Niebezpiecznik

Kolejna część danych wykradzionych z firmy ALAB właśnie została ujawniona przez przestępców. Tym razem wyciek objął m.in. osoby pracujące dla ALAB-u. Ujawnione dane to 100GB. Pliki zawierają dane tysięcy współpracowników i dostawców ALAB-u, w tym adresy, PESELe oraz informacje o formie zatrudnienia. Przestępcy zapowiadali, że więcej danych ujawnią dopiero 31 grudnia, ale chyba zdecydowali się na publikację wcześniej…

Co wyciekło z ALAB jak dotąd?

Niestety na darknetowej stronie grupy przestępczej, która zhackowała laboratoria ALAB, pojawiły się kolejne pliki do pobrania. Obecnie zakres wycieku obejmuje następujące archiwa:

• ANALIZY.7z (821,56 MB),
• DOKUMENTY_UMOWY.tar (13.23 GB),
• ERPDB.7z (29,96 GB),
• HR.tar (27,04 GB),
• KSIEGOWOSC.tar (2,94 GB),
• LAW.tar (21,48 GB),
• UMOWY.tar (1,11 GB) (opublilowane juz w listopadzie).
• Alab_Laboratory_Reports.tgz (26.07 GB) (opublikowane już w listopadzie)

Pobranie tych plików nie jest łatwe. Serwery Tora zrywają połączenia, a pobieranie może zająć dużo czasu. W opublikowanych danych znajdują się jednak znów dane osobowe, nierzadko dość szczegółowe. Jest też sporo informacji o działalności samego ALABu, m.in. dane o inwestycjach i ponoszonych kosztach.

Nieco bardziej problematyczny dla firmy może być plik o nazwie LAW.tar, który ma zawierać różne dane prawne m.in. dane o beneficjentach rzeczywistych, instrukcje, opisy procedur, wzory pism. Nowa porcja danych to także faktury, analizy ryzyka oraz – co chyba najciekawsze – fotokopie akt papierowych. To dobry przykład na to, że niestety czasem cyfryzacja danych oznacza też zwiększone ryzyko ich ujawnienia. Papierowych kartek przestępcy internetowi by nie wykradli…

Najpoważniejsze dane z HR?

Szczególnie niepokojący dla pracowników ALAB jest fakt ujawnienia pliku HR.tar, który, jak łatwo się domyślić, zawiera dane kadrowe. Całe archiwum to ponad 27 GB danych. Są to pliki w różnych formatach, zawierające różne rodzaje danych. Pobieżna analiza jednego z internautów wykazuje, że problem może dotyczyć nawet kilku tysięcy osób mniej lub bardziej powiązanych z ALAB-em.

Przestępcy wykradli typowe dane kadrowe, m.in. plik z danymi adresowymi do wysyłki PIT-ów, w tym szczegółowe adresy pracowników ze wskazaniem, czy dany adres jest adresem zameldowania czy tylko korespondencyjnym. Wedle naszych informacji, w tym pliku znajdują się dane dotyczące 1977 współpracowników ALAB-u. W innych plikach są PESEL-e osób lub wartości ich pensji, premii i podwyżek.

W archiwum znajdują się także umowy zawierane z osobami fizycznymi (np. umowy zlecenia). Takie umowy, nawet jeśli dotyczą osób prowadzących działalność gospodarczą, to i tak ujawniają rzeczy, których nie ma w CEIDG (np. numer dowodu i PESEL).

HR to także różnego rodzaju zestawienia wynagrodzeń (ponad 3,7 tysiąca rekordów), które zawierają dane konkretnych pracowników (np. diagnostów, techników i innych specjalistów) w tym PESEL-e.

I tu słowa pochwały dla ALAB-u, ale nie pochwały pełnej. Niektóre z wykradzionych plików to archiwa 7zip oraz arkusze kalkulacyjne które były zabezpieczone hasłem. Dało się zauważyć, że zwłaszcza jedna pracownica miała zwyczaj stosowania tego dodatkowego zabezpieczenia, czemu osoby znajdujące się w edytowanych przez nią plikach powinny być jej dozgonnie wdzięczne. Niestety, ta dobra praktyka nie była stosowana zawsze.

W ramach ciekawostki można odnotować, że firma realizowała szkolenia z ochrony danych — notatki na ich temat też znalazły się w wycieku.

Współpracowałem lub współpracuję z ALAB — co robić, jak żyć?

Analiza skutków tego wycieku jeszcze potrwa. Niemniej jeśli pracowałeś w ALABie albo zawierałeś z umowy z tą spółką jako podwykonawca, to musisz się liczyć z możliwością wycieku Twoich danych. Problem wycieku danych osobowych z ALAB-u nie dotyczy tylko pacjentów.

Wiemy, że firma ALAB od tygodnia posiada już szczegółowe informacje na temat tego, co zostało jej skradzione. Dlatego mamy nadzieję, że o tym, że Wasze dane wyciekły już zostaliście przez ALAB poinformowani i nie dowiadujecie się tego od nas. Jeśli ktoś chciałby się z nami podzielić tym jak ten proces informowania wyglądał, to zapraszamy do kontaktu — gwarantujemy anonimowość.

Od siebie dodamy apel o tym, abyście pamiętali, że te dane mogą zostać użyte w celu przeprowadzenia dopasowanych do Was ataków socjotechnicznych (np. na pracownika banku). Jak widać, nawet jeśli w przypadku współpracowników ALAB-u nie wykradziono wyników badań medycznych, to mimo wszystko ten wyciek może okazać się równie bolesnym co w przypadku pacjentów.

Wszystkim, którzy mieli kontakt z ALAB-em na koniec radzimy: zastanów się co ALAB może o Tobie wiedzieć. A potem załóż najczarniejszy możliwy scenariusz, że wszystkie te dane staną się publicznie dostępne. Przypomnijmy, że publikację całości danych przestępcy zapowiedzieli na 31 grudnia, dopiero wtedy będzie można określić pełen zakres wykradzionych danych. O ile przestępcy faktycznie opublikują “całość”.

Aktualizacja (21.12.2023 13:54)
Seweryn Dmowski, reprezentujący ALAB w obszarze komunikacji przesłał do naszej redakcji informację potwierdzającą, że opublikowane dane pochodzą z listopadowego włamania:

Zdarzenie to jest przede wszystkim konsekwencją stanowczej postawy spółki, która nie negocjuje z cyberprzestępcami i nie zamierza spełniać ich żądań w zakresie okupu. Spodziewając się takiego rozwoju wydarzeń oraz szczerze komunikując możliwe scenariusze negatywne do mediów i opinii publicznej, jesteśmy w trakcie szczegółowej analizy danych opublikowanych przez przestępców. Wstępna analiza wskazuje na to, że wcześniej prawidłowo zidentyfikowaliśmy zakres danych, do których nieautoryzowany dostęp uzyskali przestępcy. Jesteśmy w stałym kontakcie ze wszystkimi instytucjami publicznymi odpowiedzialnymi za zwalczanie cyberprzestępczości oraz bezpieczeństwo i ochronę danych osobowych. Naszą intencją pozostaje otwarta i transparentna współpraca ze wszystkimi właściwymi instytucjami, w tym także mediami, w zakresie pełnego wyjaśniania wszystkich aspektów wspomnianego incydentu bezpieczeństwa. Wszelkimi dalszymi informacjami podzielimy się jak tylko będzie to możliwe – do tego czasu pozostajemy do Państwa dyspozycji w razie jakichkolwiek pytań. Pragnę podkreślić, że konsekwentnie realizujemy politykę informowania wszystkich osób, których dane zostały upublicznione w Internecie przez przestępców, o wynikających z tego faktu zagrożeniach oraz udzielamy im wsparcia w zakresie nieodpłatnego uzyskania alertu BIK na okres 6 miesięcy.

Z kolei od informacji, które otrzymaliśmy od pracowników ALAB-u wiemy, że w istocie, pracownicy zaklejają ręcznie koperty i wysyłają listy do tych pacjentów, których dane zostały opublikowane w końcówce listopada. Poszkodowanym spółka oferuje alert BIK-u na 6 miesięcy.

Wiemy też niestety, mylnie założyliśmy w naszym tekście, że spółka po raporcie z incydentu poinformowała swoich pracowników o wycieku ich danych. Wszyscy kontaktujący się z nami pracownicy ALAB-u wskazali, że do dziś, w przeciwieństwie do pacjentów nie otrzymali od swoich przełożonych ani Zarządu spółki żadnych informacji, że ich dane też zostały wykradzione. Dowiedzieli się tego z naszej publikacji.

Mamy nadzieję, że teraz także pracownicy otrzymają wsparcie pracodawcy w kwestii przeciwdziałania skutkom wycieku ich danych osobowych.

Co zrobić po wycieku danych lub ataku na naszą firmę?

Wycieki, nie tylko z ALAB, wpisują się już powoli w codzienność. Prędzej czy później każdego z nas to spotka. Dlatego, jeśli chcesz “na ostatnią chwilę” zrobić rachunek sumienia i sprawdzić:

• Co na Twój temat już wyciekło do internetu
• Jak przygotować się na wyciek danych, a zwłaszcza co robić, aby zminimalizować ryzyko wycieku
• Co obowiązkowo (a co niekoniecznie) należy robić po tym jeśli jakieś Twoje dane wyciekły

…to zachęcamy do obejrzenia naszego 45 minutowego webinaru o wyciekach danych. Do końca czwartku, na hasło ANTYWYCIEK można uzyskać do niego dostęp o 50% taniej. Bez obaw, na obejrzenie masz 30 dni, więc na pewno zdążysz! Tutaj link wprost do koszyka.

PS. A pracownikom firm, a zwłaszcza managerom, działom prawnym i zarządom polecamy zapoznanie się z naszym krótkim i skondensowanym szkoleniem pt. “Zhackowali Cię, co teraz“, gdzie razem z prawnikiem mówimy nie tylko o atakach ransomaware. Wyjaśniamy co należy zrobić, zarówno od strony technicznej jak i prawnej oraz PR-owej po tym, kiedy dowiecie się, że Wasza firma padła ofiarą ataku. Mówimy też, czego nie robić, i to również jest istotne, bo czasem złe reakcje tylko pogarszają sytuację…