Target Caso - Autopsia de violación de datos

[pic 1][pic 2][pic 3][pic 4][pic 5][pic 6]

1. PROBLEMA.

Debido a la masiva violación de seguridad, 40 millones de tarjetas de débito y crédito han sido robadas de Target. Como resultado, la compañía enfrenta 140 demandas que reclaman millones de dólares en daños de clientes, accionistas y proveedores de servicios (instituciones financieras). La compañía ha estimado que el costo de la infracción rondará los $ 500 millones y enfrentará una multa reglamentaria debido al incumplimiento. Además, Target ha visto una caída del 5.3% en ingresos y un 46% en ganancias. Además, la organización ha perdido muchos clientes y varios proveedores de servicios, lo que ha causado daños a su reputación. El retraso en la solución del problema actual dará lugar a varios problemas financieros y no financieros para la organización y erosionará la reputación de la organización.

1. INFERENCIAS E INVESTIGACIONES EXTERNAS

Se instalaron malware indetectables en una cantidad de sistemas de puntos de venta en un corto período de tiempo, lo que indica que el software puede haberse instalado a través de un proceso de actualización automática. Los atacantes completaron su pirateo accediendo a uno de los proveedores externos de Target, un contratista de refrigeradores, Fazio Mechanical. El vendedor que accedía a los sistemas de Target no usaba un software antimalware adecuado, y su falta de segregación entre las redes llevó al compromiso de millones de información de los clientes.

Lo que Target hizo mal

Como los ataques de malware a menudo son impredecibles y aleatorios, hay pocas cosas que una empresa puede hacer para evitar un ataque. Cómo responde una empresa a una infección de malware hace una diferencia considerable en cómo un ataque afecta a sus clientes y negocios. La respuesta inicial es crucial para minimizar un ataque de malware, y también es una de las áreas donde Target tuvo un rendimiento inferior.

Target se perdió varias alertas internas y solo se enteró de su incumplimiento cuando el Departamento de Justicia se puso en contacto. Su software de monitoreo (FireEye) alertó al personal de Target en Bangalore, India, quien a su vez notificó al personal en Minneapolis: pero no se tomó ninguna medida.

A pesar de que, según se informa, Target gastó una gran suma en tecnología de seguridad utilizando encriptación, se accedió a sus datos en la memoria donde no estaban cifrados.

Daños a la compañía

Si bien Target sigue afectado por los resultados de la infracción de hoy, la empresa enfrentó pérdidas importantes en el momento de la ocurrencia, lo que hizo que retrocedieran considerablemente durante la temporada de vacaciones. Después de que las ganancias cayeron un 46 por ciento durante el cuarto trimestre de 2013, las visitas de los clientes se desplomaron durante el nuevo año, prolongando las pérdidas de Target. Se presentaron más de 140 demandas en tres años. The Huffington Post estima que el incumplimiento ha costado $ 252 millones hasta ahora, incluidos los costos para que los bancos vuelvan a emitir 21.8 millones de tarjetas.

1. ALTERNATIVAS DE SOLUCIÓN

• Monitorear las redes y estar atento a los patrones disruptivos o inusuales en la red de un sistema es crucial para proteger sus sistemas y, a su vez, los datos de los clientes.

• Implementar sistema de tokens

En el caso de la violación de Target, la tokenización habría jugado un papel crucial en la protección de la información del consumidor. En lugar de confiar en los métodos básicos de encriptación, la información del cliente se habría reemplazado con tokens únicos e irreversibles, que los hackers no pueden acceder y decodificar.

• Terminales que acepten tarjetas chip 

Podría haber evitado el robo de información a través de la banda magnética en la parte posterior de las tarjetas.

1. SOLUCIÓN

Principalmente por la magnitud del impacto del caso tanto económico, tecnológico y de reputación que sufrió Target con el ataque, no se debe de dejar nada por fuera y la integración de las diferentes alternativas de solución darían una mejor respuesta a la crisis post ataque.

...