Czym jest naruszenie danych i dlaczego trwa 194 dni, zanim je wykryją

Większość wycieków danych dociera do nas w znajomej kopercie: oficjalne pismo firmy, ostrożne przeprosiny i propozycja dwunastu miesięcy darmowego monitorowania kredytu. Tego, co wydarzyło się zanim list trafił do skrzynki, list już nie opisuje. Od momentu, gdy atakujący po raz pierwszy wnika do sieci, do chwili, gdy dowiadujemy się, że nasze dane są zagrożone, mija średnio 194 dni. Zrozumienie, co dzieje się w tych miesiącach i dlaczego pozostają one niewidoczne, jest o wiele bardziej przydatne niż sama usługa monitorowania.

Wyciek danych to każdy incydent bezpieczeństwa, w ramach którego chronione informacje zostają uzyskane, skopiowane lub wyciągnięte bez autoryzacji. Obejmuje to dane klientów, finansowe, medyczne, rządowe identyfikatory oraz informacje o pracownikach. Ramy prawne, które to regulują, dokładają kolejną warstwę: zgodnie z ogólnym rozporządzeniem o ochronie danych (RODO) organizacje muszą powiadomić organy nadzoru w ciągu 72 godzin od momentu, gdy dowiedzą się o naruszeniu. Kluczowe jest tu sformułowanie „dowiedzą się” – luka między początkiem wycieku a momentem, w którym firma uświadamia sobie jego istnienie, to właśnie czas, w którym gromadzą się największe szkody.

Atakujący dostają się do środka kilkoma sprawdzonymi metodami. W 2024 roku wykorzystanie luk w zabezpieczeniach oprogramowania – szczególnie w VPN-ach, firewallach i narzędziach zdalnego dostępu, które organizacje traktują jako bezpieczne punkty wejścia – odpowiadało za 33 procent naruszeń. Skradzione lub przejęte dane logowania stanowiły 16 procent, a phishingowe e-maile – 14 procent. Przypadek MOVEit, który w ramach jednej kampanii dotknął ponad 62 miliony osób w setkach organizacji, pokazuje, jak jedna nieujawniona luka w powszechnie używanym oprogramowaniu do przesyłania plików może zostać uzbrojona, zanim dostawca w ogóle się o niej dowie. Ataki na łańcuch dostaw tego rodzaju wykorzystują zaufanie, jakim organizacje darzą zewnętrzne narzędzia; gdy tylko oprogramowanie zostanie skompromitowane, każda organizacja go używająca staje się potencjalnym celem.

Dostanie się do sieci to dopiero początek, a nie cel. Gdy atakujący ma już wstępny dostęp, zaczyna się właściwa praca: zbieranie kolejnych danych logowania, eskalacja uprawnień i identyfikacja systemów przechowujących najcenniejsze dane. Ta faza, zwana ruchem bocznym (lateral movement), wymaga czasu i jest zaprojektowana tak, by pozostać niewidoczną. Naruszenie danych Change Healthcare, które ostatecznie dotknęło szacunkowo 100 milionów Amerykanów i kosztowało ponad 2,4 miliarda dolarów samych bezpośrednich działań naprawczych, zaczęło się od jednego skompromitowanego hasła do portalu zdalnego dostępu, który nie miał włączonego uwierzytelniania wieloskładnikowego. Luki w warstwie uwierzytelniania – brak drugiego czynnika lub niezałatany interfejs logowania – konsekwentnie okazują się bardziej brzemienne w skutki niż wyrafinowane techniczne exploity.

Średnia 194 dni wykrycia odzwierciedla fundamentalną asymetrię: atakujący pracują we własnym tempie wewnątrz sieci, którą już kontrolują, podczas gdy obrońcy szukają sygnałów, które napastnik aktywnie ukrywa. Gdy organizacje wykrywają naruszenia za pomocą własnego monitoringu, mediana czasu przebywania w sieci (dwell time) spada gwałtownie do 16 dni, co sugeruje, że wewnętrzne możliwości detekcyjne – jeśli istnieją i działają prawidłowo – wychwytują intruzów znacznie wcześniej. Firmy korzystające z systemów analizy zagrożeń w czasie rzeczywistym identyfikowały intruzów średnio 28 dni szybciej. Po wykryciu powstrzymanie wycieku zajmuje średnio kolejne 64 dni, co daje łączny cykl życia incydentu – od włamania do zamknięcia – około 258 dni.

Zanim dojdzie do wykrycia, eksfiltracja danych prawie zawsze już nastąpiła. Skradzione dane wędrują przewidywalnymi ścieżkami przez przestępcze rynki. Wysokowartościowe rekordy – numery ubezpieczenia społecznego, identyfikatory medyczne, dane kont finansowych – są sprzedawane hurtowo i odsprzedawane wyspecjalizowanym nabywcom. Naruszenie danych National Public Data skompromitowało szacunkowo 2,9 miliarda rekordów, w tym numery ubezpieczenia społecznego obywateli Stanów Zjednoczonych, Wielkiej Brytanii i Kanady, a zestaw danych wystawiono na sprzedaż za 3,5 miliona dolarów, zanim firma wydała publiczne oświadczenie. Zautomatyzowane narzędzia przyspieszają teraz zarówno etap eksploatacji, jak i monetyzacji, co oznacza, że okno czasowe między udanym włamaniem a pierwszym przestępczym użyciem wyciągniętych danych może być znacznie krótsze niż okno między włamaniem a powiadomieniem ofiary.

Skutki wycieku nie są natychmiastowe ani jednolite. Straty z tytułu kradzieży tożsamości w 2025 roku sięgnęły 27,3 miliarda dolarów, ale większość fałszywych kont otwieranych na skradzione dane pojawia się miesiące lub lata po wycieku, gdy przestępcy uznają moment za dogodny. Kradzież tożsamości medycznej ma swój własny harmonogram: sfałszowane roszczenia ubezpieczeniowe złożone na skradzione dane mogą zanieczyścić historię medyczną prawowitego posiadacza, wpłynąć na przyszłe ubezpieczenie i zająć lata, by je zidentyfikować i skorygować. Świadomość, jak działa ten mechanizm, należy do najskuteczniejszych dostępnych indywidualnych zabezpieczeń – nie dlatego, że świadomość zapobiega wyciekom, ale dlatego, że wczesne rozpoznanie podejrzanej aktywności radykalnie zmniejsza ostateczne szkody.

Żadna inwestycja w bezpieczeństwo nie eliminuje ryzyka wycieku w całości. Organizacje, które w ostatnich latach ucierpiały z powodu największych i najbardziej dotkliwych naruszeń, nie były zaniedbane. Prowadziły złożone systemy na dużą skalę, a atakujący znaleźli luki, które w takich systemach nieuchronnie istnieją. To, co zmienia wydatki na bezpieczeństwo, to szybkość wykrycia i zakres dostępu, jaki atakujący może zgromadzić, zanim zostanie odkryty. Naruszenia wykryte w ciągu 200 dni kosztowały organizacje średnio o 1,39 miliona dolarów mniej niż te, które pozostawały niewykryte dłużej. Realistycznym celem nie jest odporność na włamania, ale szybkość reakcji.

Jeśli otrzymasz powiadomienie o wycieku danych, trzy kroki są ważniejsze niż oferta monitorowania kredytu. Po pierwsze, zamroź swoją zdolność kredytową we wszystkich głównych biurach informacji gospodarczej: to uniemożliwi otwieranie nowych kont na Twoje nazwisko, a odmrożenie jest proste, gdy będziesz potrzebować kredytu. Po drugie, sprawdź w bezpłatnym narzędziu Have I Been Pwned, czy Twój adres e-mail widnieje w znanych zestawach danych z wycieków. Po trzecie, zmień każde hasło, które było używane zarówno w naruszonym serwisie, jak i w innych kontach – ataki typu credential stuffing opierają się na powtarzaniu haseł. Powiadomienie RODO, które możesz otrzymać od europejskiej firmy, dotyczy 72-godzinnego okna od momentu, gdy organizacja dowiedziała się o naruszeniu, a nie od momentu, gdy naruszenie się zaczęło. Najważniejszą informacją w każdym liście z powiadomieniem jest konkretny typ danych, które wyciekły: wiedza o tym, czy chodzi o dokumentację medyczną, dane finansowe, czy rządowe identyfikatory, decyduje o tym, jak pilnie trzeba działać.

Tagi: cyberbezpieczeństwo, ransomware, RODO, kradzież tożsamości, naruszenie danych, ochrona danych