Cybersecus дайджест

1. Тот взлом SPG/Marriott, при котором за 4 года утекло данных на 500 млн человек? NYT пишет, что это дело китайских хакеров, работавших на министерство государственной безопасности
https://www.nytimes.com/2018/12/11/us/politics/trump-china-trade.html

2. Больше года назад я писал о взломе Equifax — кредитного бюро в США, при взломе которого утекло данных на почти 150 млн американцев, причем там все — от имени до номера социального страхования, и последствия для многих — на всю жизнь. Так вот, Конгресс США опубликовал доклад об этом взломе, из которого следует, что этот взлом вполне можно было предотвратить. Я просто оставлю цитату из отчета тут:

Equifax did not see the data exfiltration because the device used to monitor ACIS network traffic had been inactive for 19 months due to an expired security certificate. On July 29, 2017, Equifax updated the expired certificate and immediately noticed suspicious web traffic.

Рука, встречай лицо.

3. История с австралийским законом о шифровании точно пока не закончилась. Вот большое открытое письмо, подписанное огромным количеством экспертов по безопасности.

Вот хорошая статья с FAQ об этом законе: https://www.zdnet.com/article/whats-actually-in-australias-encryption-laws-everything-you-need-to-know/.

А вот, например, что пишут об этом разработчики менеджера пароля 1Password, часть из которых работает в Австралии — они реально опасаются, что правительство Австралии может склонить кого-то из сотрудников к тому, чтобы вставить бэкдор в продукт.

Утечка данных Starwood/Marriott

Новость дня — это, безусловно, анонс компании Marriott об обнаружении утечки данных на 500 миллионов гостей гостиниц сети Starwood, которую Marriott приобрел в 2016 году. Во время расследования обнаружилось, что злоумышленники получили доступ к сети Starwood еще в 2014(!) году. Среди этих 500 млн записей около 327 миллионов включают в себя некую комбинацию данных из имени, почтового адреса, номера телефона, адреса электронной почты, даты рождения, номера паспорта(!), даты резервирования, информации о прибытии и убытии, и тд. У некоторых посетителей гостиницы в том числе утекла и их платежная информация, хотя Marriott не раскрывает информацию о количестве таких записей. Информация о платежных средствах была зашифрована с AES-128, но компания утверждает, что компоненты, необходимые для расшифровки этой информации, тоже были похищены(!).

Из информации, опубликованной Marriott, непонятно, кто именно получил доступ к данным и каким образом это произошло. Компания опубликовала также отдельный вебсайт, содержащий в себе детальную информацию о том, что произошло, с большим количеством часто задаваемых вопросов и ответов: https://answers.kroll.com. 30 ноября затронутым взломом пользователям компания разошлет имейл с дополнительным ведомлением.

Если вы когда-либо останавливались в одном из перечисленных ниже отелей, ваши данные, скорей всего, попали в утечку:
W Hotels, St. Regis, Sheraton Hotels & Resorts, Westin Hotels & Resorts, Element Hotels, Aloft Hotels, The Luxury Collection, Tribute Portfolio, Le Méridien Hotels & Resorts, Four Points by Sheraton и Design Hotels.

It never ends, this shit.