- Haker operujący na wyciekach polskich kont
- Zakładamy, że haker ma jako pierwszy dostęp do wycieku (kupuje dane w dark web) zanim informacja trafi do publicznej sieci
- Kalkulację przyjmujemy w oparciu o popularny ostatnio atak wykorzystujący przejęcia konta Facebook i wyłudzenie Blika
- Zakładamy, że przeciętnie aktywne konto na Facebooku ma 30 znajomych korzystających z Messengera
- Spośród tych 30 osób, jedynie 5% (1.5 osoby / shakowane konto), w dobrej wierze, przeleje Blikiem średnio 200 zł (znamy takich, co „kliknęli” 2000 zł)
Dziennie do internetu (i tej mniej oficjalnej części tzw. Dark web) trafia od kilku do kilku milionów zestawów e-mail + hasło z wycieków od dostawców treści, sklepów internetowych, aplikacji mobilnych, gier. Większość dostawców, na całe szczęście, przechowuje hasła w formie zaszyfrowanej.
Zróbmy podglądową kalkulację w oparciu o wskaźniki, które jako Inveo analizujemy w corocznych raportach, ile można potencjalnie na takiej nielegalnej działalności zarobić.
Zachęcamy do zabawy „kalkulatorem” zarobków hakera i eksperymentowania z
założeniami.
My z zasady przyjęliśmy bardzo ostrożne początkowe wartości.
Potencjalny miesięczny zarobek, przy pracy 2 dni w tygodniu:
Rocznie:
Widać wyraźnie, że potencjalne korzyści z nielegalnej działalności hakerskiej tylko w zakresie jednego typu ataku, nie wliczając okupów i dalszej odsprzedaży danych (np. historii z Messengera czy Whatsapp),
są kolosalne.
Trzeba w tym miejscu zderzyć się z trudnym pytaniem - jaką część budżetu firmy przeznaczamy na ochronę danych?
Będziemy brutalni - jeżeli ktoś uważa, że sam antywirus za kilkadziesiąt złotych rocznie zapewnia bezpieczeństwo, to sam siebie oszukuje.
Dla hakera najlepszym "klientem" jest ten, któremu wydaje się, że jest bezpieczny.
Pamiętajmy, że działy IT i niezależni informatycy mają dbać o ciągłość działania i realizację wdrożeń wspierających procesy biznesowe. Nie możemy od nich oczekiwać, że tak jak hakerzy, poświęcą cały swój czas i wiedzę tylko i wyłącznie na czynności związane z bezpieczeństwem danych.
Dodatkowo uważamy, że na bezpieczeństwo danych powinny zwracać uwagę osoby zewnętrzne, które nie mają konfliktu interesów z działem IT.