Утечка данных

• Внешний взлом (SQLi, RCE, слабый доступ), инсайдер, уязвимость third-party, публичный S3/бэкап без пароля, утечка из CRM/биллинга
• Классика — «цепочка мелочей»: дамп в Slack, скриншот с ключами, git-репозиторий с .env на публичном хостинге
• Открытые облачные бакеты — отдельный жанр: в публичных отчётах исследователей регулярно всплывают базы клиентов, «забытые» без аутентификации

Летом 2019 года в Capital One — крупном американском банке — обнаружили утечку данных более 100 миллионов клиентов. Злоумышленница, бывший сотрудник облачного провайдера, воспользовалась ошибкой в настройке межсетевого экрана приложения и возможностью поднять запрос «внутрь» облака (SSRF). Через это она добралась до хранилища S3 с выгрузками заявок на кредитные карты.

Важно: серверы «не взламывали» классическим эксплойтом. Приложение работало штатно, но было настроено слишком широко. Клиентские файлы лежали в открытом доступе внутри облака — снаружи это было почти не видно.

Банк уведомил клиентов, заплатил штрафы по соглашению с регуляторами и потратил месяцы на расследование. Урок, который обычно повторяют в отчётах: утечка чаще начинается не с «кибератаки из фильмов», а с забытого доступа или чрезмерных прав.

Небольшая компания сдаёт бэкапы клиентской CRM в облако, чтобы «было надёжнее». Общий линк на папку отправляют подрядчику по почте. Через год линк всё ещё работает, папку находят по перебору/индексации — и база с телефонами и реквизитами оказывается в открытом доступе. Никакого взлома не было: была обычная рассеянность и отсутствие инвентаризации того, кому и на что выдан доступ.

Equifax — сотни миллионов записей. Yahoo — миллиарды учёток (2013–2014). Facebook (2019) — открытые серверы с сотнями миллионов записей пользователей. Для малого бизнеса утечка клиентской базы часто означает конкурента, который «всех перезвонил».

Стоимость инцидента (по годовым отчётам IBM Cost of a Data Breach) в последние годы держится в районе $4+ млн в среднем по миру — и растёт вместе со сложностью расследований. В России отдельная статья рисков — требования 152-ФЗ и штрафы за незащищённые персональные данные.

• Инвентаризация данных: где лежит, у кого доступ, зачем он нужен
• Шифрование at-rest/in-transit, разделение прав, отдельные учётки для сервисов
• Мониторинг egress, DLP-механизмы, контроль подрядчиков
• Готовый план реагирования: уведомление, изоляция, восстановление, юридические шаги
• Регулярное сканирование внешнего периметра — утечки часто начинаются с «мелкой» дыры на сайте