O Verdadeiro Valor dos Dados de uma Empresa

Os dados pessoais são extremamente valiosos para a pessoa de onde se origina. Imagine o quão são valiosos os dados que uma empresa possuí, desde uma fórmula de um produto único não patenteado à dados e informações sigilosas de clientes. Existem expectativas legais globais para a proteção de informações pessoais, como as fornecidas por:

  • A Safe Harbor framework, da União Europeia –  é um padrão de privacidade ouro globalmente.
  • Singapura, onde as informações pessoais são protegidas por dez anos após a morte de um indivíduo.
  • Canadá, onde existem duas principais leis de proteção de dados pessoais – a Lei de Privacidade, que abrange os departamentos e agências do governo federal que tratam de dados pessoais e a Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA).

Essas leis e padrões foram promulgados para proteger o direito de um indivíduo a ser deixado de fora da “corrida de marketing” para encontrar, analisar e vender preferências pessoais, hábitos e padrões de gastos. Eles foram criados para estabelecer um grau de confiança entre donos de dados e usuários de dados. No entanto, é relativamente comum ouvir ou ler sobre relacionamentos de confiança quebrados como resultado de roubo de dados. Vemos quase todos os dias.

 

A pergunta para o tópico de hoje é esta: Quanto vale essa informação?

Se fôssemos mergulhar no mundo das informações roubadas, encontraríamos uma ampla gama de preços, dependendo de detalhes como o tipo de dados, o volume a ser comprado e o destino a partir do qual os dados foram coletados. Enquanto os preços variam muito, aqui estão algumas aproximações para o valor atual da informação.

 

Números de Cartão de Crédito

Em sites da “Darkweb” você pode comprar números de cartão de crédito válidos por cerca de US$ 0,50. Se o cartão de crédito vem com nomes, PINs e outras informações vitais, o valor aumenta para o intervalo de $ 2.00 a $ 2.50 por número de cartão.

 

Yahoo! Contas

Este foi provavelmente o maior roubo de dados na história, ou pelo menos que sabemos. Nós não descobrimos sobre este bem até depois do fato, mas de acordo com vários relatórios havia cerca de um bilhão de registros roubados em 2013. Três cópias do conjunto de dados vendidos por cerca de US$ 300.000 por cópia. Isso faz com que cada registro vale 1/3 de $ 0.01 em uma base por-venda.

 

Contas Bancárias

Estes são um pouco difícil definir um valor, mas em geral uma conta bancária válida, para incluir credenciais de login, varia de acordo com o valor associado com a conta.

Um indivíduo foi preso nos Estados Unidos, no verão passado, por vender credenciais de conta por US$ 10. As contas tinham saldos de US$ 100 a US$ 500, portanto, a recompensa (se pudesse ser realizada) em relação ao investimento foi relativamente alta. Para contas com saldos de até US$ 20.000, o preço saltou para a marca de US$ 70 para credenciais de login completas. Novamente, isso é baseado em uma pessoa sendo presa por vendê-las. Existem contas bancárias e nomes associados sendo vendidos de forma relativamente barata (abaixo da faixa de US$ 1,00). As informações típicas da conta bancária são vendidas a um preço bastante baixo.

 

Registros Médicos

Estes são um pouco mais interessante, como eles atualmente custam de US$ 10 a US$ 20 por registro. Isso é relativamente estável e preciso em relação às informações da conta bancária. Parece que os registros médicos têm um valor intrinsecamente maior colocado sobre eles do que os tipos mais comuns de informações financeiras.

 

As perguntas são … Por quê?

Questões de Informações Financeiras

Quando analisamos as informações financeiras, há algumas questões que se tornam facilmente aparentes. A principal refere-se à longevidade da utilidade da informação. Isso inclui números de cartão de crédito / PINs e informações de conta bancária. Detecção de fraude, velocidade de descoberta e atividade de rastreamento são os três principais problemas que os criminosos encontram com informações financeiras.

 

Detecção de Fraude

Os bancos vivem e respiram a detecção de fraude. Quando se trata de operações de cartão de crédito, todos nós fomos impedidos em um momento ou outro de usar o nosso cartão devido a uma variedade de circunstâncias que ocorrem no momento da compra.

A maioria dos bancos oferecem alertas de fraude em cartões de crédito. Muitos de nós têm cartões separados para uso comercial e pessoal, possivelmente emitidos por diferentes bancos. Detalhes sobre cada compra de cartão que eu faço são entregues como um texto para o meu telefone celular, normalmente em segundos de conclusão da transação. Esta é uma capacidade de serviço ao cliente relativamente comum. Os bancos, é claro, estão interessados ​​em reduzir o custo da fraude em suas contas gerenciadas. Os reguladores também jogam na imagem de prevenção de fraude, adicionando pressão para aplicar tecnologias para criar conjuntos de regras de detecção de fraude e alertas para o consumidor. Os consumidores exercem uma grande demanda pela implementação de proteções financeiras adequadas. Para manter a competitividade, os bancos têm de acompanhar o mercado, os reguladores e as tendências dos consumidores.

Chip e sistemas PIN também ajudam a frustrar os maus. Mesmo que cartões e números de pinos podem ser comprados, o chip também contém uma variedade de detalhes que o criminoso pode não saber que é verificado no momento da transação. Algumas implementações de chips validam o número de série do chip eo par de cartões de crédito de volta ao banco antes de liberar fundos. Há uma variedade de barreiras potenciais para bloquear o uso não autorizado da combinação de chip e PIN.

 

Velocidade de Detecção

Temos agora a capacidade de identificar rapidamente o comportamento suspeito, uma vez que se refere a nossas transações financeiras. Temos relatórios quase instantâneos de transações com cartão de crédito. Podemos definir níveis de cliques de alertas de transação para nossas contas bancárias. Estes incluem a capacidade de bloquear transações com base no valor da transação, local de compra, tempo de compra e outros parâmetros – todos personalizáveis ​​pelo titular da conta. As contas podem ser congeladas até que o comportamento suspeito seja adequadamente comunicado, analisado ou gerenciado.

 

Rastreabilidade

As instituições financeiras têm a capacidade de rastrear as transações com um alto grau de precisão como os fluxos de dinheiro entre as contas. No exemplo anterior das informações da conta de venda individual, não demorou muito para identificar e encarcerar o autor. A trilha de papel digital era um conjunto brilhante de setas apontando para o indivíduo. Os clientes que tinham suas contas esvaziadas relataram ao banco, que notificou as autoridades. Eles trabalharam com os bancos para apoiar transferências de conta de traço e prender alguns dos indivíduos envolvidos no roubo de fundos. Tudo o que precisava era conversar para levá-los ao chefe da operação que estava vendendo informações de contas. O caminho de volta para os criminosos envolvidos era relativamente claro.

Portanto, se olharmos para os dados de contas bancárias e de cartões de crédito dessas três perspectivas, a informação tem uma vida útil muito limitada e apresenta um maior potencial de identificação dos indivíduos roubando dinheiro.

 

Registros médicos

Cyber ​​criminosos amam registros médicos por várias razões:

– Profundidade de Informação

Os registros médicos contêm nomes completos, data de nascimento, informações dos pais, números de segurança social, endereços, números de telefone, informações de parentesco e uma grande variedade de outros tipos de informações pessoais. Esta informação é útil para uma ampla gama de cibercrimes. A fraude fiscal associado com roubo de identidade mais do que duplicou nos últimos dois anos, nos Estados Unidos. Para preencher uma declaração de imposto fraudulenta, todas as necessidades criminais é um nome válido, número de segurança social e endereço. Os registros médicos carregam uma grande profundidade da informação sobre um indivíduo, permitindo que uma larga escala de crimes fraudulentos seja aproveitada usando os dados. Eles fornecem informações que podem ser usadas diretamente ou em uma função de suporte para uma gama mais ampla de cibercrimes.

 

– Longevidade

Como dito anteriormente, as contas bancárias e números de cartão de crédito têm uma vida útil muito curta em termos de utilidade para um criminoso. Por outro lado, registros médicos fornecem uma vida útil muito mais longa para o cybercriminal. Pode levar meses para roubo de registro médico a ser descoberto, e um período ainda mais longo de tempo para notificar o indivíduo que seus dados foram roubados. Isso permite uma análise mais profunda da informação em um ritmo quase vagaroso.

 

– Recuperação limitada

Quando os detalhes relativos a uma conta bancária ou cartão de crédito são usados ​​para perpetrar fraudes, a recuperação é relativamente simples. A instituição financeira simplesmente pára o cartão de ser usado e emite um novo cartão, muda senhas de conta, ou fecha a conta e reabre um novo para o indivíduo. Quando um registro médico é roubado, a recuperação para um estado operacionalmente restaurado é extremamente difícil (se não impossível). Seu nome permanecerá o mesmo, e a probabilidade é alta de você manter o mesmo número de segurança social, endereço, número de telefone, tipo de sangue e outros detalhes pertencentes a você.

O único recurso viável é trabalhar com empresas de avaliação de crédito para que você possa ser notificado de comportamento suspeito, como novos pedidos de empréstimo, aberturas de conta ou pedidos de cartão de crédito. Notificações a agências governamentais e aplicação da lei podem ajudar a remediar uma situação se suas informações são usadas de forma fraudulenta, mas você está adotando uma postura muito reativa. A linha inferior é que uma vez que sua informação do registro médico é roubada, tem uma vida de prateleira muito longa da perspectiva de um criminoso.

 

– Correlação de trabalho

Registros médicos fornecem nomes, endereços, números de telefone e outras informações pessoais importantes, mas eles contêm outras peças de dados extremamente valiosos também. Um exemplo é o identificador do plano médico. Isso geralmente é representado por números ou um alfanumérico, e se relacionam diretamente com o plano médico de uma única empresa. Se um cibercriminoso conhece a empresa associada a um plano médico, é relativamente simples descobrir outros registros usando o mesmo identificador de plano.

Uma vez que é concluída, a pilha resultante de registros médicos pode ser mais peneirada para fornecer uma probabilidade ainda mais forte de ligação entre os indivíduos. O método mais simples é tomar o código do país e próximos dois ou três dígitos de um número de telefone e cruzá-los. Nos Estados Unidos, o código de área é usado, e outros sistemas de telefone em todo o mundo usam uma abordagem semelhante para determinar a localidade ou região do usuário do telefone. Também é relativamente simples para correlacionar endereços residenciais e encontrar pessoas que têm ainda uma maior probabilidade de conhecer uns aos outros.

Uma vez que essas etapas são concluídas, é relativamente simples engenheiro social uma situação que resulta em malware sendo inserido em um ambiente corporativo de TI. Os cibercriminosos podem criar e-mails de um amigo em uma empresa para outra, com formatos de documentos comumente usados ​​para hospedar código malicioso. Eles podem até mesmo determinar o departamento, como finanças, RH, recebimento, etc, e alavancar que para personalizar um pacote de entrega de malware que terá um potencial muito elevado de sucesso.

 

Conclusão

Milhões de registros médicos já foram roubados. Com a natureza estática das informações contidas neles, os criminosos cibernéticos têm anos para analisar e extrair dados, então correlacionar essas informações para criar pacotes de malware altamente personalizados. O treinamento de conscientização dos funcionários, os backups de dados ou a integração diária de assinaturas de malware em firewalls podem não ser suficientes. As medidas reativas falham.

Investigar tecnologias que empregam automação para analisar anexos suspeitos, sites da Web e outras vias de ataque. A Fortinet fornece uma identificação pró-ativa de malware e uma profundidade de análise incomparável. Isso inclui capacidades de análise de aprendizagem de máquina apoiadas por uma equipe dedicada de analistas humanos.

 

Conheça as Soluções Fortinet S3curity e veja como a segurança dos seus dados pode ser alavancadas com o Fortinet  para fornecer a proteção anti-malware mais forte disponível na indústria.

Fonte: Fortinet