Atak na EuroCert - dostawcę podpisu cyfrowego

mail oczywiście późno nocny, wyciek zawiera pesele, numery dowodow osobistych

[NieMuszeWszystkichLubic]

ransomeware czyli jakiś debil otworzył załącznik z maila np. faktura.zip

[dridex_]

@NieMuszeWszystkichLubic: albo ostatni CVE na FortiOS

[Lew_Shekelsteinberg]

@NieMuszeWszystkichLubic: musiał sie ostro postarać, teraz żeby odpalić wykonywalny program z załącznika to musisz go odpakować z zahasłowanego archiwum

[sancho]

Cyfryzacja nie dla debilów. Jak to jest możliwe, że serwery mające tego typu informacje są otwarte na ataki ransomware?

[Pawel993]

@sancho: bo nie bylo kasy na bezpieczenstwo ;)

[ButtHurtAlert]

@Pawel993 @Quzin bo ludzie mają wywalone dopóki nic się nie stanie, a potem olaboga do czasu aż zapomną przyjdzie menago stwierdzi "po co płacić jak nic się nie dzieje", wyleje bezpiecznika lub ogarniętego gościa i wracamy do początku.

Dodatkowo w korpo przestarzałe szkolenia, najlepiej kupione z jakiejś losowej szkółki produkującej masowo dla korpo, będzie można odhaczyć że nasi pracownicy znają się na bezpieczeństwie, a w szkoleniu głupoty w stylu "zmieniaj

[c_kNaOstro]

Podają, że wyciekł m.in. wizerunek, czyli co, zdjęcia z dowodu właścicieli podpisów kwalifikowanych??

"Jakie dane osobowe obejmowało naruszenie?
Wskutek ataku doszło do naruszenia dostępności oraz poufności Państwa danych osobowych które mogą obejmować:
• dane identyfikacyjne;
• dane kontaktowe (adres e-mail, numer telefonu);

[isiaczek]

@c_kNaOstro: bo oni te zdjęcia nie przetwarzają które mają.
ich filozofia - skoro *.jpg i nikt nie zagląda do folderu "zdjęcia dowodów osobistych nie przetwarzać" to tak jest :)

[kutafonixor]

@c_kNaOstro: ja miałem podpisywaną umowę zdalnie przez signus i nagrywali film podczas rozmowy z weryfikatorem. Wczoraj dostałem maila z eurocert więc domyślam się że właśnie wizerunek wyciekł

[dafto]

Posiadanie jakichkolwiek danych osobowych przez większość firm powinno być zakazane.
Składasz zamówienie online? Podajesz pesel + np token, sprzedawca dostaje twoje dane, drukuje fakturę i list przewozowy i od razu traci twoje dane. Przy kolejnej wysylce ten sam proces.
Jak kontrola znajdzie jakiekolwiek dane niezwiązane z bieżącymi tematami - srogie kary.

Podczas wpisywania peselu przez firme, firma musi podac powód. Czyli np. "Realizacja transakcji #284859 sklep xyz.pl". i takie powiadomienie

[B.....2]

@dafto @Pawel993: Zgadzam sie. Mogliby też podczas zakupu obliczać hash z (imię+nazwisko+PESEL) i trzymać go w bazie razem ze szczegółami zamówienia. Podczas wycieku takie dane byłby nic nie warte, a użytkownik mógłby udowodnić że kupił dany towar przy reklamacji, bo zgadzałby się hash.

[komio]

@dafto: idealnie tak w praktyce nie da się. Chociażby z powodów księgowych i konieczności przechowywania danych faktur. Inny problem to gwarancją sprzedawcy. Rękojmia.
Itp.

[kabiz]

Kto i jaka procedura może zagwarantować, że ktoś z CERT nie współpracuje z mafią?

[ZostaneMistrzem]

@kabiz: Służby które Maciora rozgonił na cztery strony świata

[Wykoman]

@kabiz: Nigdy tego nie sprawdzisz w 100%, ale jest coś takiego jak kwalifikacje, screening itd., zmniejszamy wtedy prawdopodobieństwo takich przypadków. Mamy w Polsce wielu ekspertów cyberbezpieczeństwa, ale takie małe polskie firmy nie płacą więc ich tam nie ma. Duże też nie zawsze patrzą na kwalifikacje niestety, ale płacą sporo więcej.

[shadow_82]

ok. w takim razie pytanie - gdzie jest publicznie dostepna baza uzuytkownikow chcacych sprawdzic czy sa ofiarami tego ataku?

[DarthPejter]

@shadow_82: https://haveibeenpwned.com/ jedyna inicjatywa w tym temacie

Edit: ta strona co zabawne też kiedyś miała wyciek danych

[ruffio]

Dzisiaj telefon spanikowanych Grażyn nie przestawał dzwonić. Pytanie za kazdym razem takie same - Panie R. co robić?

Mój kołchoz ma umowę na certyfikaty z tą firmą, w lutym się kończy. Ciekawe czy kolejny przetarg wygrają, czy ich dopuszczą?

[Breda]

Państwo z dykty i kartonu zarządzane przez urzędasów debili bez kompetencji, za to zatrudnionych po znajomościach.

[Pawel993]

@Breda: panie areczku w tym roku budzet jest przewidziany na wymiane floty samochodow dla zarzadu, o bezpieczenstwie pogadamy w przyszlym roku budzetowym

[m.....d]

Cyfryzacja! Więcej cyfryzacji! Jeszcze więcej! Proszę tradycyjnie minusy.

[DrJudym]

@metaldehyd: rzeczywiście jest się czym chwalić

[DrJudym]

Cieszę się, że nie jestem jednym z was

@metaldehyd: My także się cieszymy.

[brokenik]

Tyle co do nich ostatnio przeniosłem swój podpis elektroniczny. Ładne jaja. Generalnie ja jestem ciekawy jakim kurła sposobem ktoś im się wrypał na serwer i wykradł dane a potem zaszyfrował. Nie do pomyślenia.

[hunteriarz]

@brokenik: najśmieszniejsze, że to pewnie nie była osoba tylko jakiś skrypt. A i jeszcze podziękować za podanie pomysłów na wykorzystanie danych :o)