De 5 værste datalæk i 2024 + Hvad de lærer os

2024 var endnu et rekordår for cyberkriminelle – og ikke på en god måde for resten af os. Fra massive læk af legitimationsoplysninger til kompromittering af forsyningskæder var dette års databruds enorme omfang og kreativitet nok til at holde selv de mest erfarne sikkerhedsteams vågne om natten.

Det bemærkelsesværdige er ikke kun antallet af hændelser, men også hvordan databrud udvikler sig, målretter oversete sårbarheder og udnytter nye angrebsflader som AI-genererede phishing-svindelnumre eller fejlkonfigurationer i skyen. Fra offentlige registre til telekommunikationsgiganter var ingen sektor beskyttet mod cyberkriminelles voksende raffinement. 

Som tekniske ledere kender I indsatsen: skade på omdømmet, regulatoriske konsekvenser og den altid nærværende trussel om kundefrafald. Hvis 2024 lærte os noget, er det, at vores tilgange til sikkerhed skal være lige så dynamiske og ressourcestærke som de modstandere, vi står over for.

Vlad Cristescu, chef for cybersikkerhed hos ZeroBounce, siger, at hans virksomhed lever og ånder for cybersikkerhed. Han fortalte, hvordan de tackler udfordringer og holder systemerne sikre:

• Zero Trust-filosofi: Ingen, hverken internt eller eksternt i virksomheden, får et fripas. Alle brugere og enheder skal bevise, at de hører til.
• Konstant overvågning: Vi bruger intelligente værktøjer til at holde øje med alt mistænkeligt døgnet rundt.
• Uddan teamet: Cybersikkerhed er ikke kun IT-afdelingens ansvar; det er alles ansvar. Vi træner vores team i at opdage phishingmails og andre trusler.
• Forbered jer på det værste: Vi har ikke bare en plan for håndtering af hændelser; vi øver os også i den, så vi er klar, hvis der sker noget.
• Vælg partnere med omhu: Vi stiller høje krav til vores leverandører, fordi vi ved, at deres sikkerhed påvirker vores.

"Hvert databrud minder os om, at cybersikkerhed ikke er noget, man kan sætte op og glemme. Det er en løbende prioritet, og vi er alle ansvarlige. Hvis vi lærer af det, der skete i 2024, og forbliver årvågne, vil vi alle være bedre forberedt på, hvad der end kommer," understregede Cristescu.

I denne gennemgang undersøger jeg fem af 2024's største databrud: National Public Data, Ticketmaster, Dell, AT&T og Change Healthcare, og deler førstehåndsindsigter fra brancheeksperter.

Hvert af disse databrud fremhæver forskellige sårbarheder og giver os læring i, hvordan vi bedre kan beskytte data i en stadig mere digital verden.

Ticketmasters databrud

I juni 2024 hævdede hackergruppen Shiny Hunters at have stjålet kundeoplysninger fra Ticketmaster og Live Nation, en global leder inden for billetsalg og eventhåndtering, hvilket berørte cirka 560 millioner personer.

“ShinyHunters er en gruppe af trusselsaktører, der er kendt for med succes at bryde ind i virksomheder og sælge de kundedata, de får adgang til, på det sorte marked," bemærker John Paul Cunnigham, CISO hos Silverfort."I dette tilfælde kom angrebet via en administreret tjenesteudbyder, som Ticketmaster benyttede.”

De stjålne data omfattede navne, adresser, kontaktoplysninger, kreditkortoplysninger og billetordrer, hvilket medførte risiko for økonomisk svindel og identitetstyveri. Databruddet afslørede sårbarheder i Ticketmasters datastyringspraksis og understregede risiciene ved at opbevare store mængder personlige og økonomiske oplysninger.

Konsekvenserne af Ticketmasters databrud var vidtrækkende. Mange kunder stod over for øget risiko for økonomisk svindel og identitetstyveri, hvilket fik Ticketmaster til at udsende advarsler og råde de berørte personer til at holde nøje øje med deres økonomiske konti. Databruddet medførte også skade på Ticketmasters omdømme, da kunder og partnere udtrykte bekymring over virksomhedens evne til at beskytte deres personlige oplysninger.

Ifølge Cunningham,"Der skal være større fokus på både menneskelige og maskinelle identiteter, der anvendes i forbindelse med udførelsen af tjenester og integrationer med tredjeparter og tjenesteudbydere. Organisationer forsøger at stoppe ondsindede aktører med et kludetæppe af identitetskontroller og -værktøjer og stoler ofte for meget på tredjepartsattesteringer såsom SOC2-rapporter."

"Disse punktløsninger fungerer i siloer og sikrer kun det, de kender. Mange virksomheder er afhængige af en blanding af en eller flere udbydere af cloudidentitet (IdP'er) og andre punktløsninger for at sikre det hastigt voksende antal identiteter. Angriberne ved dette og udnytter sikkerhedshullet til at bevæge sig fra den ene del af en organisation til den næste for at stjæle data. Identitet er ekstremt distribueret, men sikkerheden behøver ikke at være det. Uden et samlet sikkerhedslag vil identitets- og sikkerhedsteams fortsat have svært ved at beskytte det hastigt voksende antal identiteter, hvilket går ud over sikkerhed og produktivitet."

Hvad lærte Ticketmaster-bruddet os? Cristescu mener,"Vi er kun så stærke som vores svageste leverandør. Hvis en tredjepart, du er afhængig af, ikke er sikker, er dine data i fare."

Så hvad kan organisationer gøre?"Se nærmere på dine partnere. Revider dem regelmæssigt, stil kritiske spørgsmål om deres sikkerhedspraksis, og vær ikke bange for at gå din vej, hvis de ikke kan leve op til dine standarder," fortsætter Cristescu.

AT&T-databrud

AT&T, en af de største telekommunikationsvirksomheder i USA, blev i juli 2024 udsat for et databrud, der berørte cirka 70 millioner kunder. Bruddet blev forårsaget af et sofistikeret cyberangreb, der målrettede AT&T's kundedatabase og førte til eksponering af følsomme oplysninger såsom kunders navne, telefonnumre, e-mailadresser og faktureringsoplysninger.

AT&T-bruddet fremhævede de voksende trusler, som telekommunikationsvirksomheder står over for, og som er oplagte mål for cyberkriminelle på grund af den enorme mængde persondata, de håndterer. Bruddet rejste også bekymringer om sikkerheden i telekommunikationsinfrastrukturen og behovet for stærkere forsvar mod stadig mere avancerede cybertrusler.

Clyde Williamson, ledende arkitekt for produktsikkerhed hos Protegrity, siger,“At optegnelser over opkald og sms'er fra næsten alle [AT&T's] mobilkunder er blevet eksfiltreret, er ikke kun et tillidsbrud set fra kundernes side, men viser også, hvor grundigt forældede de nuværende cybersikkerhedsstrategier er. De slutninger, der kan drages af forskellige datatyper, er lige så vigtige som stjålne personhenførbare oplysninger.”

AT&T samarbejdede med føderale myndigheder og cybersikkerhedsvirksomheder for at undersøge hændelsen og sikre sine systemer som reaktion på bruddet. Berørte kunder blev underrettet via e-mails og sms'er og fik vejledning i at beskytte deres konti og holde øje med mistænkelig aktivitet.

AT&T implementerede yderligere sikkerhedsforanstaltninger, herunder forbedret kryptering af kundedata, multifaktorgodkendelse ved adgang til konti og strengere adgangskontroller for følsomme oplysninger.

Cristescu siger, at AT&T-bruddet lærer os at"styrke adgangskontrollerne markant. Ikke at have dem er som at lade hoveddøren til dit hus stå på vid gab."

Hvad kan du ellers gøre?"Hvis du ikke allerede bruger multifaktorgodkendelse (MFA), så begynd i dag. Kombinér det med rollebaserede adgangskontroller for at sikre, at kun autoriserede personer kan se følsomme data," siger Cristescu.

Dells databrud

I marts 2024 blev Dell ramt af et betydeligt databrud, der afslørede personoplysninger om over 180 millioner kunder. Databruddet skyldtes en sårbarhed i Dells kundesupportsystemer, som hackere udnyttede til at få uautoriseret adgang til kundernes navne, adresser, e-mailadresser og telefonnumre.

Databruddet understregede vigtigheden af at sikre kundesupportsystemer med software til samlet trusselstyring, som ofte målrettes af cyberkriminelle, der forsøger at udnytte svage punkter i en virksomheds infrastruktur. Dells databrud fremhævede også de risici, der er forbundet med tredjepartsleverandører, eftersom sårbarheden var knyttet til en tredjepartssoftwarekomponent, der blev anvendt i deres supportsystemer.

Som reaktion på databruddet handlede Dell straks for at begrænse hændelsen og sikre de berørte systemer. Virksomheden samarbejdede med cybersikkerhedseksperter for at identificere sårbarhedens kilde og implementere programrettelser for at forhindre yderligere udnyttelse. Dell styrkede de interne cybersikkerhedspolitikker, gennemførte regelmæssige sikkerhedsrevisioner og forbedrede medarbejderuddannelsen i at genkende og forhindre potentielle sikkerhedstrusler.

Dells databrud lærte os, at "en 'stol på, men verificér'-tilgang til leverandører bare ikke er tilstrækkelig længere," ifølge Cristescu. I stedet skal man "tage en nul-tillidsmodel til sig. Det betyder at begrænse adgangen for alle og alt – selv systemer og personer, som man normalt har tillid til," især når man er afhængig af tredjepartssoftwarekomponenter.

Databruddet hos National Public Data 

National Public Data (NPD), en større offentlig database, blev i april i år ramt af et af de største databrud, der har berørt cirka 2,9 milliarder socialsikringsregistre. Databruddet afslørede følsomme personoplysninger, herunder SS-numre, fødselsdatoer og adresser, og berørte næsten alle amerikanske borgere. Hændelsen førte til flere gruppesøgsmål og skabte alvorlig bekymring om praksis for datasikkerhed.

Angriberne udnyttede en sårbarhed i systemets adgangskontroller, fik uautoriseret adgang og udtrak enorme mængder data over en længere periode.

"Selvom det ikke er blevet bekræftet, er den almindelige opfattelse, at National Public Datas offentligt eksponerede kildekode blev arkiveret på en af NPD's datterselskabers, RecordChecks, hovedwebsted," siger Gaëtan Ferry, sikkerhedsforsker hos GitGuardian."At eksponere et arkiv, der indeholder en applikations kildekode, på applikationens websted er en fejl, man har kendt til i lang tid, og som går forud for opfindelsen af software til versionsstyring. Det menes, at arkivet indeholdt en standardadgangskode, som stadig blev brugt af flere brugerkonti og blev anvendt som en indledende adgangsvektor."

Konsekvenserne af databruddet var omfattende, og millioner af personer blev udsat for betydelige risici for identitetstyveri og svindel. Mange ofre stod over for risikoen for uautoriserede finansielle aktiviteter, og hændelsen førte til en stigning i kravene om bedre databeskyttelse og tilsyn med offentlige databaser.

De berørte personer blev underrettet gennem officielle kanaler og fik tilbudt gratis kreditovervågningstjenester for at begrænse risikoen for potentielt identitetstyveri.

"Det er bemærkelsesværdigt, at dette databrud ikke blev offentliggjort i en uge; det kom først frem og førte tidligere til et søgsmål, fordi virksomheden ikke oplyste om det," fortæller Clyde Williamson."Desuden er det stadig uklart, om de bevidst undlod at dele oplysninger om dette databrud, eller om de blot selv opdagede det."

Williamson mener, at dette understreger utilstrækkeligheden af amerikansk lovgivning med hensyn til at beskytte borgernes personoplysninger, som er forældede og dårligt egnet til udfordringerne i det 21. århundrede."Datamæglere som NPD er ikke underlagt de samme regulatoriske standarder som institutioner inden for betalingskortbranchen (PCI), der kræver årlige revisioner og strenge kontroller af kreditkortdata. Som det ser ud nu, har USA ingen sådanne forpligtelser."

Williamson mener også, at en betydelig del af de stjålne data muligvis tilhører en af de mest sårbare grupper: ældre borgere og deres familier. "Et populært svindelnummer går ud på, at en gerningsperson udgiver sig for at være advokat med dårlige nyheder til den ældre – et familiemedlem er i problemer og har brug for penge. Og hvorfor skulle en bedsteforælder ikke tro på dem, hvis de havde gyldige personhenførbare oplysninger til at bekræfte deres troværdighed? Disse svindlere behøver ikke optage kredit i en andens navn for at ødelægge liv. De skal blot vide, hvordan de bruger de stjålne oplysninger til at tømme en omsorgsfuld families bankkonto."

Williamson foreslår, at det er utilstrækkeligt at være afhængig af gruppesøgsmål for at håndtere forsømmelighed."Organisationer skal prioritere gennemsigtighed og styrke deres indsats for at afidentificere følsomme data for at beskytte forbrugeroplysninger. De skal bevæge sig ud over traditionelle forsvarsmekanismer og indføre databeskyttelsesstrategier anbefalet af tilsynsmyndigheder, såsom kryptering og tokenisering. Disse metoder gør data ubrugelige for angribere, så det bliver umuligt at stjæle og misbruge dem."

Virksomheder kan reducere værdien af stjålne data og i væsentlig grad begrænse den langsigtede indvirkning af ransomwareangreb og svindel.

Matthew DeChant, administrerende direktør for Security Counsel, understreger yderligere vigtigheden af leverandørtilsyn og siger, "CTO'er og ledelsesteams skal opretholde et stærkt tilsyn med tredjepartsleverandørers sikkerhedspraksis, især når de håndterer stærkt regulerede, private data. Kontrakter bør omfatte retten til at vurdere og revidere leverandørernes sikkerhedsprogrammer. Tag ikke sikkerhedspåstande for gode varer – hvis en leverandør fremhæver en SOC 2 Type II-erklæring, skal du anmode om og gennemgå rapporten for at sikre, at dens omfang dækker dine behov."

Datalækket hos National Public Data tjente som en alvorlig påmindelse om de udfordringer, regeringer står over for med hensyn til at beskytte borgernes data i en tid med stigende cybertrusler. Som Cristescu udtrykker det,"At gemme for mange data er som at oplagre fyrværkeri i sin garage; før eller siden eksploderer det."

I dette tilfælde bør du spørge dig selv: "Har vi virkelig brug for at gemme disse data?" Hvis svaret er nej, så slet dem. Overvej også at kryptere de data, du er nødt til at gemme, så de er ubrugelige, hvis de bliver stjålet," opfordrer Cristescu.

Datalæk hos Change Healthcare

I august 2024 blev Change Healthcare, en førende virksomhed inden for sundhedsteknologi, ramt af et større datalæk, der kompromitterede personlige og medicinske oplysninger om over 4 millioner patienter. Datalækket blev tilskrevet et sofistikeret phishingangreb, der var rettet mod interne systemer og gav uautoriseret adgang til følsomme oplysninger, herunder patienternes navne, adresser, fødselsdatoer og sygehistorik.

Hackere udnyttede huller i Change Healthcares sikkerhedsinfrastruktur, især inden for medarbejdernes bevidsthed og protokoller for e-mailsikkerhed.

Dette datalæk understreger behovet for en omfattende og lagdelt tilgang til cybersikkerhed. "Implementering af sikkerhed handler ikke om en enkelt løsning, men om at opbygge flere forsvarslag," siger Shrav Mehta, administrerende direktør for Secureframe. "Fra sikker programmeringspraksis til automatiserede tests og kontinuerlig overvågning har vi brug for en helhedsorienteret tilgang, der forudser og begrænser potentielle trusler, før de opstår."

En væsentlig konsekvens af datalækket hos Change Healthcare var forstyrrelsen af sundhedsydelserne. Flere hospitaler og medicinske faciliteter, der var afhængige af Change Healthcares systemer, oplevede forsinkelser i kritisk patientbehandling. Denne hændelse fremhæver de store risici ved cybersikkerhed i sundhedssektoren, hvor sårbarheder kan bringe dataintegriteten og kontinuiteten i tjenesterne i fare.

Dette brud understregede også behovet for strengere regler og et udvidet ansvar inden for sundhedssektoren.

Kiran Chinnagangannagari, chef for produktudvikling og teknologi hos Securin, fremhæver den afgørende rolle, som producenter af medicinsk udstyr spiller i afhjælpningen af disse sårbarheder:"Personligt vil jeg gerne se nye regler, der rækker ud over sundhedsudbydere og også omfatter producenter af medicinsk udstyr, eftersom de dermed forbundne sårbarhedsrisici også er en voksende bekymring.

Securins undersøgelse viste en stigning på 59 % fra år til år i sårbarheder på tværs af sundhedsprodukter, hvor 43 sårbarheder muliggjorde fjernudførelse af kode – en kritisk trussel mod patientsikkerheden. Medicinsk udstyr som infusionspumper og overvågningssystemer er afgørende for patientbehandlingen, og uden passende cybersikkerhedsforanstaltninger kan disse sårbarheder føre til farlige driftsforstyrrelser, muligvis endda livstruende situationer. Vi skal prioritere både sikringen af disse sundhedsudbydere og dette udstyr samt at tilvejebringe de økonomiske midler til det."

Chinnagangannagari fremhæver også vigtigheden af tredjeparts-risikostyring."Organisationer skal aktivt kontrollere, at alle enheder i deres forsyningskæde er i stand til at forhindre ødelæggende brud. Strengere regler og en skærpet håndhævelse er nu nødvendige, og sikkerhedsteams såvel som udviklere skal implementere CISA's principper for sikkerhed indbygget fra designfasen i deres systemer og produkter. Virksomheder bør holdes ansvarlige ikke kun for deres egne cybersikkerhedsforanstaltninger, men også for dem, der gælder for alle organisationer, de samarbejder med. Indsatsen er for vigtig – vi kan ikke tillade, at denne form for forsømmelighed fortsætter."

Dr. Sean Kelly, MD, overlæge og vicepræsident for kundestrategi hos Imprivata, tilføjer,"At opbygge en omfattende cybersikkerhedsstrategi er næsten som at bygge et hus, og de fleste sundhedsorganisationer har kun lagt fundamentet. Deres tilgang er ofte reaktiv med fokus på at rydde op efter skurkens rod i stedet for at holde dem ude fra begyndelsen."

Change Healthcare lovede at indføre strengere praksisser for databeskyttelse og arbejde tæt sammen med tilsynsmyndigheder for at forhindre fremtidige hændelser. Denne hændelse lærer os, at"Forældede systemer er en hackers legeplads," siger Cristescu."At beholde forældet teknologi er en risiko, vi ikke har råd til."

Cristescu anbefaler, at organisationer "opgraderer til moderne, cloudbaserede systemer, der omfatter avanceret trusselsregistrering" og "ikke sparer på sikkerhedskopieringsstrategierne. Ransomware kan ikke holde dig som gidsel, hvis du har sikre, isolerede sikkerhedskopier klar til brug."

Hvad sker der nu?

Når vi ser frem mod 2025, vil cybersikkerhedslandskabet sandsynligvis blive formet af den stigende sofistikering af både trusler og forsvar. Cyberkriminelle forventes i højere grad at benytte AI-drevne angreb, hvor de bruger maskinlæring til at omgå traditionelle sikkerhedssystemer og skabe mere overbevisende phishingforsøg.

Larry Zorio, CISO hos Mark43, mener, "Organisationer bør ruste sig til en stigning i AI-drevne angreb – sofistikerede trusler, der tilpasser deres signaturer for at undgå registrering. Disse angreb udnyttes af ondsindede aktører, der søger økonomisk gevinst, og retter sig mod sektorer med svage forsvar og utilstrækkelige ressourcer. Hackere bruger værktøjer som ChatGPT til at skabe malware og udforme phishing-e-mails, der næsten ikke kan skelnes fra legitim kommunikation.

Er denne frygt berettiget? Absolut. Vi kan dog træffe foranstaltninger for at beskytte os selv og vores virksomheder, herunder medarbejderuddannelse for at forebygge phishing, løbende overvågning med adfærdsanalyse for at opdage anomalier samt samarbejde med betroede leverandører for at afhjælpe sikkerhedshuller. Proaktive investeringer nu vil styrke forsvaret og spare omkostninger på lang sigt."

Denne stigning i offensiv AI vil kræve, at organisationer anvender lige så avancerede defensive værktøjer, såsom AI-drevne systemer til registrering og håndtering af trusler, der er i stand til at analysere enorme datamængder i realtid for at identificere anomalier og mindske risici. Derudover vil angreb på forsyningskæden fortsat være en betydelig bekymring, da angribere udnytter tredjepartsleverandører til at få adgang til følsomme systemer.

På den defensive front kan vi forvente en bredere anvendelse af en arkitektur baseret på nul tillid, hvor ingen bruger eller enhed som udgangspunkt er betroet, og hvor adgangen løbende verificeres.

Cloudsikkerhed vil komme i centrum, efterhånden som organisationer kæmper med kompleksiteten ved at sikre miljøer med flere cloudplatforme, hvilket understreger behovet for synlighed i realtid og trusselshåndtering på tværs af disse infrastrukturer.

Lovændringer, især inden for databeskyttelse og sikkerhedsstandarder, vil sandsynligvis blive strammet globalt, hvilket får organisationer til at tilpasse deres praksis til strengere krav om overholdelse.

Morey Haber, chefsikkerhedsrådgiver hos BeyondTrust, siger: "Det, vi har lært af disse angreb, er, at ingen persons personlige oplysninger er sikre, uanset virksomheden eller dens størrelse." Hvis virksomheder vil beskytte sig mod trusler, foreslår Haber følgende:

• Brug ikke mobilnumre til konti eller personlige oplysninger. Et telefonnummer er ofte en unik identifikator, der nemt kan knyttes til en person på tværs af flere platforme. I tilfælde af et sikkerhedsbrud kan angribere knytte det til andre kompromitterede data for at opbygge en detaljeret profil, hvilket gør det lige så risikabelt som et personnummer. Undgå så vidt muligt at bruge telefonnumre til login eller godkendelse for at begrænse eksponeringen og beskytte din identitet.
• Undgå at bruge den samme e-mailadresse til alle konti. Opret i stedet separate adresser til korrespondance, bankforretninger og andre følsomme aktiviteter. På den måde vil en kompromitteret e-mailkonto ikke afsløre hele din digitale identitet.
• For virksomheder er det ofte nemmere for angribere at logge ind end at hacke sig ind. Prioritér identitetssikkerhed og styring af privilegeret adgang ved regelmæssigt at gennemgå tildelte rettigheder og tilladelser for at blokere lateral bevægelse og uautoriseret adgang.

2025 vil også medføre et større fokus på samarbejde på tværs af brancher og regeringer, hvor deling af trusselsinformation bliver en afgørende komponent i arbejdet med at være på forkant med angriberne.

I sidste ende vil nøglen til at håndtere disse udfordringer være at kombinere banebrydende teknologier med en kultur præget af årvågenhed og ansvarlighed på alle organisatoriske niveauer.

Afsluttende tanker

Databruddene i 2024 er en alvorlig påmindelse om, at selv det bedste forsvar ikke er uigennemtrængeligt. Men de er også en opfordring til handling – en mulighed for at finpudse strategier, prioritere banebrydende værktøjer som BAS-software og opbygge stærkere og mere tilpasningsdygtige sikkerhedsforanstaltninger. Gennemsigtighed og samarbejde spiller en afgørende rolle i denne proces.

"Vi må omfavne radikal gennemsigtighed ved åbent at dele indsigt i sårbarheder, adoptionsrater for versioner og indhøstede erfaringer," siger Shrav Mehta."Denne samarbejdsorienterede tilgang hjælper hele teknologisystemet med at blive mere modstandsdygtigt."

Hvis vi skal overgå de ondsindede aktørers opfindsomhed, er vi nødt til at dele viden, granske vores sårbarheder og holde os selv ansvarlige som forvaltere af de systemer og data, vi beskytter.

Når vi går ind i 2025, bør vi tage årets hårdt tilkæmpede erfaringer til os. Uanset om det handler om at indføre principper om nul tillid, investere i bedre efterretninger om trusler eller fremme en kultur, hvor sikkerhed er alles ansvar, er målet klart: Virksomheder skal tilpasse deres strategier, investere i nye sikkerhedsteknologier og fremme en kultur præget af bevidsthed og årvågenhed.

Tilmeld dig The CTO Clubs nyhedsbrev for at få flere tips, værktøjer og bedste praksisser inden for cybersikkerhed.