Утечка данных British Airways

Летом 2018 года утечка данных затронула почти 500 000 клиентов British Airways , из которых почти у 250 000 были украдены имена, адреса, номера кредитных карт и карты CVV. Атака позволила получить доступ к системам British Airways через учетную запись скомпрометированной третьей стороны и повысить привилегии ее учетной записи после обнаружения незащищенного пароля администратора. Злоумышленник украл данные, которые British Airway записывала ненадлежащим образом, а также перенаправил пользователей сайта British Airways на поддельный сайт, предназначенный для кражи большего количества данных. В октябре 2020 года ICO оштрафовало British Airways на 20 миллионов фунтов стерлингов за нарушения GDPR, связанные с этим нарушением.

Атака

22 июня 2018 года злоумышленник получил доступ к сети British Airways с помощью скомпрометированных учетных данных сотрудника Swissport , стороннего грузоперевозчика. ^[1] В скомпрометированной учетной записи не была включена многофакторная аутентификация . ^[1]

Злоумышленник изначально был ограничен средой Citrix , но успешно вырвался из среды с помощью средств, которые BA не выпустила. ^[1] После выхода из среды злоумышленник смог повысить свои привилегии , обнаружив пароль администратора, хранящийся в открытом виде на сервере. ^[1]

26 июля 2018 года злоумышленник обнаружил текстовые файлы, содержащие данные платежных карт для операций по погашению BA. В отчете ICO это подчеркивается следующим образом:

Регистрация и хранение данных карт (включая, в большинстве случаев, номера CVV) не было предусмотренной особенностью систем BA и не требовалось для каких-либо конкретных деловых целей.
Это была функция тестирования, которая предназначалась для работы только тогда, когда системы не работали, но оставалась активированной, когда системы вводились в эксплуатацию. BA пояснила, что данные карты хранились в открытом виде (а не в зашифрованном виде) в результате человеческой ошибки. Эта ошибка означала, что система без необходимости регистрировала данные платежной карты с декабря 2015 года.
Влияние этого сбоя было в некоторой степени смягчено тем фактом, что срок хранения журналов составлял 95 дней, а это означало, что
единственными доступными данными карты были те, которые были зарегистрированы в течение предшествующих 95 дней. Тем не менее, злоумышленнику потенциально были доступны реквизиты примерно 108 000 платежных карт. ^[1]

Затем злоумышленник зарегистрировал фальшивый домен baways.com .

сторонний скрипт Modernizer, Злоумышленник взломал запущенный на сайте British Airways. Затем они изменили код, который обслуживал этот сценарий. После подтверждения платежа код фиксирует платежные и личные данные пользователя. Затем он молча отправил эти данные на baways.com с задержкой в 500 мс, чтобы пользователь ничего не заподозрил. Процесс оплаты выглядел совершенно нормально.

5 сентября третья сторона сообщила BA о вредоносном коде, действующем на их сайте. В течение 90 минут его удалили. 6 сентября BA проинформировала об ICO, и это затронуло 500 000 клиентов. ^[1]

British Airways заявила, что атака затронула бронирования с 21 августа 2018 года по 5 сентября 2018 года, при этом были скомпрометированы данные кредитных карт примерно 380 000 клиентов. ^[2] Злоумышленники получили имена, почтовые адреса, адреса электронной почты, номера кредитных карт, даты истечения срока действия и коды безопасности карт – достаточно, чтобы позволить ворам воровать со счетов. ^[2] У 77 000 клиентов были похищены имена, адреса, адреса электронной почты и подробная платежная информация, а у 108 000 человек были скомпрометированы личные данные, которые не включали номера CVV. ^[3]

Последствия

Из 500 000 жертв казенного удара у 250 000 были взяты имена, адреса, номера карт и номера CVV. Остальные жертвы потеряли меньше личной информации. ^[1]

British Airways призвала клиентов связаться со своими банками или эмитентами кредитных карт и последовать их советам. ^[2] В NatWest заявили, что из-за взлома к ним поступило больше звонков, чем обычно. ^[2] В American Express заявили, что клиентам не нужно будет предпринимать никаких действий и что они будут предупреждать клиентов о необычной активности на их картах. ^[2]

Последствия для British Airways

Первоначально сообщалось, что размер штрафа составит 1,5% от оборота авиакомпании за 2017 год и составит 183,39 миллиона фунтов стерлингов.

После переговоров и финансового напряжения, вызванного пандемией COVID-19, в октябре 2020 года Управление комиссара по информации оштрафовало British Airways на 20 миллионов фунтов стерлингов. ^[4]

4 октября 2019 года группа из 6000 пострадавших клиентов получила зеленый свет на коллективный иск British Airways. Кроме того, юридическая фирма PGMBM представляла интересы более 16 000 потерпевших и достигла конфиденциального внесудебного урегулирования. ^[5] Детали урегулирования не разглашаются.

См. также

Утечка данных EasyJet

Ссылки

^ Jump up to: ^а ^б ^с ^д ^и ^ж ^г ICO. «ICO — предпринятые нами действия — BA» (PDF) .
^ Jump up to: ^а ^б ^с ^д ^и Сэндл, Пол (6 сентября 2018 г.). «BA приносит извинения после того, как 380 000 клиентов пострадали от кибератаки» . Рейтер .
^ «Расследование BA по взлому веб-сайта выявило еще больше жертв» . Новости Би-би-си . 25 октября 2018 г. Проверено 4 ноября 2022 г.
^ Тайди, Джо (16 октября 2020 г.). «British Airways оштрафована на 20 миллионов фунтов за утечку данных» . Новости Би-би-си . Проверено 16 октября 2020 г.
^ Саймон, Колдер (13 января 202 г.). «Коллективный иск British Airways по поводу утечки данных: ключевые факты по делу о компенсации» . Независимый .

[:0-1] Jump up to: ^а ^б ^с ^д ^и ^ж ^г ICO. «ICO — предпринятые нами действия — BA» (PDF) .

[Sandle2018-2] Jump up to: ^а ^б ^с ^д ^и Сэндл, Пол (6 сентября 2018 г.). «BA приносит извинения после того, как 380 000 клиентов пострадали от кибератаки» . Рейтер .

[3] «Расследование BA по взлому веб-сайта выявило еще больше жертв» . Новости Би-би-си . 25 октября 2018 г. Проверено 4 ноября 2022 г.

[4] Тайди, Джо (16 октября 2020 г.). «British Airways оштрафована на 20 миллионов фунтов за утечку данных» . Новости Би-би-си . Проверено 16 октября 2020 г.

[5] Саймон, Колдер (13 января 202 г.). «Коллективный иск British Airways по поводу утечки данных: ключевые факты по делу о компенсации» . Независимый .

[1]

[2]

[3]

[4]

[5]