მონაცემთა დარღვევა Gambling with Lives-ში: Beacon კიბერთავდასხმა საქველმოქმედო ორგანიზაციაზე

კიბერდანაშაული არ ჩერდება იმ ორგანიზაციებთან, რომლებიც საზოგადოების ყველაზე დაუცველი წევრების მხარდაჭერას ეძღვნება. Gambling with Lives, საქველმოქმედო ორგანიზაცია, რომელიც მხარს უჭერს აზარტულ თამაშებთან დაკავშირებული სუიციდების შედეგად დაღუპულთა ოჯახებს, ცოტა ხნის წინ შეატყობინეს მონაცემთა მასიური ქურდობის შესახებ.

თავდასხმა მიმართული იყო არა თავად საქველმოქმედო ორგანიზაციის ინფრასტრუქტურაზე, არამედ მის პროგრამული უზრუნველყოფის პროვაიდერ Beacon-ზე. ეს კომპანია სპეციალიზირებულია მომხმარებლებთან ურთიერთობის მენეჯმენტში (CRM) და მართავს მონაცემებს მრავალი კულტურული და საქველმოქმედო დაწესებულებისთვის.

ინციდენტის შესახებ ინფორმაცია 6 აგვისტოს გავრცელდა, როდესაც ორგანიზაციის ხელმძღვანელებმა დაზარალებულები ელექტრონული ფოსტით გააფრთხილეს. ეს მწარე ირონიაა, რომ ადამიანები, რომლებიც უკვე დაზარალდნენ აზარტულ თამაშებთან დაკავშირებული ტრავმული გამოცდილებით, ახლა საკუთარი პერსონალური ინფორმაციის უსაფრთხოებაზეც უნდა ინერვიულონ. ინციდენტი ივლისის ბოლოს მოხდა, მაგრამ კომპრომეტირებული მონაცემების სრული მოცულობა მხოლოდ ახლა ხდება ნათელი. ინდუსტრიაში, სადაც დისკრეცია და ნდობა ყველაზე მნიშვნელოვანი ვალუტაა, ასეთი გაჟონვა ნდობის კატასტროფულ დარღვევას წარმოადგენს.

რიცხვები და ფაქტები

Beacon-ზე თავდასხმის მასშტაბები დიდია. კომპანია მხარს უჭერს 1,500-ზე მეტ საქველმოქმედო და კულტურულ ორგანიზაციას მთელი ქვეყნის მასშტაბით. Gambling with Lives არის ერთ-ერთი მრავალი დაზარალებული ორგანიზაციიდან. ჩარლზ რიჩიმ, Gambling with Lives-ის რწმუნებულთა თავმჯდომარემ, დაინტერესებულ მხარეებს ელექტრონული ფოსტით დაუდასტურა, რომ ორგანიზაციის ინფორმაცია კომპრომეტირებული იყო კიბერუსაფრთხოების დარღვევის შედეგად. მიუხედავად იმისა, რომ Gambling with Lives-ში დაზარალებული ჩანაწერების ზუსტი რაოდენობა არ იყო ექსპლიციტურად განსაზღვრული, პროვაიდერ Beacon-ის ზომა ნათელს ხდის, რომ ეს არის სისტემური ხარვეზი. ინციდენტი ივლისის ბოლოს დაიწყო და მას შემდეგ ქაოსი გამოიწვია მრავალი დამხმარე ორგანიზაციის IT ინფრასტრუქტურაში.

"Gambling with Lives-ს ეცნობა, რომ მისი ინფორმაცია კომპრომეტირებული იყო კიბერუსაფრთხოების დარღვევის შედეგად მის მესამე მხარის CRM პროვაიდერ Beacon-ზე." - ჩარლზ რიჩი, Gambling with Lives-ის რწმუნებულთა თავმჯდომარე

ფონი

ორგანიზაცია Gambling with Lives ცენტრალურ როლს ასრულებს აზარტული თამაშების გამკაცრებული კანონების შესახებ დებატებში. ის დააარსეს მშობლებმა, რომლებმაც შვილები დაკარგეს აზარტულ თამაშებთან დაკავშირებული სუიციდის გამო. ის ფაქტი, რომ ამ დაზარალებული ოჯახების სენსიტიური მონაცემები ახლა არაავტორიზებული პირების ხელში მოხვდა, განსაკუთრებით მგრძნობიარეა. Beacon სინამდვილეში ითვლება მონაცემთა მართვის თანამედროვე სტანდარტად არაკომერციულ სექტორში. თუმცა, ასეთი თავდასხმა ხაზს უსვამს დაუცველობას, რომელიც ჩნდება მაშინ, როდესაც მრავალი ორგანიზაცია იყენებს ერთსა და იმავე ღრუბლოვანი სერვისის პროვაიდერს. IT ექსპერტები ამას კლასტერულ რისკს უწოდებენ. თუ ცენტრალური კერა დაეცემა, ასობით ქვედანაყოფი ერთდროულად ზარალდება.

რატომ არის ეს მნიშვნელოვანი გერმანელი მოთამაშეებისთვის

გერმანელი მოთამაშეებისთვის, რომლებიც აქტიურობენ ონლაინ კაზინოებში Gemeinsame Glücksspielbehörde der Länder (GGL) ლიცენზიით, ეს ინციდენტი არის გადაუდებელი გაფრთხილება. გერმანიაში, 2021 წლის აზარტული თამაშების სახელმწიფო ხელშეკრულება (GlüStV 2021) მკაცრად არეგულირებს მონაცემების დამუშავებას. ცენტრალური მონიტორინგის სისტემა LUGAS ინახავს მონაცემებს, რათა უზრუნველყოს პროვაიდერთაშორისი დეპოზიტის ლიმიტის, 1,000 ევროს თვეში, დაცვა და მრავალჯერადი თამაშის თავიდან აცილება. ასევე მკაცრად კონტროლდება 1 ევროს ლიმიტის დაცვა თითო სპინზე ვირტუალური სლოტ თამაშებისთვის. თუმცა, თუ დახმარების ორგანიზაციები ან საკონსულტაციო ცენტრები, რომლებსაც ადამიანი სტუმრობს მოახლოებული დამოკიდებულების შემთხვევაში, იყენებენ არაუსაფრთხო პროგრამულ უზრუნველყოფას, GGL-ის საუკეთესო რეგულაციაც კი არ შველის მონაცემთა გაჟონვისგან მესამე მხარის პროვაიდერთან. გერმანელმა მოთამაშეებმა უნდა უზრუნველყონ, რომ ისინი იყენებენ მხოლოდ პორტალებს ოფიციალურ GGL თეთრ სიაში, რადგან ამ პროვაიდერებმა უნდა დაამტკიცონ უმაღლესი უსაფრთხოების სტანდარტები საკუთარი IT-სთვის. მიუხედავად ამისა, Beacon-ის შემთხვევა აჩვენებს, რომ ყოველთვის უნდა იკითხოს IT უსაფრთხოების კონცეფციის შესახებ, როდესაც მგრძნობიარე ინფორმაცია გადაეცემა გარე საკონსულტაციო ცენტრებს.

რას ნიშნავს ეს GGL-ის მიერ ლიცენზირებული კაზინოებისთვის

GGL-ის ლიცენზირებული პროვაიდერები გერმანიაში მუდმივი მეთვალყურეობის ქვეშ იმყოფებიან. მიუხედავად იმისა, რომ კურაჩაოს ან მალტას არალეგალური პროვაიდერები ხშირად უყურადღებოდ ეპყრობიან მონაცემთა დაცვას, გერმანელმა ოპერატორებმა უნდა დაამტკიცონ, რომ მათი CRM სისტემები და მესამე მხარის პროვაიდერები სერტიფიცირებულია. Beacon-ის მსგავსი ინციდენტი გამოიწვევს დაუყოვნებლივ შეტყობინებას მონაცემთა დაცვის ფედერალურ კომისარსა და GGL-ს გერმანიაში. კაზინოებმა უნდა უზრუნველყონ, რომ მათი მომხმარებელთა მართვის პარტნიორები არ გახდნენ აქილევსის ქუსლი. მოთამაშის ნდობა უმაღლესი აქტივია, განსაკუთრებით OASIS-ის მსგავსი ბლოკირების სისტემებთან მიმართებაში. მონაცემთა ჯაჭვის უსაფრთხოება ისეთივე მნიშვნელოვანია, როგორც თავად თამაშის უსაფრთხოება. გერმანელმა პროვაიდერებმა ეს ინციდენტი უნდა გამოიყენონ, როგორც შესაძლებლობა, გადახედონ საკუთარ მესამე მხარის კონტრაქტებს კიბერუსაფრთხოების პუნქტებისთვის.