm khác nhau Điều này làm tăng nguy cơ bị tội phạm mạng tấn công sử dụng lại mật khẩu.
- Email chuyên nghiệp đã được sử dụng trên các trang web hẹn hò người lớn và khiêu dâm – vi phạm của bên thứ ba đại diện cho một số lượng đáng kể các vụ việc, vì nghiên cứu của ImmuniWeb đã tìm thấy 5.121 thông tin đăng nhập đã bị đánh cắp từ các trang web hẹn hò người lớn hoặc khiêu dâm bị tấn công.
- 63% trang web của các công ty an ninh mạng không tuân thủ các yêu cầu của PCI DSS – có nghĩa là họ sử dụng phần mềm dễ bị tấn công hoặc lỗi thời (bao gồm các thư viện và khuôn khổ JS) hoặc không có Tường lửa Ứng dụng Web (WAF) ở chế độ chặn.
- 48% trang web của các công ty an ninh mạng không tuân thủ các yêu cầu của GDPR – do phần mềm dễ bị tấn công, không có chính sách bảo mật dễ thấy hoặc thiếu tuyên bố từ chối trách nhiệm về cookie khi cookie chứa PII hoặc số nhận dạng có thể theo dõi.
- 91 công ty có lỗ hổng bảo mật trang web có thể khai thác, 26% trong số đó vẫn chưa được vá – phát hiện này đến từ ImmuniWeb đề cập đến dữ liệu có sẵn công khai trên Mở Bug Bounty dự án.
Nghiên cứu được thực hiện bằng cách sử dụng Kiểm tra bảo mật miền trực tuyến miễn phí của ImmuniWeb, kết hợp công nghệ OSINT độc quyền được cải tiến với Học máy, để khám phá và phân loại hiển thị Dark Web. 398 công ty an ninh mạng hàng đầu có trụ sở tại 26 quốc gia, chủ yếu là Mỹ và Châu Âu, đã được thử nghiệm.
Các công ty an ninh mạng ở Mỹ phải hứng chịu các sự cố rủi ro nghiêm trọng và cao nhất, tiếp theo là Anh và Canada, sau đó là Ireland, Nhật Bản, Đức, Israel, Cộng hòa Séc, Nga và Slovakia.
Trong số 398 công ty an ninh mạng được kiểm tra, chỉ có những công ty ở Thụy Sĩ, Bồ Đào Nha và Ý không bị bất kỳ sự cố rủi ro nghiêm trọng hoặc cao nào, trong khi những công ty ở Bỉ, Bồ Đào Nha và Pháp có số sự cố được xác minh thấp nhất.
Ilia Kolochenko, Giám đốc điều hành & Người sáng lập ImmuniWeb, nhận xét về nghiên cứu:
“Ngày nay, tội phạm mạng nỗ lực tối đa hóa lợi nhuận và giảm thiểu rủi ro bị bắt bằng cách nhắm mục tiêu vào các bên thứ ba đáng tin cậy thay vì truy lùng những nạn nhân cuối cùng. Ví dụ, các tổ chức tài chính lớn thường có nguồn lực kỹ thuật, pháp y và pháp lý đáng kể để kịp thời phát hiện, điều tra , và mạnh mẽ truy tố hầu hết các vụ xâm nhập, thường thành công.
“Ngược lại, các bên thứ ba của họ, từ các công ty luật đến các công ty CNTT, thường thiếu chuyên môn nội bộ và ngân sách cần thiết để phản ứng nhanh chóng với phổ biến ngày càng tăng của các cuộc tấn công có chủ đích và APT. Cuối cùng, chúng trở thành quả treo cho những kẻ tấn công thực dụng, những người cũng thích ảo không bị trừng phạt. Vào năm 2020, người ta không cần phải chi tiêu cho 0 ngày tốn kém mà thay vào đó là tìm một số bên thứ ba không được bảo vệ có đặc quyền truy cập vào ‘Crown Jewels’ và nhanh chóng bẻ khóa liên kết yếu nhất. “
“Khả năng hiển thị toàn diện và kiểm kê dữ liệu, CNTT và tài sản kỹ thuật số của bạn là điều cần thiết cho bất kỳ chương trình tuân thủ và an ninh mạng nào Ngày nay. Các công nghệ hiện đại, chẳng hạn như Học máy và AI, có thể đơn giản hóa đáng kể và tăng tốc một số tác vụ tốn công sức từ phát hiện bất thường đến sai giảm tích cực. Tuy nhiên, bức tranh này được bổ sung với việc giám sát liên tục Deep và Dark Web cũng như vô số tài nguyên trong Surface Web, bao gồm cả kho lưu trữ mã công khai và các trang web dán. Bạn không thể bảo vệ tổ chức của mình tách biệt khỏi cảnh quan xung quanh. có thể sẽ trở nên phức tạp hơn trong tương lai gần. “
Các kết quả nghiên cứu đầy đủ có thể xem ở đây.
