Кражи без лишней огласки: взлом Best Western

На прошлой неделе в The Sunday Herald вышла статья, в которой рассказывалось об индийском хакере, обчистившем постояльцев берлинского отеля сети Best Western. Сообщалось, что информация о кредитных картах была похищена при помощи трояна, установленного в компьютерной сети отеля. Данные были проданы группе российских мошенников в тот же день, когда утечка была обнаружена.
В комментариях к этой статье на сайте The Sunday Herald Дэвид Кларк, CEO группы отелей Best Western Hotels GB выступил с частичным опровержением этой информации, признав, что утечка была, но пострадало не восемь миллионов владельцев кредитных карт, а всего десять человек.

Ложь или непрофессионализм?

Что тут правда, а что нет - покажет время и следствие. Однако кое-какие вопросы можно прояснить уже сейчас. Во-первых - откуда взялось число десять? По словам Йэна Брюса, автора расследования The Sunday Herald, ровно столько записей было видно на попавшем к нему в руки скриншоте системы бронирования отеля. Из скриншота с очевидностью следовало, что записей злоумышленник мог получить и больше - была видна полоса скроллинга.

Гораздо интереснее реакция представителей Best Western. Сначала они вообще отрицали факт хищения данных, а потом нехотя признали потерю информации о десяти постояльцах.



Александр Антипов, специалист по информационной безопасности, руководитель проекта SecurityLab.ru:

"Такие хищения связаны с большим разрывом в информационных технологиях и пониманием что эти технологии надо защищать. Во многих странах, в т.ч. и России закон требует специальных механизмов защиты персональных данных, однако это мало кто соблюдает, так как защита требует огромных денег, часто проще скрыть произошедшую утечку, чем потратиться на защиту. Известный факт, становится известно не более чем об 1% всех утечек. Так что реальные масштабы утечек мало кто представляет".

Это означает, что оба фактора могли выстрелить одновременно: непрофессионализм службы безопасности как следствие общей недооценки соперника и последующее естественное желание скрыть скандал. И в этом кроется гигантская угроза всему рынку пластиковых карт. Пока такие утечки не оглашаются и виновные должным образом не наказываются, у технических специалистов не будет стимула активизировать борьбу с кражами банковской информации, и краж становится все больше. Солидарен с этим мнением и Александр Антипов.

По его словам, следует ожидать роста таких преступлений. Во-первых, возрастает ценность информации: самое безобидное, что с ней можно сделать - очистить банковский счет адресата. С ее помощью возможны любые целевые атаки на пользователя: спам, нигерийские письма, мошенничества от его имени и т.п. Норма прибыли у перекупщиков данных кредитных карт составляет, как миниум, 1000%. При таком показателе все средства, в общем-то, хороши.



Цена вопроса

Однако вернемся к данному инциденту. Сторонники того, что ничего не произошло приводят еще один аргумент. "Этого не может быть, потому что этого не может быть никогда", имея в виду кражу такого масштаба. По словам Александра Антипова, даже в России имели место куда более масштабные утечки. В то же время, размер ущерба оказывается преувеличенным журналистами: оценка потерь от кражи одной карточки в 362 фунта стерлингов представляется несколько завышенной. Отсюда получается фантастическая цифра в 2,84 млрд. фунтов стерлингов потенциального ущерба. С учетом предположительных 1000% прибыли некоторая загадочная уголовная группа из России за несколько часов перевела на счет индийского хакера 2,84 млрд. стерлингов, что равно приблизительно 3,5 млрд. евро. Часто встречающаяся оценка в сто долларов с карточки приводит к сумме в восемьсот тысяч долларов, которая кажется куда более разумной и адекватной.

Ссылка на картинку:


или загрузите файл

Добавить ключевые слова (тэги):