2014Крупнейшие хакерские атаки этого года

Look At Me заканчивает подводить итоги года. Напоследок мы вспоминаем крупнейшие хакерские атаки и то, чему они нас научили. Символично, что с них год начался и ими же заканчивается.

Когда:
31 декабря — 1 января,
11 февраля и 9 октября

Сколько пострадавших:
около 5 млн

За последний год мессенджер, популярный среди подростков, становился целью хакеров трижды. В первый раз — прямо в канун нового года, когда в интернет попали имена пользователей и номера телефонов миллионов человек. За несколько месяцев до этого об уязвимости в сервисе заявила компания Gibson Security, но в Snapchat нужные меры, судя по всему, так и не приняли. Выложив данные в интернет, анонимные хакеры заявили, что устроили утечку для того, чтобы обратить внимание пользователей на незащищённость Snapchat.

Следующий взлом произошёл спустя 1,5 месяца. Многие пользователи Snapchat получили от своих друзей фотографии фруктовых смузи со ссылкой на сайт с рецептами. Позже выяснилось, что устроившие массовую рассылку получили доступ ко множеству комбинаций почтового адреса и паролей, но, к счастью, атака оказалась безвредной. А в октябре произошла ещё одна утечка: на этот раз в интернет попали 100 000 фотографий пользователей, которые, по идее, должны были автоматически удаляться приложением. Как оказалось, пострадали те, кто заходил в Snapchat через веб-клиент SnapSaved, который позволял сохранять полученные фотографии, а на деле ещё и оставлял их на своём сервере. Снимки собирали несколько лет, а когда SnapSaved уже перестал работать, их выложили одним архивом на имиджборд 4chan.

Чему нас научили эти атаки:

  Если дороги личные данные, лучше не пользоваться приложениями, которые не раз взламывали. Скорее всего, это произойдёт СНОВА;

  периодически менять ПАРОЛИ ВО ВСЕХ СЕРВИСАХ;

  НЕ ПОЛЬЗоваться НЕАВТОРИЗОВАННЫМИ СТОРОННИМИ ПРИЛОЖЕНИЯМИ;

  Исчезающие фотографии — это во многом иллюзия. Из интернета ничего не пропадает.

Когда:
февраль — март, 10 сентября, 13 октября

Сколько пострадавших:
десятки миллионов

21 мая интернет-аукцион eBay объявил, что двумя месяцами ранее злоумышленники получили доступ к корпоративной сети и украли базу данных с почтовыми адресами и паролями пользователей. Хотя пароли были в зашифрованном виде, eBay попросил всех их сменить, опасаясь, что комбинации могли украсть вместе с ключами шифрования; также защиту могли взломать. Ответственность на себя взяла группировка «Сирийская электронная армия», которая заявила, что не собирается пользоваться полученными банковскими данными.

10 сентября в интернет попала база данных с 5 млн паролей для почтовых ящиков GMAil. Как выяснилось, сам сервис Gmail никто не взламывал: вместо этого авторы базы данных собрали пароли от других сервисов, а также те, что получили в результате фишинг-атак. Многие из них были старыми и уже не действовали, а некоторые пользователи признавались, что никогда не использовали украденные пароли для Gmail. Через месяц похожий случай приключился и с Dropbox. Хакеры заявили, что украли 7 млн паролей, но на деле вновь оказалось, что сам Dropbox никто не взламывал и злоумышленники получили данные от сторонних источников. Впрочем, на этот раз работавших пар было заметно больше — по крайней мере из тех нескольких сотен, что попали в свободный доступ.

Чему нас научили эти атаки:

  НЕЛЬЗЯ Использовать одни и те же пароли для разных сервисов;

  Не привязывать банковские данные к аккаунтам на сайтах, если это возможно;

  Чаще менять пароли.

Когда:
апрель и сентябрь

Сколько пострадавших:
более 5 млн

В 2014 году специалисты по информационной безопасности обнаружили два серьёзных бага до того, как о них узнали хакеры. Первый, Heartbleed, просуществовал незамеченным более 2 лет. Он приводил к тому, что через криптографическую библиотеку OpenSSL можно было считать память веб-клиента и веб-сервера и извлечь оттуда ключ шифрования. Некоторые крупные сайты устранили уязвимость до того, как о ней стало широко известно. После того, как о баге заявили публично, на подготовку новой версии библиотеки потребовалась неделя. За это время злоумышленники со всего мира провели несколько успешных атак. Самыми крупными стали кража личных данных 4,5 млн пациентов американской сети госпиталей Community Health Systems и кража номеров социального страхования 900 канадцев.

Через полгода стало известно о другой крупной уязвимости, Shellshock, существовавшей приблизительно с 1992 года. Её обнаружили в оболочке Bash для операционных систем на основе Unix (к ним относится Mac OS и Linux). С помощью Bash многие веб-серверы обрабатывают запросы; злоумышленник же, воспользовавшись уязвимостью, может вынудить систему исполнять произвольные команды. Осложнило ситуацию то, что специалисты обнаружили множество похожих багов, из-за чего выход обновления задержался. До того, как его выпустили, в сутки происходило около 1,5 млн атак, применявших Shellshock.

Чему нас научили эти атаки:

  Ни одна компьютерная система не может быть защищённой на 100 %;

  нужно постоянно обновлять программное обеспечение.

Когда:
11—13 июня

Сколько пострадавших:
миллионы

DDoS-атаки, которые выводят из строя целые сервисы, нередко случались в 2014 году. Но особо запомнился случай, когда злоумышленники одновременно отправили в офлайн сервис заметок Evernote и RSS-агрегатор Feedly. Как заявили создатели Feedly, хакеры даже требовали у них выкуп за то, чтобы DDoS-атаки немедленно прекратились. На это разработчики, впрочем, не пошли. О том, требовали хакеры выкуп у Evernote или нет, не сообщалось. К счастью, через несколько дней оба сервиса заработали.

Чему нас научили эти атаки:

  От DDoS никто не застрахован;

  Нельзя полностью полагаться на один онлайн-сервис: он всегда может выйти из строя.

Когда:
июль-август

Сколько пострадавших:
83 млн

2 октября стало известно, что летом хакеры получили доступ к данным 83 млн клиентов JPMORGAN CHASE, одного из крупнейших американских банков. Хотя самое ценное — пароли, номера счетов и номера социального обеспечения — не попало хакерам в руки, с помощью извлечённой информации у них появилась теоретическая возможность пройти идентификацию личности. По мнению специалистов, целью взлома была продажа полученных данных третьим лицам; они, в свою очередь, могли затем использовать её для продвинутых индивидуализированных форм фишинга, которые сложно распознать даже внимательному пользователю. В атаке обвинили неких российских хакеров, которые якобы имели связи с правительством страны.

Чему нас научила эта атака:

  Почту нужно читать осторожно. Лучше не переходить по ссылкам из неё, а открывать сайты сервисов напрямую из браузера;

  Ни один, даже самый защищённый банк не обеспечивает полной безопасности данных.

Когда:
август — сентябрь

Число пострадавших:
десятки

Начиная с 31 августа неизвестные начали выкладывать в интернет фотографии обнажённых женщин-знаменитостей, полученные с сервиса iCloud. Жертвами атаки стали Дженнифер Лоуренс, Кирстен Данст, Аврил Лавин и многие другие. Снимки появлялись постепенно, их распространяли через имиджборды, фотохранилища, форумы и социальные сети. Как заявили позднее в Apple, группировка хакеров, стоявшая за утечками, собирала фотографии несколько месяцев, в основном используя нацеленные фишинг-атаки на отдельные аккаунты в iCloud, а не уязвимость в самой системе. Сами знаменитости либо не признавали, что это их фотографии, либо грозили судебными исками всем тем, кто будет их размещать. До серьёзных судебных разбирательств дело пока не дошло, а ФБР всё ещё продолжает расследование.

Чему нас научила эта атака:

  Не хранить в облачных сервисах фотографии, которые не должен видеть никто, кроме владельца;

  Нельзя держать Одни и те же пароли для разных сервисов.

Когда:
ноябрь — декабрь

Число пострадавших:
десятки тысяч

24 ноября группировка хакеров Guardians of Peace выложила в свободный доступ личные данные сотрудников киностудии Sony Pictures Entertainment, их почтовую переписку, заработную плату топ-менеджеров и другую информацию, связанную с компанией, включая ту, что касается официально не объявленных фильмов. После этого хакеры начали угрожать террористическими атаками в случае, если в прокат выйдет фильм «Интервью», политическая комедия Сета Рогена и Джеймса Франко, где они в роли журналистов организуют покушение на главу КНДР Ким Чен Ына. Позднее президент США Барак Обама заявил, что атаку на Sony Pictures устроили власти КНДР, но в правительстве страны это отрицали. И хотя Sony Pictures сначала отменила премьеру фильма, после заявления Обамы о том, что это было ошибкой, премьеру «Интервью» назначили-таки на 24 декабря, как и задумывалось вначале. Правда, дело пока ограничилось 200 независимыми кинотеатрами и арендой на YouTube, Google Play и Xbox Video.

Чему нас научила эта атака:

  относиться серьёзно К ЛЮБЫМ ТЕРРОРИСТИЧЕСКИМ УГРОЗАМ;

  Не обсуждать в почтовой переписке третьих лиц в нелицеприятном тоне;

  Хакерские атаки наносят большой ущерб, но здорово работают на PR.