Názory k článku Zaměstnanec T-Mobilu ukradl data o zákaznících [AKTUALIZOVÁNO]

Vždy mě dostane do tranzu ta neschopnost "IT" profesionálů prodat kradené data. Zero skills, zero OPSEC

Tak ona to nebude sranda, prodat data za relevantni cenu.
Jasne, prodavat je po deseti dolarech na netu je jednoduche, ale to je houby loupez :-)

Frajer prostě cenu přepálil, přečetl si na lupě jak jsou ty úžasný big data cenný, těšil se že bude bambilionář a nakonec zjistil že už ty firmy data maj a za cenu jetýho ajfounu

které má podpořit jednu stranu boje o policii, aby se ukázalo, že daný policejní útvar potřebujeme. Jinak samotný čin je podobného rázu, jako čin programátora jedné banky, který si v 90. letech na svůj účet převedl 50 milionů, pak nevěděl co s nimi a skladoval je v garáži, nakonec se tuším sám udal.

Co to s tim ma spolecneho?

Agenda setting, vyhrabali nějaký případ, který se jim hodil do krámu, a předhodili ho médiím. Důkazy nepřímé, nicotnost samotného "případu", zapadá do mytologie strachu dnešní společnosti, souvisí s podobným případem, který se nedávno stal ve Velkém Světě.

Propaganda je vždy zaměřena na jednodušší jedince, kterým se sugeruje, bojte se, Twitteru ukradli hesla, bojte se, i u nás v Kotlince se kradou hesla, ale máme řešení. Je tu Velký Bratr, srdcař, který nad vámi bdí a ochrání vás, OOUZ :-)))

Každá zpráva v médiích je manipulace, o samotném obsahu nemá smysl přemýšlet, zajímavé jen je přijít na to, kdo a proč to nechal zveřejnit :-)))

To je informace, nikoliv samotný obsah zprávy.

No v médiích informace nehledejte :-))) Tam jsou jen samé manipulace. Ještě reklama je to nejkvalitnější co v nich je, alespoň slouží k dosažení nějakého reálného výsledku, který je měřen ziskem, takže se pohybuje v optimálních mezích. Což o politických mediálních manipulacích neplatí, ty se rády zvrhnou v kolektivní bludy, jako dnes v Německu a jejich jediným pozitivním výsledkem může být snad jedině to, že přispějí k pádu vadného systému.

Pokud je informace realna, tak jde hlavne o velmi vazny bezpecnostni incident, ktery by ve velke firme vubec nemel byt mozny. Pokud to T-Mobile navic nedetekoval sam...

V beznem systemu dane velikosti by mely zacit svitit varovna svetelka uz ve chvili, kdy dany pracovnik data ve velkem stahuje. To, ze jakykoliv pracovnik se muze dostat ke vsem nezasifrovanym informacim, sama o sobe znamena, ze nekde jsou vazne bezpecnostni chyby.

Bezpečné systémy existují jen v hlavách jednodušších lidí.

Není nad složité lidi!

Bezpečný systém by znamenal, že jeho účinnost se blíží 100% a to prostě už z "fyzikálního" hlediska není možné.

A vlastně co je to bezpečnost, čím ji měříte?

A pokud se T-Mobile chce tvářit jako slušná firma, tak by měli o celé věci své zákazníky, a taky veřejnost, informovat pravdivě a v patřičném detailu. Zatím to vypadá tak, že já u nich mít byznys, utíkám okamžitě pryč. Vím sice, že není moc kam, ale takovou věc takto zamést pod koberec je vrcholně trapné, přizdisráčské, neprofesionální a nebezpečné.

Vím sice, že není moc kam

To je ten drobny problem :-) Navic ty data stejne prodavaji dalsim subjektum, ostatne je to i nekde v podminkach na strance 456 ...

Tady by spis mela nasledovat znatelna pokuta a k tomu vysetrovani, jak k tomu vubec doslo.

To není univerzální pravda. Na data máte několik požadavků:
- zajistit, že jsou dostupná (data availability)
- zajistit, že jsou v pořádku (data integrity)
- zajistit, že nejsou podvržená (data accountability)
- zajistit, že k nim má přístup jen ten, kdo ten přístup mít má (data security)

Vždy se provádí audit a zvažují se jednotlivé požadavky. Ta poslední kategorie je obvykle ta nejméně důležitá. Škody způsobené tím, že si data přečte někdo, kdo nemá, jsou až na výjimky mnohem menší, než škody, když data nejsou dostupná, kdy jsou rozbitá nebo když je může někdo neoprávněný přepsat. Takže ta varovná světýlka tam asi jsou, ale dost možná je to jen warning.

A ještě je tu ten fakt, že dotyčný pracovník k datům přístup měl mít. Možná vás to překvapí, ale je to běžná praxe ve všech oborech. Nechci vás děsit, ale kupříkladu noční hlídač má klíče. Policisté nosí zbraně. Chirurg používá skalpel. A IT admini mají administrátorské přístupy. Osoba zodpovědná za pořizování záloh a jejich fyzické zabezpečení (odvoz do trezoru) má práva pořizovat zálohy a fyzicky s nimi manipulovat. Ano, je tu možnost se inspirovat jadernými zařízeními, přístup do serverovny udělat na "otočení dvou klíčů", zálohy dělit na dvě pásky a nikomu nedovolit fyzický přístup k oběma zároveň atd. Ale to nezaplatíte.

Nechci vas strasit, ale v profesni sfere neni uplne bezne, ze administrator databaze ma pristup k datum milionu zakazniku.

Existuji na to pomerne jednoducha pravidla zalozena na rozlozeni pravomoci. Admin se muze podivat do databaze na meta informace, ale k realnym uzivatelskym datum nema klic, napriklad.

Co se tyce marketingove databaze, tak bud se z toho pocitaji statistiky a v tom pripade se odstrani sloupecky s osobnimi udaji, nebo se z toho ctou ty samotne osobni udaje a v tu chvili urcite nepotrebujete celou databazi.
Pokud ma dany uzivatel pristup treba k vyhledavani a muze se dostat k udajum jakehokoliv uzivatele (napr. technicka podpora), tak se mu blokuje pristup tak, aby nemohl data stahovat ve velkem.

Neexistuje v podstate zadny use case, kdy by nejake zamestnanec mel mit pristup k cele nezasifrovane databazi. Proste neexistuje.

U malych firem se na takova pravidla samozrejme nehraje, ale u firmy s miliony uzivatelu (tretina obyvatel CR je v nektere jejich databazi) je tohle pomerne kriticka chyba.

Mimochodem, pokud jde o marketingova data, tak jde minimalne o kombinaci jmeno uzivatele a telefonni cislo, pripadne muze jit i o adresu a ruzne pomocne informace (napr. rodinny stav, pocet deti, pouzivany tarif). To uz lze pouzit k velmi sofistikovanemu socialnimu hackovani.

Ano, technicka reseni jsou ... ale nikdo je nepouziva, ani firmy o rad vetsi ne. Proc? Jednoduse proto, ze se jim to nevyplati. Co jim realne hrozi? Naprosto nic. Jestli za to dostanou "nejvetsi pokutu v historii 2MKc" (jako ze nedostanou) coz je jejich 10s zisk ...

Asi jste nikdy nevidel databazi, ze? Jak by asi administroval admin DB bez prav ke vsemu?

2a: Obavam se, ze databazi jste vzivote nevidel vy. Administrator vubec k datum pristup mit nemusi.

Data totiz mohou byt (napriklad) sifrovana, a administrator nema klic. Realne ta data totiz nanic nepotrebuje. Defakto nemusi mit ani opravneni v databazi k datum. Staci mu, pokud muze napriklad databazi jako takovou zalohovat.

Pokud se budeme bavit o administratorovi aplikace (coz pak musi byt nekdo jiny), tak mu bohate staci pristup k nejakemu omezenemu vzorku dat. Opet, nepotrebuje pristup k cele databazi.

Dalsim clovekem napriklad muze byt auditor, ktery jediny ma opravneni k logum a zadny administrator nemuze ty logy ovlivnit. Tudiz se vi kdy a co delal.

Pochopitelne to vyzaduje jak technicka, tak administrativni opatreni = stoji to penize.

Jenže když tyhle věci kromě vydávání státu nabízíš ještě k tomu jako službu (1 2), tak postupně dáváš přístup víc a víc lidem…

Únik dat musí nahlásit firmy v telko sektoru již dnes.
https://www.uoou.cz/oznameni-podle-zakona-c-127-2005-sb/ds-1569/p1=1569

Zrejme jde o zabezpeceni jako v pocatcich zeleznice, kdy se na jednokolejne trati predaval jeden klic, takze na konci "byl zpet" :-)

Ze ale media papouskuji podobnou pitomost bez dalsiho komentare je jen ukazkou jejich silene prace.

Připomněl jsem si, kdysi komusi z nějakého důležitého Bohu milého ouřadu někdo čórnul služební notebook. Tisková mluvčí z onoho blázince vystoupila před médii a prohlásila, že důležitá data z onoho notebooku nemohou být zneužitá, protože tam jsou zakódovaná do nul a jedniček.

A měla pravdu

Tak si říkám, když má zákazník podepsaný papír s jakoukoliv společností, kde se píše obvyklé "podle paragrafu ...nakládání s daty zákazníky, chráníme data atd..." tak je za únik dat o zákazníkovi (jakýchkoliv) také daná společnost odpovědná?

Tedy 1,5 milionu klientů teď může T-mobile zažalovat, protože společnost T-mobile zneužila prostřednictvím svého zaměstnance a nedbalosti data o svých zákaznících.

Vždy, když mi zavolá nějaké neznámé číslo na soukromý mobil, který jsem dal pouze rodině, zjišťuji kde číslo vzali a až pak je pošlu do prde...

No nevím, když otravovali ve svátek, tak mi řekli, že číslo vygeneroval náhodně počítač :-)

Coz je pochopitelne funkcni postup.

Vyplyvajici z primitivniho ciselneho identifikatoru, ktery patri do technickeho muzea.

Vždyť to je pravda. Populárních předčíslí není zas tolik (602, 603, 607, 308, 737, 734…) a každé má jenom milion možností. Aktivních SIM karet je něco jako 14 milionů, takže ten prostor je velmi zahuštěný.

No nevim, jednou jsem mel co docineni treba s O2, a hned mi zacali volat podivne spolecnosti. A takovych zkusenosti je vice, i s jinymi firmami, takze podobne "kradeze" nebudou asi tak ojedinele :-).

Neříká se "krádeže", ale sdílení.

Obecně data nelze úplně zabezpečit nikdy. V tomto případě je problém ve výběru zaměstnance. Podobné jsou krádeže peněz zaměstnanci ochranky. V podstatě to úplně zabezpečit nelze nikdy. Různé ochranné SW jsou k ničemu. To jsou jenom reklamní řeči prodejců... Pokud dostanete data na obrazovku, ukrást je můžete vždy...

Vyfotit udaje 1.5 mio zakazniku z obrazovky - no, to by si ty prachy snad i zaslouzil :-)

Proc? To prece neni zadny problem.

Pro zacatek si zkuste vyfotit jen 1000 snimku. Mozna pochopite ...

Je něco jiného kdyby ty údaje byly "kusovky" (prostě zadá číslo a má údaje zákazníka" a tohle - kdy měl možnost zcela zjevně vylistovat "všechny" údaje o všech, a ty si stáhnout - aniž by tam byl nějaký systém kontroly, anonymizace, cokoli.

Jasně, když potřebuje údaje o konkrétních klientech, může specifikovat které. Na takovýchto datových souborech by ale vůbec neměla být možnost to tímto způsobem vylistovat pokud údaje nejsou buď "statistika", nebo po anonymizaci.

Třeba to byl admin toho systému. A udělat to tak, aby k tomu nemohl ani ten, když současně s těmi daty potřebuješ často pracovat, je dost složité.