British Airways Hack: Ito Ay Paano Hindi Dapat Humahawak ng mga Kumpanya ang Mga Breaches ng Data

Ang mga kaguluhan ay lumilitaw sa paghahari sa British Airways, kung saan ang mga hacker ay nakawin ang mga detalye ng humigit-kumulang na 380,000 na bookings ng customer. Nagkaroon ng ilang mga mahihirap na tugon sa cyberattacks sa mga pangunahing kumpanya sa nakaraan, ngunit ang mga aksyon ng airline, sa kasong ito, ay maaaring maging isa sa pinakamahina sa kamakailang kasaysayan. Ang bahagi nito ay maaaring dahil ang mga kumpanya ay kinakailangan na ngayon ng EU upang mag-ulat ng mga pag-atake sa cyber sa loob ng 72 oras, at dahil ang impormasyon ay maaari pa ring mapawalang-bisa dahil sa patuloy na pagsisiyasat sa krimen.

Matapos ang kumpanya ay nakaranas ng mga isyu ng kapangyarihan sa loob ng mga IT system nito sa Mayo 2018, sa tingin mo na ang BA ay magkakaroon ngayon ng mga plano sa lugar upang tumugon sa mga insidente ng computer nang mas mabilis at magkakaugnay. Gayunpaman ang pinakabagong hack na ito ay lilitaw upang ipakita ang isang catalog ng mga nawalang pagkakataon.

Una, ang tadtarin ay tumagal ng mahigit sa dalawang linggo, na nakakaapekto sa mga booking na ginawa sa pagitan ng Agosto 21 at Setyembre 5. Bagaman ito ay nangangahulugan na hindi lahat ng mga pasahero ng BA ay nasa panganib - mga yaong gumawa ng mga booking sa panahong iyon - ito ay hindi pa rin malinaw eksakto kung sino ang negatibong apektado at kung mawawalan sila ng pera bilang isang resulta.

Nang ang natuklasan sa wakas ay natuklasan, ang BA ay hindi nagsimulang magbigay ng sapat na magkakaugnay at mahusay na impormasyon sa aktwal na saklaw ng data na kinuha. Ang pangunahing pahayag ng kumpanya tungkol sa tadtarin ay tumutukoy sa data na hindi kasama - pasaporte at mga detalye sa paglalakbay - ngunit hindi na-spell out na ang mga detalye ng bank card ay kasangkot, sa halip ay nagpapayo sa mga customer na makipag-ugnay sa kanilang mga bangko. Tila ito ay nagsisikap na maglagay ng isang positibong magsulid sa napakasamang balita, at nangangahulugan na ang potensyal na pagnanakaw sa kung anong mga customer ang pinaka-nag-aalala tungkol sa - ang kanilang mga detalye ng card - ay hindi naka-highlight.

Sa seksyon ng mga tanong na madalas itanong sa web page ng pahayag, sinabi nito na: "Ang mga pangalan, address, at lahat ng mga detalye ng bank card ay nasa panganib." Ngunit hindi ito nagbigay ng mga aktwal na detalye ng hack, tulad ng kung ang CVV (halaga ng pag-verify ng card) ang mga code ng seguridad na natagpuan sa likod ng mga card ay inihayag, bagaman ang BA sa ibang pagkakataon ay ibinigay ang impormasyong ito sa media. Upang hindi maipakita kung naka-encrypt o hindi naka-encrypt ang mga detalye ng bangko, nag-iiwan pa rin ng maraming tanong ang sasagot.

Upang maging ligtas sa panig, binibigyan ng BA ang lahat ng apektadong kostumer na kanselahin ang kanilang mga kard. Ang simula na ito ay humantong sa mga barado na mga linya ng telepono ng bangko dahil sa napakaliit na bilang ng mga apektadong customer. Sa kasamaang palad, sa kasalukuyan, hindi malinaw na eksakto kung sino ang aktwal na naapektuhan. Maraming mga customer ang nag-ulat ng pandaraya sa kanilang mga card.

Ang tuhod-jerk na likas na katangian ng reaksyon ay marahil dahil sa bagong regulasyon ng proteksyon ng pangkalahatang data ng EU (GDPR) na nagsasabing ang mga paglabag sa datos ng ganitong uri ay dapat iulat sa loob ng 72 oras ng pagtuklas.

Sinabi ng CEO ng BA na si Alex Cruz sa BBC na natuklasan ng kumpanya ang pag-hack noong Miyerkules ng gabi at nakipag-ugnay sa lahat ng mga apektadong customer sa Huwebes ng gabi. "Ang unang bagay ay upang malaman kung ito ay isang bagay na seryoso at kung sino ang apektado o hindi. Ang sandali na ang aktwal na data ng customer ay nakompromiso, na kapag nagsimula kaming agad na komunikasyon sa aming mga customer, "sabi niya.

Idinagdag niya: "Kami ay nangangako na magtrabaho sa anumang kostumer na maaaring naapektuhan sa pananalapi sa pamamagitan ng pag-atake na ito, at babayaran namin sila para sa anumang pinansiyal na kahirapan na maaaring naranasan nila."

Dapat tayong magpasalamat na, salamat sa GDPR, ang insidente ay hindi bababa sa mabilis na ginawa ng publiko. Ang ahensya sa pag-uulat sa Credit ay kinuha ng Equifax tatlong buwan upang iulat ang paglabag sa datos nito sa 2017, sa panahong ito ay ibinenta ng mga tagapangasiwa sa kumpanya, bagaman ang isang panloob na pagsisiyasat ay na-clear ang mga ito ng anumang tagaloob o hindi naaangkop na pangangalakal, na sinasabi na hindi nila alam ang insidente nang ginawa nila ang trades.

Si Dido Harding, ang CEO ng TalkTalk firm ng telecom, ay nagbibigay ng isa sa mga pinakamahusay na halimbawa kung paano hindi tumugon sa isang paglabag sa data. Matapos i-hack ang kumpanya sa 2015, lumitaw ang Harding sa TV na nagmumungkahi ng mga customer ang dapat magtiwala sa mga email mula sa mga address ng TalkTalk at kung saan naglalaman ng mga link sa pamamagitan ng website ng TalkTalk. Ang mga ito ngayon ay nauunawaan na karaniwang mga pamamaraan na ginagamit ng mga scammers upang kumbinsihin ang mga customer na ang kanilang mga email ay tunay.

Pangmatagalang Epekto ng Pagsasagabal sa Data

Ang maximum na pagmultahin para sa paglabag ng data ng kumpanya sa ilalim ng GDPR ay 4 na porsiyento ng paglilipat sa buong mundo. Sa 2017, ang paglilipat ng BA ay higit sa £ 12 bilyon, kaya kung ang kumpanya ay naitala na may isang mahusay na maaaring ito ay higit sa £ 480m, kahit na ang EU ay may upang gumawa ng anumang mga indikasyon ng kung ang hack ay maaaring humantong sa isang multa. Nagbigay na ang BA ng kabayaran para sa mga customer na apektado ng insidente, na maaaring maabot ang mga makabuluhang halaga lalo na ng maraming mga customer na BA alerted ng insidente ay hindi sinabi kung ang kanilang mga detalye ng card ay talagang ninakaw.

Tulad ng sa iba pang mga halimbawa ng mga paglabag sa komersyal na data, ang paunang pag-uulat ay pumasok sa presyo ng kumpanya. Ang halaga ng pamilihan ng parent group ng BA - International Consolidated Airlines Group - ay una nang nalagyan ng 3.8 porsiyento. Ngunit ito ay posibleng epekto sa tiwala ng customer na magkakaroon ng pinakamaraming pinsala.

Sa kasalukuyan, ilang mga detalye ang inilabas sa paligid ng paraan ng tadtarin. Kaya maaaring kasangkot ang mga tradisyonal na pamamaraan ng pag-hack ng pagkuha ng data mula sa isang database. Ngunit kung ito ay kasangkot sa pagkuha ng mga detalye kung saan key gumagamit pinindot sa kanilang keyboard, ito ay magkalog ang pundasyon ng aming mga digital na imprastraktura sa pananalapi sa core nito.

Kung mayroong isang bagay na nagpapakita ng pahalagahan na ito, ito ay nakatira kami sa isang lubhang mahina digital na mundo at kung saan ang mga hack maaaring pumunta undetected para sa ilang oras. Kaya kailangan namin upang bumuo ng mga sistema ng paglilipat sa pananalapi na isama ang encryption sa bawat isang hakbang ng proseso.

Ang artikulong ito, na isinulat ni Bill Buchanan mula sa The Cyber ​​Academy, Edinburgh Napier University, ay orihinal na na-publish sa The Conversation. Basahin ang orihinal na artikulo.