Hvert brud afslørede i gennemsnit 13 millioner registreringer, fandt Risk Based Security.
Tredjepartsrisici stiger hurtigt for virksomhedsorganisationer, hvis antallet af databrud og det samlede antal afslørede poster som følge heraf er nogen indikation.
I en nylig analyse af data vedrørende sikkerhedsbrud i 2019 afslørede Risk Based Security en kraftig stigning i hændelser, der involverer virksomheder, der håndterer følsomme data for forretningspartnere og andre kunder. Det samlede antal af sådanne tredjepartsbrud ramte 368 i 2019, op fra 328 i 2018 og 273 i 2017 - en stigning på 35 % på to år.
Derudover steg antallet af poster afsløret i disse brud med 273 % sidste år, fra lidt over 1.7 milliarder i 2018 til 4.8 milliarder i 2019. I gennemsnit blev omkring 13 millioner poster afsløret i hvert tredjepartsbrud i 2019, hvilket gør det let det værste år nogensinde nogensinde, ifølge analysen. Data, der blev afsløret i disse brud, løb hele spektret, herunder navne, adresser, fødselsdatoer, CPR-numre, kreditkortnumre, e-mailadresser og økonomiske data.
Risikobaseret sikkerhed talte i alt 7,098 databrud i 2019 - en relativt beskeden stigning på 1 % i forhold til 2018's 7,035 offentligt offentliggjorte databrud. Overtrædelserne afslørede i alt svimlende 15.1 milliarder poster, som omfattede alt fra relativt uskadelige transaktionslogfiler til PII, økonomiske data og sundhedsjournaler.
"Sikkerhedslandskabet er lige så udfordrende som altid," siger Inga Goddijn, executive vice president hos Risk Based Security. "I betragtning af tendensen over de seneste par år nu, forventer, at antallet af begivenheder fortsætter med at vokse, mens antallet af afslørede poster i høj grad vil blive drevet af antallet af utætte databaser og tjenester, der afsløres."
Selvom det samlede antal brud kun steg en smule fra år til år, var antallet af afslørede poster i 2019 omkring 284 % større end i 2018. Men det skyldtes i høj grad fire hændelser, der alene tegnede sig for omkring 8.5 milliarder af de 15.1 milliarder poster i alt, der blev afsløret.
Risk Based Security identificerede de fire brud som involverer smart home-produktfirmaet Orvibo; kinesisk e-handelshandler LightInTheBox; e-mail marketing selskab Verifications.io; og et ukendt firma, der administrerer data for dataaggregatorer, herunder Oxydata og People Data Labs.
Alle fire brud skyldtes, at data blev lagt ind i åbne, forkert konfigurerede databaser, som derefter blev gjort offentligt tilgængelige over internettet for enhver. Hvis man ser bort fra disse databrud, ville det samlede antal poster, der blev afsløret sidste år, stadig have været højere end antallet i 2018, men med relativt små 1.3 milliarder poster.
Karen Bruner, teknisk evangelist hos containersikkerhedsfirmaet StackRox, siger, at stigningen i brud, der involverer clouddatabaser og tjenester, er resultatet af dårlig sikkerhedshygiejne. "Alle de store cloud-udbydere tilbyder de nødvendige kontroller for at holde dataene i deres cloud-buckets private, men kunderne skal bruge dem," siger Bruner.
Uerfarne cloud-brugere vil nogle gange fjerne al beskyttelse, når de har problemer med at få adgang til data fra applikationer. Den uerfarenhed går ofte hånd i hånd med ikke at udføre bedste praksis, som at scanne deres cloud-infrastruktur for sikkerhedsfejlkonfigurationer, siger hun. "Og når sikkerheden er konfigureret korrekt til at begynde med, kræver det kun én kundeændring for at slette den og gøre bøttens indhold offentligt," tilføjer Bruner.
Webbrud afslørede de fleste rekorder
Som i tidligere år var antallet af brud, der involverede eksterne hackere, ondsindede insidere og fra ulykker og uagtsomhed, flere end brud, der stammer fra andre årsager. Webbrud forårsaget af fejlkonfigurerede tjenester og manglende overholdelse af grundlæggende hærdningspraksis resulterede imidlertid i et langt større antal afslørede poster. For eksempel, selvom næsten 5,200 databrud skyldes hacking, afslørede de kun omkring 1.5 milliarder poster sammenlignet med næsten 13.6 milliarder poster fra blot 343 webbrud.
Sam Rubin, vicepræsident hos Incident Response og risikostyringsfirmaet Crypsis Group, siger Risikobaseret sikkerhedsrapport fremhæver de udfordringer, som moderne it-miljøers voksende kompleksitet og angrebsflade udgør.
"Skyen er yderst muliggørende, men med så mange cloud-udbydere i det typiske virksomhedsmix, har de fleste it-teams flere modeller med fælles ansvar at administrere," siger han.
Mindre organisationer er lige så tilbøjelige til at bruge cloud-udbydere som virksomheder, men alligevel er de mere udfordret med det personale, der er nødvendigt for at administrere bedste praksis for cloud-sikkerhed. Store virksomheder har mere kvalificeret personale, men har en tendens til at have et mere ekspansivt multicloud-terræn at navigere i, siger han. "Og desværre er cloud kun én udfordring, virksomheder skal løse," siger Rubin.
Relateret indhold:
Jai Vijayan er en erfaren teknologireporter med over 20 års erfaring inden for IT-fagjournalistik. Han var senest seniorredaktør hos Computerworld, hvor han dækkede spørgsmål om informationssikkerhed og databeskyttelse for publikationen. I løbet af hans 20-årige … Se hele bio
Flere indsigter
