データ侵害は、サイバー犯罪者が所有者または管理者の許可なしに組織のデータベースから情報を盗むときに発生します。
サイバー犯罪者は、データ侵害中に、個人を特定できる情報、個人の健康情報、企業秘密、クレジット カード番号などの膨大な量の機密情報を盗む可能性があります。この情報が悪者の手に渡った場合、サイバー犯罪者がそれを個人的な利益のために利用する可能性があります。
個人データは非常に貴重であるため、サイバー犯罪者は個人データに飢えており、それを取得するために怪しい手段を喜んで使用します。犯罪者が個人データにアクセスすると、次のことが可能になります。
- 個人のクレジット カードまたは財務情報を使用して購入を行う。
- 医療処置や薬の支払いのために個人の健康保険情報を使用する。
- 個人の社会保障番号 (SSN) およびその他の個人データを使用して偽の身元を作成し、ローンの申請に使用する。
- 企業秘密を他の企業に販売する。
- ダークウェブで入札者に個人情報を販売する。
ハッカーは組織を侵害しようとする前に、組織のネットワークの弱点を探します。企業のデータ セキュリティ システムのホールを攻撃したり、従業員に認証資格情報の開示を強制したりする可能性があります。
ハッカーが組織に侵入する際に狙う主な目的は次のとおりです。
- 弱いパスワード:企業のネットワーク パスワードが強力でない場合、ハッカーはすぐにパスワードを破ってしまいます。
- モノのインターネット: 従業員の中にはモバイル デバイスを使用してネットワークにログインしたり、認証資格情報を保存したりする場合があります。
- 第三者:犯罪者が企業のデータベースに直接アクセスできない場合、企業のビジネス パートナーに危険を及ぼす可能性があります。犯罪者はサードパーティのネットワークをハッキングすることで、標的の企業情報に間接的にアクセスできます。
- 従業員:ハッカーはソーシャル エンジニアリング スキームを起動して、従業員をだまして情報への不正アクセスを許可する可能性があります。
内部データ侵害の脅威は、会社で働く人々から発生します。悪意のある偶発的な内部データ侵害の脅威があります。悪意のある侵害は、内部関係者が故意に情報を漏洩したときに発生します。同様に、内部関係者が誤って情報を漏洩すると、偶発的な侵害が発生します。
内部関係者が個人情報へのアクセスを悪用します。彼らは故意に犯罪的意図を持って個人データを開示します。この内部関係者は、棚ぼたを狙っている現従業員である可能性もあれば、会社に損害を与えたいと考えている不満を抱いた元従業員である可能性もあります。
外部データ侵害は、ハッキングに関与していない個人または組織によるものです。外部の脅威は、単独のハッカー、オンライン組織、さらには他の政府からもたらされる可能性があります。
サイバー犯罪者が個人情報を取得するために使用する主な方法のいくつかを以下に示します。
- フィッシングは、犯罪者がターゲットの信頼を得るために他人になりすますときに発生します。犯罪者が企業をターゲットにすると、法執行機関、潜在的な雇用主、さらには慈善団体になりすます可能性があります。ある時点で、彼らは金銭、個人情報、または資格情報を要求します。
- マルウェアは、インターネット セキュリティ プログラムの脆弱性を攻撃する有害なソフトウェアです。ハッカーは、ファイルを破壊するウイルス、データをハイジャックするランサムウェア、従業員のキーストロークを追跡するスパイウェアを企業のネットワークに感染させる可能性があります。企業がマルウェアが自社のネットワークを攻撃したことに気づくまでには長い時間がかかることがあります。
- ブルート フォース攻撃は、ハッカーが特別なソフトウェアを使用してネットワーク パスワードを推測するときに発生します。ハッカーはパスワードを推測するのが非常に得意です。通常、脆弱なパスワードは 1 分以内に解読できます。
- 個人の銀行口座、財務諸表、信用報告書をできるだけ頻繁にチェックします。個人の原因不明の購入やクレジット スコアの原因不明の変化を探してください。これらの兆候は、誰かが情報を盗んだことを示している可能性があります。
- 個人データのプライバシーに対する詐欺や脅威に注意し、疑わしい送信元からの電子メールを開かないでください。
- ソーシャルメディアで過度に共有しないでください。ハッカーは潜在的なパスワードやその他の個人情報を求めてソーシャル メディアを調べます。
- オンラインでは強力なパスワードを使用してください。パスワードは12文字以上で設定してください。大文字、小文字、数字、記号が含まれており、個人情報とは一切関係がありません。アカウントごとに異なるパスワードを使用し、頻繁に変更します。また、パスワードを共有しないでください。
- 個人のデバイスを安全に保ちます。スマートフォン、ラップトップ、スマートウォッチ、その他のオンライン デバイスはパスワードで保護され、セキュリティ ソフトウェアが装備され、デバイス用の最新のソフトウェア アップデートがダウンロードされている必要があります。
- 同社の情報技術チームは、オペレーティング システムのバグやセキュリティ上の問題を定期的にテストおよび監査しています。問題や弱点が見つかった場合は、すぐにパッチを適用して更新する必要があります。
- 従業員にセキュリティ上の脅威を防止し、特定し、対応する方法を教えます。会議を開催して、強力なパスワードを作成し、詐欺メールと正規のメールを区別する方法を従業員に説明します。
- 企業がセキュリティ侵害にどのように対処するかを説明する詳細なインシデント対応計画を作成します。データ侵害について誰が知る必要があるのか、何をすべきか、いつ一般に通知するのかを含めます。会議を開催して緊急時対応計画について話し合い、計画文書を作成し、従業員がアクセスできる場所に保管します。