7 найбільших світових витоків даних у страхових компаніях, про які варто знати
Категорія: Всі новини
Один необережний клік, слабкий пароль або неконтрольоване копіювання корпоративних файлів можуть поставити під загрозу персональні дані мільйонів клієнтів.
Страхові компанії щодня працюють із великими обсягами конфіденційної інформації: персональними даними, фінансовими документами, страховими договорами, а в окремих випадках — медичною інформацією клієнтів.
При цьому загроза не завжди надходить ззовні. Співробітники, які мають законний доступ до корпоративних систем, можуть випадково або навмисно створювати ризики витоку даних.
За оцінкою, наведеною в матеріалі LogMeOnce, людський фактор відіграє роль приблизно у 75% витоків корпоративних даних. Цей показник потребує додаткової перевірки за первинними дослідженнями, проте сама проблема залишається актуальною для фінансового сектору.
Розглянемо 7 реальних випадків масштабних витоків інформації та з’ясуємо, як страхові компанії можуть зменшити ризики, пов’язані з діями персоналу.
1. Prudential Insurance: витік даних 2,5 млн осіб
У лютому 2024 року американська страхова компанія Prudential Financial зазнала масштабної кібератаки.
Зловмисники отримали несанкціонований доступ до внутрішніх інформаційних систем компанії. Згодом стало відомо, що інцидент торкнувся приблизно 2,5 млн осіб.
Серед скомпрометованої інформації були персональні дані, зокрема імена, адреси та номери водійських посвідчень.
Компанія виявила підозрілу активність і розпочала розслідування. Постраждалим запропонували безкоштовні послуги захисту персональної інформації.
Який зв’язок із людським фактором?
Для страхової компанії важливо розуміти не лише те, хто має доступ до клієнтських даних, а й те, як саме цей доступ використовується.
Наприклад, нетипове масове відкриття клієнтських документів, копіювання великої кількості файлів або передавання інформації за межі компанії можуть бути сигналами потенційного ризику.
2. UnitedHealth: кібератака, що зачепила 190 млн людей
У лютому 2024 року масштабної кібератаки зазнала Change Healthcare, що входить до UnitedHealth Group.
Унаслідок інциденту було скомпрометовано персональну та медичну інформацію величезної кількості людей. Згодом кількість постраждалих оцінили приблизно у 190 млн.
Зловмисники отримали доступ до конфіденційних даних, включно з іменами, адресами та інформацією про здоров’я.
За повідомленнями про інцидент, компанія виплатила зловмисникам викуп у розмірі приблизно 22 млн доларів. Ця сума не відображає всіх фінансових наслідків атаки.
Інцидент спричинив значні перебої в роботі медичних і платіжних систем.
3. Evolve Bank: 7,6 млн постраждалих і ризики людського фактора
У 2024 році американський Evolve Bank & Trust повідомив про масштабний витік персональної інформації.
Інцидент зачепив приблизно 7,6 млн осіб, а його наслідки поширилися також на партнерські фінансові сервіси, зокрема Wise та Mercury.
У вихідному матеріалі LogMeOnce стверджується, що атака була пов’язана з фішинговим посиланням, на яке перейшов співробітник. Водночас цей конкретний механізм потребує підтвердження незалежними джерелами.
Банк відмовився виконувати вимоги зловмисників щодо викупу та запропонував постраждалим послуги захисту від крадіжки особистих даних.
4. Genworth Financial: витік даних 2,5 млн осіб через MOVEit
Улітку 2023 року компанія Genworth Financial зіткнулася із серйозним інцидентом інформаційної безпеки.
Зловмисники скористалися вразливістю програмного забезпечення MOVEit, яке використовувалося для передавання файлів.
Унаслідок атаки було скомпрометовано персональну інформацію приблизно 2,5 млн осіб, включно з номерами соціального страхування.
Компанія вжила заходів для допомоги постраждалим:
- Повідомила осіб, чиї дані могли бути скомпрометовані.
- Запропонувала безкоштовні послуги захисту персональної інформації протягом двох років.
- Залучила відповідні служби до розслідування.
- Вжила заходів для усунення виявлених ризиків.
5. Delta Dental: витік даних приблизно 7 млн людей
Ще одним масштабним інцидентом став витік даних у Delta Dental.
Зловмисники скористалися вразливістю MOVEit та отримали доступ до персональної інформації приблизно 7 млн людей.
Серед скомпрометованих даних були імена, адреси та персональні ідентифікаційні номери.
У вихідному матеріалі зазначається, що атака відбувалася протягом чотирьох днів, а розслідування тривало близько п’яти місяців.
Компанія запропонувала постраждалим послуги захисту персональної інформації.
6. First American Financial: кібератака та порушення бізнес-процесів
У грудні 2023 року First American Financial зазнала серйозної кібератаки.
Компанія була змушена тимчасово відключити частину інформаційних систем для стримування інциденту.
Це вплинуло на її операційну діяльність і доступність окремих сервісів.
У вихідному матеріалі також згадуються приблизно 44 тисячі постраждалих та фінансові втрати на рівні 15%, проте ці цифри потребують додаткового підтвердження і можуть стосуватися різних показників або інцидентів.
7. Програми-вимагачі: коли дії користувача стають частиною атаки
Однією з найнебезпечніших загроз для фінансових установ залишаються програми-вимагачі (ransomware).
Після проникнення до корпоративної системи таке програмне забезпечення може зашифрувати важливі файли або заблокувати доступ до них.
Зловмисники вимагають викуп за відновлення доступу, а іноді додатково погрожують оприлюднити викрадені дані.
Людський фактор може відігравати роль на початковому етапі атаки.
Наприклад, співробітник відкриває шкідливе вкладення або використовує скомпрометований пароль.
Проте ransomware-атаки можуть використовувати й технічні вразливості без участі користувача.
Для захисту необхідно поєднувати навчання персоналу, багатофакторну автентифікацію, резервне копіювання, захист кінцевих пристроїв та моніторинг подій безпеки.
Скільки коштують витоки даних страховим компаніям?
Витік конфіденційної інформації може створювати для страхової компанії значні фінансові ризики.
За оцінками, наведеними в матеріалі LogMeOnce, середня вартість витоку даних становить приблизно 6,58 млн доларів, а у сфері охорони здоров’я — 9,23 млн доларів.
Ці цифри слід розглядати як наведені автором оцінки, а не універсальні показники для всіх страхових компаній.
Фінансові наслідки можуть включати витрати на розслідування інциденту, відновлення систем, юридичний супровід, повідомлення постраждалих та посилення захисту.
Окремим ризиком є втрата довіри клієнтів.
Для страхової компанії, яка працює з персональними, фінансовими та медичними даними, репутаційні наслідки можуть бути особливо відчутними.
І саме тому важливо інвестувати не лише в захист від зовнішніх атак, а й у контроль внутрішніх ризиків.
НБУ посилює вимоги до захисту інформації страхових компаній
Світовий досвід демонструє, що навіть великі фінансові установи з розвиненою IT-інфраструктурою можуть зіткнутися з масштабними витоками інформації.
В Україні Національний банк також посилює вимоги до інформаційної безпеки небанківських фінансових установ, зокрема страхових компаній.
Постанова НБУ №143 «Про затвердження Положення про організацію заходів із забезпечення інформаційної безпеки та кіберзахисту надавачами фінансових послуг» визначає вимоги до організації захисту інформації та управління кіберризиками.
Серед важливих напрямів:
- Управління ризиками інформаційної безпеки.
- Контроль доступу до корпоративних інформаційних ресурсів.
- Моніторинг та реєстрація подій інформаційної безпеки.
- Виявлення підозрілої активності.
- Реагування на інциденти та їх документування.
- Контроль використання програмного забезпечення.
Для страхових компаній це означає необхідність приділяти більше уваги не лише технічному захисту, а й ризикам, пов’язаним із фактичними діями користувачів.
До завершення перехідного періоду, визначеного постановою, залишилося менше двох місяців — до 13 грудня 2026 року.
Тому питання оперативного впровадження відповідних інструментів контролю стає особливо актуальним.
TimeWise: спеціальний тариф для страхових компаній відповідно до Постанови НБУ №143
Щоб допомогти страховим компаніям швидше підготуватися до нових вимог регулятора, TimeWise пропонує спеціальний тариф, орієнтований на Постанову НБУ №143.
TimeWise — програмне рішення для моніторингу активності співробітників, контролю операцій із корпоративними даними та виявлення потенційних внутрішніх загроз інформаційній безпеці.
Особливу увагу система приділяє ризикам, пов’язаним із людським фактором.
Як TimeWise допомагає страховим компаніям?
Моніторинг активності співробітників. Дозволяє аналізувати дії користувачів на робочих станціях та виявляти нетипову активність.
Аналіз операцій із файлами. Допомагає відстежувати визначені операції з корпоративними документами та виявляти потенційно ризикові дії.
Аналіз роботи з USB-носіями. Надає можливість фіксувати використання зовнішніх пристроїв і пов’язані з ними події.
Моніторинг програмного забезпечення. Дозволяє аналізувати використання застосунків та виявляти неузгоджені програми.
Журналювання подій. Забезпечує збереження інформації про контрольовані дії користувачів для подальшого аналізу.
Аналітичні звіти. Допомагають відповідальним фахівцям оцінювати активність персоналу та досліджувати потенційні інциденти.
Завдяки можливості швидкого впровадження TimeWise допомагає реалізувати окремі технічні заходи, передбачені Постановою НБУ №143, та посилити внутрішній контроль без необхідності розробляти всі відповідні інструменти з нуля.
Водночас використання TimeWise не замінює повного комплексу організаційних і технічних заходів, необхідних для дотримання вимог НБУ.
Висновок: захист даних починається з контролю ризиків
Масштабні витоки інформації у Prudential, UnitedHealth, Evolve Bank, Genworth Financial та Delta Dental демонструють, наскільки серйозними можуть бути наслідки кіберінцидентів для фінансових і страхових компаній.
Причини таких інцидентів різні — від технічних вразливостей до компрометації облікових записів і потенційно небезпечних дій користувачів.
Проте спільним залишається одне: компаніям необхідно розуміти, як використовуються їхні інформаційні ресурси, своєчасно виявляти ризики та мати інструменти для розслідування інцидентів.
В умовах нових вимог НБУ це питання стає особливо актуальним для українських страхових компаній.
TimeWise пропонує спеціальний тариф для страхових компаній, який допомагає швидко впровадити інструменти контролю внутрішніх ризиків та підтримати виконання окремих вимог Постанови НБУ №143.
Не відкладайте захист конфіденційної інформації до завершення перехідного періоду.
Замовте демонстрацію TimeWise та дізнайтеся, як рішення може допомогти вашій страховій компанії.
Idealsoft — офіційний дистриб’ютор TimeWise в Україні.
📩 orders@idealsoft.com.ua
📞 +38 (044) 593-74-76
📞 +38 (067) 622-45-42
Джерела: матеріал LogMeOnce «10 Major Insurance Company Data Breaches to Know»; інформаційні матеріали Idealsoft щодо TimeWise та Постанови НБУ №143.