Trước tiên hãy cùng nhìn lại năm 2020!
Thêm vào danh sách những khó khăn xuất hiện vào năm ngoái, năm 2020 cũng là một năm khó khăn đối với việc bảo vệ dữ liệu cá nhân, vì nó đã đánh dấu một số lượng kỷ lục mới về thông tin xác thực và dữ liệu PI bị rò rỉ.
Con số khổng lồ 20 tỷ bản ghi đã bị đánh cắp trong một năm, tăng 66% so với 12 tỷ bản năm 2019. Đáng kinh ngạc, đây là mức tăng gấp 9 lần so với số lượng tương đối “nhỏ” 2,3 tỉ bản ghi bị đánh cắp trong năm 2018.
Xu hướng này dường như phù hợp với một đường cong hàm mũ; thậm chí tệ hơn, chúng ta vẫn chưa thấy những thất bại từ chiến dịch “Solorigate” vào cuối năm, có khả năng làm giảm ngay cả những con số này vào cuối năm 2021.
Được tìm thấy trong số dữ liệu bị rò rỉ là tên người dùng, mật khẩu, số thẻ tín dụng, chi tiết tài khoản ngân hàng, thông tin chăm sóc sức khỏe và dữ liệu cá nhân khác. Những kẻ độc hại sử dụng kho tàng thông tin này để lừa đảo và các cuộc tấn công khác.
Chỉ trong quý đầu tiên của năm 2020, chính phủ Hà Lan đã quản lý để mất một ổ cứng chứa dữ liệu bí mật của công dân. Trong khi đó, chính phủ Vương quốc Anh đã tiết lộ 28 triệu dữ liệu trẻ em cho các công ty cá cược và Microsoft đã tiết lộ 250 triệu hồ sơ hỗ trợ khách hàng — bao gồm dữ liệu địa lý, địa chỉ IP và thông tin cá nhân khác của khách hàng.
Đến tháng 4, Zoom đã mất 500.000 mật khẩu khi bắt đầu giai đoạn làm việc từ xa trên toàn cầu. Vào tháng 6 của quý 2, Oracle cũng đã làm rò rỉ hàng tỷ dữ liệu theo dõi web bằng cách lưu trữ dữ liệu trên một máy chủ không an toàn.
Quý 3 bắt đầu với ứng dụng chiến dịch của Joe Biden tiết lộ dữ liệu cử tri nhạy cảm của hàng triệu người dùng. Tiếp theo là 300.000 người dùng Spotify trở thành nạn nhân của các nỗ lực tiếp quản tài khoản sau khi thông tin đăng nhập của họ được công khai.
Năm kết thúc với Solorigate: một sự cố có tác động lâu dài vẫn chưa được nhìn thấy đầy đủ. Cuối cùng, năm 2020 đã khép lại với tổng cộng 1.114 sự cố, với một số chính phủ và các thương hiệu nổi tiếng — chẳng hạn như Estee Lauder, Marriott, Nintendo và GoDaddy — liên quan đến các vụ vi phạm quy mô lớn.
Tại sao các công ty và tổ chức vẫn thất bại?
Xu hướng vi phạm dữ liệu này khá đáng thất vọng khi so sánh với 120 tỷ đô la đáng kinh ngạc trong chi tiêu bảo mật CNTT toàn cầu; Theo Gartner, con số này đã tăng lên nhanh chóng mỗi năm.
Giải pháp khả thi duy nhất cho sự không nhất quán này nằm ở nhận thức của người dùng và khả năng các công nghệ hiện có đang thiếu điều gì đó quan trọng để lật ngược tình thế đối với những xu hướng này.
Nguyên nhân phổ biến nhất đằng sau vi phạm dữ liệu là do rò rỉ một số biện pháp xác thực — đây có thể là tên người dùng, mật khẩu, mã thông báo, khóa API hoặc máy chủ hoặc ứng dụng không có mật khẩu cẩu thả.
Người dùng đang đăng ký các trang web và dịch vụ của bên thứ ba bằng địa chỉ email và thông tin đăng nhập của công ty mỗi ngày. Song song đó, chúng tạo ra những điểm mù khổng lồ trong tầm nhìn và một lĩnh vực Shadow IT mà cho đến nay chưa có công cụ kiểm toán hoặc bảo mật nào có thể giảm thiểu. Mỗi nhân viên có khoảng 200 tài khoản — cứ 1.000 nhân viên thì có 200.000 mật khẩu không xác định hoặc yếu, nhiều trong số đó có thể liên quan đến công ty.
Khi các bên thứ ba này bị xâm nhập, thông tin xác thực có được có thể được sử dụng lại để truy cập trái phép vào các dịch vụ khác của công ty, chẳng hạn như tài khoản email hoặc máy chủ VPN, sử dụng các kỹ thuật tấn công như nhồi nhét thông tin xác thực hoặc phun mật khẩu.
Đây chính xác là trường hợp của British Airways, hãng đã nhận khoản phạt GDPR kỷ lục 20 triệu bảng sau khi dữ liệu của 400.000 hành khách bị vi phạm, bắt đầu thông qua một cổng VPN được truy cập bởi một tài khoản bị xâm nhập.
Hầu hết các tổ chức lớn sử dụng công nghệ ngăn chặn rò rỉ dữ liệu nhưng không bảo vệ được việc rò rỉ mật khẩu và chiếm đoạt tài khoản. Điều này cho thấy nhu cầu rõ ràng về một cách tiếp cận mới — kết hợp giữa các biện pháp kiểm soát công nghệ và cải thiện nhận thức của người dùng ngay lập tức nhằm triển khai quan điểm mới về bảo vệ tài khoản.
Chiếu sáng trên Shadow IT
Scirge đã được phát triển với trọng tâm đơn giản và rõ ràng là giải quyết một khía cạnh bị bỏ qua của các cơ chế bảo mật CNTT hiện có: phát hiện và bảo vệ các tài khoản do nhân viên tạo trên đám mây. Điều này bao gồm khả năng giám sát tất cả các đăng ký mới, cũng như xem thông tin đăng nhập bằng thông tin đăng nhập hiện có vào các trang web và ứng dụng web.
Hơn nữa, nó liên quan đến việc kiểm tra độ mạnh và độ phức tạp được quản lý tập trung cho tất cả các mật khẩu đồng thời cảnh báo người dùng về cách quản lý thông tin xác thực phù hợp.
Các biện pháp kiểm soát dựa trên chính sách có thể được tạo ra để chặn việc sử dụng các địa chỉ email hoặc trang web nhất định. Scirge sẽ ngay lập tức cung cấp cho người dùng các thông báo nhận biết khi họ đang lạm dụng thông tin đăng nhập của công ty hoặc bỏ qua các yêu cầu về độ phức tạp của mật khẩu.
Trí tuệ trung tâm giúp tiết lộ mật khẩu được sử dụng lại và tài khoản bị xâm nhập thông qua việc so sánh mọi tài khoản liên quan đến công ty với cơ sở dữ liệu bị rò rỉ và tài khoản được sử dụng cục bộ (Active Directory). Scirge có thể làm sáng tỏ dấu chân đám mây ẩn của tổ chức, đồng thời cung cấp cho người dùng kiến thức về vệ sinh mật khẩu, chính sách của công ty và hành vi không mong muốn khi sử dụng tài khoản công ty.
Scirge hoàn thành từng mục tiêu này bằng cách tiếp cận dựa trên trình duyệt sạch sẽ. Nó giúp loại bỏ nhu cầu kiểm soát hoặc xem lưu lượng mạng, giải mã SSL hoặc tạo gánh nặng cho khách hàng với các tác nhân toàn diện — một nguồn phổ biến của sự suy giảm hiệu suất và các vấn đề tương thích với các công cụ bảo mật khác.
Sử dụng các tính năng độc đáo của mình, Scirge tạo khả năng hiển thị cho tất cả các tài khoản do nhân viên tạo và tiết lộ các vấn đề về vệ sinh mật khẩu. Khoảng không quảng cáo cho tất cả người dùng — bao gồm cả nhân viên sắp sửa — luôn sẵn sàng, tiết lộ việc chia sẻ tài khoản không mong muốn giữa những người dùng và các mối đe dọa nội bộ tiềm ẩn về việc lạm dụng danh tính khi truy cập tài nguyên trực tuyến.
Trang tổng quan cũng hiển thị ban quản lý CNTT những ứng dụng đám mây nào được sử dụng nhiều nhất mà không có sự đồng ý, giúp công ty tuân thủ các quy định thông qua việc thu thập chính sách bảo mật và điều khoản và điều kiện của tất cả các dịch vụ.
Tìm hiểu thêm về bảo vệ tài khoản và nâng cao nhận thức về CNTT đây hoặc đăng ký một trong những hội thảo.
