Відмивання даних – процес, при якому дані, отримані незаконним шляхом (з даркнету або зламаної/викраденої бази даних) згодом піддаються спеціальнії оброці для надання автентичності.
У міру того, як компанії адаптуються до сучасних технологій та нових методів ведення бізнесу, з’являються додаткові можливості для збору та використання даних. Тому відмивання даних стає дедалі серйознішою проблемою.
Кріс Пін, експерт з безпеки та конфіденційності, пояснив, що дані можуть бути отримані кількома способами. Вони можуть бути куплені у продавця в даркнеті, завантажені з веб-сайту компанії або отримані за допомогою шкідливих програм, фішингу електронною поштою або навіть MITM-атаки .
«Отримавши дані, зловмисники зазвичай пропускають їх через рандомізатор, який є інструментом для очищення даних, що допомагає рандомізувати недостатню або цінну інформацію, щоб зробити дані більш легітимними для потенційних покупців», – сказав Пін.
Проблема відмивання даних
Проблема з відмиванням даних полягає в тому, що покупці, що нічого не підозрюють, можуть придбати вкрадені дані, також стаючи частиною процесу з їх відмивання.
«Давайте розберемося, що відбувається після придбання організацією вкрадених даних. Як і будь-які інші дані, вони десь зберігатимуться, наприклад, у базі даних», – пояснив Пін. «Зберігання та системні ресурси самі по собі є великими інвестиціями. Для обробки більшого обсягу даних компанія змушена відповідно збільшувати ресурси. Крім сховища, організація застосовує для цих незаконних даних усі наявні засоби контролю безпеки, виявлення, управління даними тощо».
За словами Піна, саме на цьому етапі все стає справді погано. Адже ІТ-організація зробила все можливе, щоб бізнес почав включати такий набір даних у ІІ, машинне навчання та інші автоматизовані процеси ухвалення рішень.
«Можливо, ваша організація планує проводити маркетингові кампанії, дослідження регіональних продуктів чи тенденцій та багато іншого. Проблема полягає в тому, що відмиті дані можуть містити багато неточностей і привести бізнес до збитків через рішення, що базуються на хибних даних. Причому це лише ділова сторона проблеми», – сказав Пін.
З іншого боку, нелегальні дані мають величезні ризики. Неможливість підтвердити легітимність даних (або її відсутність) зроблять позицію організації вразливою у разі судового розгляду.
“Якщо ваша компанія почне продавати вкрадені електронні листи, у споживачів відразу виникне низка питань, звідки ви отримали електронні листи і з якою метою робили це”, – пояснив Пін. «Оскільки ви не зможете відповісти на ці питання, у споживачів буде підстава для пред’явлення індивідуального позову, можливе навіть подання колективного позову».
На думку Піна, організації, які займаються торгівлею даними, мають бути повністю впевнені у своїх джерелах.
Відстеження ланцюжка поставок
Крім того, постачальники даних також повинні бути впевнені у своїх джерелах. Тому необхідно відстежувати весь ланцюжок поставок, щоб гарантувати достовірність даних, а також законність обміну даними.
Пін упевнений, що з часом закони про конфіденційність надолужують втрачене. Відстеження ланцюжка зберігання даних стане обов’язковою вимогою для організацій та федеральних відомств.
Ендрю Барратт, експерт з кібербезпеки, пояснив, що відмивання даних не є чимось новим, і довгий час вважається проблемою у сфері продажу даних.
«Відмити дані не так складно, як багато хто думає», – сказав Барратт. Кіберзлочинці використовують як невеликі маніпуляції з Excel, так і спеціальні алгоритми очищення при великомасштабному зборі витоків даних, таким чином видаляючи всю інформацію для атрибуції джерела.
Баррат пояснив, що після того, як список імен, адрес та електронних листів був розбитий на частини, практично неможливо визначити джерело їхнього походження. Проти подібної процедури допомагає лише присутність у наборі даних спеціальних «канарокових» ( ‘canary’) записів.
Як боротися з відмиванням даних
Для боротьби з відмиванням даних закони про конфіденційність мають продовжувати розвиватися відповідно до GDPR- та California CPA-стандартів. Зобов’язуючи компанії видаляти дані на запит громадян, заявив Барратт.
За його словами, GDPR пройшов довгий шлях, встановивши права високого рівня для суб’єктів даних у Великій Британії та ЄС, США також рухаються в цьому напрямку від штату до штату.
“На федеральному рівні Конституція та Білль про права прямо не наділяють громадян правом на недоторканність приватного життя. Хоча існують різні прецедентні закони, в яких наводяться аргументи на користь недоторканності приватного життя”, – зазначив Барратт.
На жаль, з погляду безпеки, якщо записи взяті зі скомпрометованих наборів даних, «кінь уже втік, а корабель відплив», – сказав він. Такі записи, як і раніше, будуть представляти проблему з конфіденційністю, а також доставляти незручності користувачам. Власників скомпрометованих даних завалять маркетинговим спамом, цільовою рекламою тощо.
«Залежно від контексту даних, також можуть виникнути проблеми з особистою безпекою, пов’язані із втратою імен та адрес, відомостей про соціальне забезпечення та медичні записи», – попередив Барратт.
Джон Бамбенек, радник з аналізу загроз, також зазначив, що основною метою регулювання повинні виступати компанії, які купують дані, щоб гарантувати надійність постачальників та збір даних лише з законною метою.
«Було краще, щоб дані про споживачів належали споживачеві. Усі купівлі та продажі повинні здійснюватися лише за згодою споживача. Але, на жаль, у Сполучених Штатах ми далекі від цього», – сказав він.
Бамбенек зазначив, що будь-яка дія, що заохочує або монетизує злочинну діяльність, сприяє її продовженню. Багато компаній, які займаються купівлею сумнівних даних, швидше за все навмисно дивляться не в той бік.
На відміну від програм-здирників, немає причин віддавати гроші подібним злочинним бандам. Компанії не повинні користуватися послугами кіберзлочинних найманців для завантаження своїх інформаційних машин.