Злогласно кршење безбедности компаније Таргет које је открило финансијске и личне податке десетина милиона Американаца крајем прошле године резултат је неуспеха компаније да своје рутинске функције и функције одржавања држи у одвојеној мрежи од критичних платних функција, према информацијама из безбедности истраживач Бриан Кребс, који је први прекршај пријавио у децембру.
Протекле седмице Таргет открио је за Валл Стреет Јоурнал да је почетно кршење његове мреже пронађено ради пријављивања података украдених од трећег добављача. Господин Кребс сада извештава да је дотични добављач Фазио Мецханицал Сервицес, фирма са седиштем у Схарпсбургу, ПА, која је уговорила са Таргетом да обезбеди хлађење и инсталацију и одржавање клима уређаја. Председник Фазио-а Росс Фазио потврдио је да је компанију посетила америчка тајна служба у оквиру истраге, али још увек није дао јавне изјаве о пријављеном учешћу поверљивих података за пријаву додељених својим запосленима.
Запослени у Фазиоу добили су даљински приступ Таргет мрежи како би пратили параметре попут потрошње енергије и температуре хлађења. Али пошто наводно Таргет није успео да сегментира мрежу, то је значило да су добро познати хакери могли да користе те исте удаљене акредитиве за треће стране да приступе серверима осетљивих продајних места (ПОС) продавача. Још увек непознати хакери искористили су ову рањивост за учитавање злонамјерног софтвера у већину Таргетових ПОС система, који су потом прикупили плаћање и личне податке до 70 милиона купаца који су се нашли у продавници између краја новембра и средине децембра.
Ово откриће је довело у сумњу карактеризацију догађаја од стране руководилаца Таргет-а као софистициране и непредвиђене цибер крађе. Иако је пренесени злонамјерни софтвер заиста био прилично сложен, и док запосленици Фазио-а дијеле одређену кривицу за омогућавање крађе вјеродајница за пријаву, остаје чињеница да би било који од услова био преправљен да је Таргет слиједио сигурносне смјернице и сегментирао своју мрежу како би послужитељи за плаћање изолирали из мрежа које омогућавају релативно широк приступ.
Јоди Бразил, оснивач и ЦТО безбедносне фирме ФиреМон, објаснио је Цомпутерворлд-у , "Нема ничега фантастичног. Таргет је одлучио да дозволи приступ трећој страни својој мрежи, али није успео правилно да осигура тај приступ. “
Ако друге компаније не науче на грешкама компаније Таргет, потрошачи могу очекивати да ће уследити још више прекршаја. Степхен Боиер, ЦТО и суоснивач компаније за управљање ризиком БитСигхт, објаснио је, „У данашњем хипер-умреженом свету компаније раде са све више и више пословних партнера са функцијама попут наплате и обраде плаћања, производње, ИТ и људских ресурса. Хакери проналазе најслабију тачку уласка да добију приступ осетљивим информацијама, а често је та тачка унутар екосистема жртве. "
Још није пронађено да је мета прекршила сигурносне стандарде индустрије платних картица (ПЦИ) као резултат кршења, али неки аналитичари предвиђају проблеме у будућности компаније. Иако су високо препоручени, ПЦИ стандарди не захтевају од организација да сегментирају своје мреже између функција плаћања и неплаћања, али остаје питање да ли је Таргетов трећи приступ користио двофакторну аутентификацију, што је услов. Кршење стандарда ПЦИ може резултирати великим новчаним казнама, а аналитичарка компаније Гартнер Авивах Литан рекла је господину Кребсу да би се компанија могла суочити са казнама до 420 милиона долара због кршења закона.
Влада је такође почела да делује као одговор на кршење закона. Обамина администрација ове недеље препоручила је усвајање строжих закона о кибернетичкој безбедности, доносећи и оштрије казне за прекршиоце, као и федералне захтеве да компаније обавештавају купце након кршења безбедности и следе одређене минималне праксе када је у питању политика кибернетичких података.
