Законы о проверке личности провоцируют новую волну нарушений

[admin]

Сообщество кибербезопасности давно придерживается простого принципа: не собирайте больше данных, чем можете защитить. Однако законы об идентификации и другие правовые требования теперь вынуждают многие организации хранить огромные объёмы конфиденциальных данных, что ставит их в опасную ситуацию, когда приходится иметь дело с информацией, которая им не нужна, но которую необходимо защищать.
Недавняя утечка данных Discord наглядно демонстрирует эту проблему. В начале октября 2025 года платформа обмена сообщениями и играми сообщила, что киберпреступники взломали одного из её сторонних поставщиков услуг поддержки клиентов, получив доступ к личной информации пользователей, которые обращались в службу поддержки или службу доверия и безопасности Discord.
Хотя утечка включала типичные данные заявок на поддержку, включая имена, адреса электронной почты, IP-адреса, ограниченную платежную информацию и сообщения службы поддержки клиентов, одна категория украденных данных выделялась особенно: выданные правительством документы, удостоверяющие личность.
Согласно официальному заявлению Discord , киберпреступник получил доступ к изображениям удостоверений личности правительства, полученных от пользователей, которые использовали партнера Discord для обжалования исключений из сообщества по причине несовершеннолетия.

Дилемма закона об удостоверениях личности​

Discord не собирал эти государственные удостоверения личности просто так. Законы о проверке возраста становятся всё более популярными по всему миру. Обычно они требуют подтверждения возраста с помощью выданных государством документов, таких как водительские права, паспорта или национальные удостоверения личности.
Непроверка документов может привести к многомиллионным штрафам. Цель разумна: защитить несовершеннолетних от нежелательного онлайн-контента. Но для организаций, которым приходится собирать данные, эти законы могут стать настоящим кошмаром в плане безопасности.
Теперь организациям приходится собирать и хранить огромные объёмы максимально конфиденциальной персональной информации, независимо от того, есть ли у них инфраструктура для её адекватной защиты или даже желание её собирать. Старое правило минимального сбора данных теряет актуальность, когда закон требует максимального сбора данных.

Каскадное воздействие​

Любая организация, взаимодействующая с общественностью, включая поставщиков медицинских услуг, компании финансовых услуг, образовательные учреждения или сайты электронной коммерции, может столкнуться с необходимостью проверки возраста, проверки личности или соблюдения других нормативных требований, которые предписывают сбор и хранение конфиденциальных документов.
Каждая новая база данных государственных удостоверений личности становится потенциальной угрозой утечки. Когда такая утечка происходит, ущерб выходит за рамки непосредственных жертв.
Организации и их партнеры могут столкнуться с нормативными штрафами, судебными разбирательствами, ущербом репутации и потерей доверия клиентов.
Для малого и среднего бизнеса даже одна серьезная утечка персональных данных (PII) может иметь разрушительные последствия.

Задача MSP​

Поставщики управляемых услуг (MSP) сталкиваются с этой проблемой из-за своих клиентов. По определению, MSP обрабатывают конфиденциальные данные для множества клиентов из разных отраслей, каждая из которых имеет свои нормативные требования и профиль риска.
Утечка данных, затрагивающая MSP-провайдера, ставит под угрозу данные не только одной организации. Она потенциально затрагивает десятки или сотни организаций-клиентов одновременно.
Традиционный стек технологий MSP усугубляет эту уязвимость. Многие MSP-провайдеры объединяют несколько точечных решений: отдельные инструменты для резервного копирования, защиты конечных точек, управления уязвимостями, управления исправлениями и обеспечения безопасности.
Каждый дополнительный инструмент представляет собой еще один потенциальный вектор атаки, еще одну интеграцию, которую необходимо защитить, еще одни учетные данные, которые необходимо защитить, и еще одни отношения с поставщиком, которые необходимо контролировать.
Эта сложность создаёт пробелы. Данные могут быть зашифрованы при передаче одним инструментом, но не зашифрованы другим. Политики безопасности могут не синхронизироваться на разных платформах.
Слепые зоны в мониторинге возникают, когда системы не взаимодействуют эффективно, а в условиях, когда поставщикам управляемых услуг приходится защищать огромные объемы клиентских данных, включая правительственные удостоверения личности, финансовые записи и медицинскую информацию, требуемую теперь различными нормативными актами, эти возникающие пробелы становятся неприемлемыми и опасными.

Упрощение через интеграцию​

Решение заключается не в добавлении дополнительных инструментов безопасности, а в их консолидации. MSP-провайдерам необходимо упростить операции с помощью изначально интегрированных платформ безопасности, объединяющих кибербезопасность, защиту данных и управление конечными точками в едином решении с единой точкой управления.
По-настоящему интегрированная платформа устраняет пробелы в безопасности, присущие средам с оборудованием от разных поставщиков.
Когда резервное копирование, защита конечных точек, аварийное восстановление и мониторинг безопасности выполняются через одного агента с одной консолью управления, отсутствуют точки передачи данных, в которых данные могут быть раскрыты, отсутствуют уязвимости интеграции, которые можно было бы использовать, и не возникает путаницы относительно того, какой инструмент что защищает.
Встроенная интеграция обеспечивает не только безопасность, но и практические преимущества. Поставщики управляемых услуг могут снизить административную нагрузку, связанную с управлением отношениями с несколькими поставщиками, лицензиями и контрактами на поддержку.
Централизованный мониторинг обеспечивает полную прозрачность всех клиентов через единую панель управления. Автоматизированные рабочие процессы снижают количество человеческих ошибок, которые часто создают уязвимости безопасности.
Самое главное — интеграция значительно сокращает поверхность атаки. Каждая дополнительная платформа, агент или консоль управления представляет собой ещё одну потенциальную точку входа для злоумышленников.
Внедряя изначально интегрированные решения на единой интегрированной платформе, поставщики управляемых услуг могут сосредоточиться на повышении безопасности клиентов, а не на управлении несколькими решениями.

Новый императив безопасности​

Старое правило — не собирать больше данных, чем можешь защитить — не всегда применимо в современных нормативных условиях. Утечка данных Discord-партнёра служит предупреждением о последствиях законов об идентификации для защиты данных.
Поставщикам управляемых услуг необходимы все возможные преимущества, включая встроенную интеграцию в используемые ими платформы, чтобы обеспечить безопасность постоянно растущего объема клиентских данных.

О ТРУ​

Подразделение Acronis Threat Research Unit (TRU) — это команда экспертов по кибербезопасности, специализирующаяся на анализе угроз, искусственном интеллекте и управлении рисками. Команда TRU исследует возникающие угрозы, предоставляет аналитику безопасности и оказывает поддержку ИТ-отделам, предоставляя рекомендации, меры реагирования на инциденты и обучающие семинары.