⚡ Não perca: notícia importante no ar! ⚡
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O Information Commissioner's Office multou a South Staffordshire Water Plc e a controladora South Staffordshire Plc em £ 963.900 (US$ 1,3 milhão) por um ataque cibernético que expôs os dados pessoais de 663.887 clientes e funcionários.
A empresa fornece diariamente 330 milhões de litros de água potável a 1,6 milhão de consumidores e, em 2022, divulgou que foi alvo de um ataque cibernético que interrompeu suas operações de TI.
Na época, a empresa rejeitou as alegações da gangue de ransomware Cl0p, que reivindicou o ataque (após inicialmente identificar incorretamente a vítima), mas as amostras de dados vazadas pareciam genuínas.
A investigação da OIC confirmou agora que os dados vazados eram de fato autênticos, pertencentes à South Staffordshire Water Plc, e também observou que o compromisso havia realmente começado em setembro de 2020.
“ Multamos a South Staffordshire Plc e a South Staffordshire Water Plc (juntas South Staffordshire) em £ 963.900 após um grave ataque cibernético que resultou na extração e publicação de informações pessoais de 633.887 pessoas na dark web”, diz o anúncio da OIC.
“O ataque, que remonta a setembro de 2020, mas ocorreu principalmente entre maio e julho de 2022, expôs falhas significativas na abordagem da empresa à segurança de dados e deixou clientes e funcionários vulneráveis por quase dois anos.”
Segundo a ICO, a violação ocorreu por meio de um ataque de phishing que permitiu aos invasores instalar malware nos sistemas da empresa. O malware permaneceu sem ser detectado por 20 meses.
Entre maio e julho de 2022, o invasor aumentou os privilégios em toda a rede da South Staffordshire Plc e obteve acesso de administrador de domínio.
A violação só foi descoberta em julho de 2022, depois que problemas de desempenho de TI desencadearam uma investigação.
Os dados vazados incluíam nomes completos, endereços físicos, endereços de e-mail, números de telefone, datas de nascimento, credenciais de contas de clientes, detalhes de contas bancárias e dados de RH de funcionários, como números de seguro nacional.
A ICO encontrou diversas falhas de segurança que levaram a este incidente de exposição de dados, incluindo:
Controles insuficientes para evitar escalonamento de privilégios
O monitoramento cobriu apenas cerca de 5% do ambiente de TI
Uso de software obsoleto, como Windows Server 2003
Gerenciamento deficiente de vulnerabilidades e patches de segurança ausentes
Falta de verificações regulares de segurança internas e externas
Estas falhas constituem uma violação dos requisitos de proteção de dados do Reino Unido, disse o regulador, razão pela qual foi imposta uma multa.
O montante inicial era maior, mas como South Staffordshire admitiu a responsabilidade antecipadamente, cooperou com a investigação e concordou em chegar a um acordo sem recurso, o ICO reduziu a pena em 40%.
99% do que o Mythos encontrou ainda não foi corrigido.
A IA encadeou quatro dias zero em uma exploração que contornou os sandboxes do renderizador e do sistema operacional. Uma onda de novas explorações está chegando.No Autonomous Validation Summit (12 e 14 de maio), veja como a validação autônoma e rica em contexto encontra o que é explorável, prova que os controles são válidos e fecha o ciclo de remediação.
Reivindique seu lugar
A empresa fornece diariamente 330 milhões de litros de água potável a 1,6 milhão de consumidores e, em 2022, divulgou que foi alvo de um ataque cibernético que interrompeu suas operações de TI.
Na época, a empresa rejeitou as alegações da gangue de ransomware Cl0p, que reivindicou o ataque (após inicialmente identificar incorretamente a vítima), mas as amostras de dados vazadas pareciam genuínas.
A investigação da OIC confirmou agora que os dados vazados eram de fato autênticos, pertencentes à South Staffordshire Water Plc, e também observou que o compromisso havia realmente começado em setembro de 2020.
“ Multamos a South Staffordshire Plc e a South Staffordshire Water Plc (juntas South Staffordshire) em £ 963.900 após um grave ataque cibernético que resultou na extração e publicação de informações pessoais de 633.887 pessoas na dark web”, diz o anúncio da OIC.
“O ataque, que remonta a setembro de 2020, mas ocorreu principalmente entre maio e julho de 2022, expôs falhas significativas na abordagem da empresa à segurança de dados e deixou clientes e funcionários vulneráveis por quase dois anos.”
Segundo a ICO, a violação ocorreu por meio de um ataque de phishing que permitiu aos invasores instalar malware nos sistemas da empresa. O malware permaneceu sem ser detectado por 20 meses.
Entre maio e julho de 2022, o invasor aumentou os privilégios em toda a rede da South Staffordshire Plc e obteve acesso de administrador de domínio.
A violação só foi descoberta em julho de 2022, depois que problemas de desempenho de TI desencadearam uma investigação.
Os dados vazados incluíam nomes completos, endereços físicos, endereços de e-mail, números de telefone, datas de nascimento, credenciais de contas de clientes, detalhes de contas bancárias e dados de RH de funcionários, como números de seguro nacional.
A ICO encontrou diversas falhas de segurança que levaram a este incidente de exposição de dados, incluindo:
Controles insuficientes para evitar escalonamento de privilégios
O monitoramento cobriu apenas cerca de 5% do ambiente de TI
Uso de software obsoleto, como Windows Server 2003
Gerenciamento deficiente de vulnerabilidades e patches de segurança ausentes
Falta de verificações regulares de segurança internas e externas
Estas falhas constituem uma violação dos requisitos de proteção de dados do Reino Unido, disse o regulador, razão pela qual foi imposta uma multa.
O montante inicial era maior, mas como South Staffordshire admitiu a responsabilidade antecipadamente, cooperou com a investigação e concordou em chegar a um acordo sem recurso, o ICO reduziu a pena em 40%.
99% do que o Mythos encontrou ainda não foi corrigido.
A IA encadeou quatro dias zero em uma exploração que contornou os sandboxes do renderizador e do sistema operacional. Uma onda de novas explorações está chegando.No Autonomous Validation Summit (12 e 14 de maio), veja como a validação autônoma e rica em contexto encontra o que é explorável, prova que os controles são válidos e fecha o ciclo de remediação.
Reivindique seu lugar
#samirnews #samir #news #boletimtec #reino #unido #multa #fornecedor #de #água #em #us$ #1,3 #milhão #por #expor #dados #de #664 #mil #clientes
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário