Разследвания, съдебни искове, проверки от регулатори, уведомяване на засегнати клиенти и месеци работа по възстановяване на доверието. Това са само част от щетите, с които една компания трябва да се справи след киберпробив. Недалеч от тази реалност е и случаят с атаката срещу застрахователната компания AssuranceAmerica.
През март 2026 г. нападатели успяват да получат достъп до вътрешните ѝ системи чрез акаунт на служител. Подозрителната активност е засечена още на следващия ден, но дотогава част от информацията вече е копирана. И макар това да изглежда като поредния голям пробив, случаят оставя и много по-практичен въпрос – защо един потребителски акаунт е имал достъп до толкова голям обем чувствителна информация?
Компрометираните данни включват имена, номера на социални осигуровки, шофьорски книжки, информация за автомобили, застрахователни полици и история на щети. Това не са просто лични данни. Те позволяват изграждането на цялостен профил на човек – достатъчен за кражба на самоличност, финансови измами и дори изключително убедителни последващи фишинг атаки.
Важно е и това, че в повечето организации достъпът до системите не се изгражда наведнъж, а се натрупва с времето – с промяна на работното място в организацията, нови отговорности и включване в проекти с по-широки права. Когато обаче проектът приключи, разрешенията често остават. След години един потребителски профил може да има достъп до значително повече информация, отколкото реално е необходима за ежедневната му работа. Това означава, че при компрометирането му рискът вече не се измерва с един акаунт, а с всичко, до което той може да достигне.
Легитимен вход, нелегитимни действия
Според ENISA Threat Landscape 2025 фишингът и социалното инженерство продължават да бъдат сред най-често използваните методи за първоначално проникване в корпоративните IT мрежи.
След като нападателят вече разполага с валиден потребителски акаунт, задачата му става значително по-лесна. От гледна точка на много защитни системи той изглежда като обикновен служител. Разликата се вижда едва когато започне да сваля необичайно големи количества информация или да достъпва системи, които конкретният потребител никога преди не е използвал.
Именно затова съвременната защита все повече се измества от въпроса кой влиза към въпроса какво прави, след като вече е вътре.
Подобна е динамиката и при друг случай от тази година. През април хакерската група ShinyHunters атакува Medtronic – един от най-големите производители на медицински устройства в света. Първоначално нападателите твърдят, че са откраднали над 9 млн. записа, а впоследствие компанията уведомява близо 3,8 млн. засегнати души. Малко след това страницата на Medtronic изчезва от сайта на групата в тъмната мрежа – ход, който често се свързва с постигнато споразумение или платен откуп, макар компанията никога да не потвърждава подобна информация.
Двата случая засягат различни компании, но разкриват един и същи проблем: когато компрометираният акаунт има прекалено широк достъп, последствията продължават дълго след овладяването на самия пробив.
Именно затова все повече организации повече организации комбинират технологичните мерки с подготовката на хората. Редовните обучения по киберсигурност, като Security Awareness Training на А1, които специализираните екипи на технологичната компания предоставят на на служителите на корпоративните клиенти са стъпка в тази посока. С помощта на насоките от тренингите служителите могат да разпознават по-лесно опитите за фишинг и социално инженерство още преди нападателят да получи най-ценното – валидни данни за достъп до корпоративните системи. Вместо да се фокусират единствено върху предотвратяването на пробива, те се стремят да ограничат и последствията, ако такъв все пак се случи. На практика това означава чувствителните данни да бъдат достъпни само за хората, които реално се нуждаят от тях за изпълняване на професионалните си задължения, потребителските права да се преглеждат регулярно, а всяка необичайна активност да бъде засичана възможно най-рано. На такъв принцип работят и решения за киберсигурност като Identity and Access Management (IAM) каквито А1 предоставя на бизнес организациите. С тяхна помощ компаниите имат по-добра видимост върху това кой има достъп до конкретни системи, при какви условия го използва и кога той трябва да бъде ограничен или отнет. Услугата улеснява и управлението на потребители при назначаване, промяна на роля или напускане.
Подобен подход не може да гарантира, че пробив никога няма да се случи. Може обаче значително да ограничи мащаба му. Ако компрометираният акаунт има достъп само до информацията, необходима за ежедневната му работа, рискът една атака да прерасне в криза с милиони засегнати записи, е значително по-малък.
