В Канаде хакеры атакуют организации с доступом к личным данным граждан

Канадские некоммерческие организации все чаще становятся удобной мишенью для киберпреступников. Причина проста: у НКО накапливаются огромные массивы сенситивных данных - от адресов до финансовой информации, но денег и специалистов на защиту уровня «как в корпорации» часто нет.

Новая волна тревоги поднялась после утечки в Crime Stoppers. В результате взлома появились вышли данные, связанные более чем с 1,5 миллионами сообщений, которые поступали в канадские подразделения организации на протяжении 25 лет. Эксперты, с которыми поговорили журналисты, считают: это не случайность и не единичная история, а симптом общей проблемы.

Пол Никол, руководитель одного из офисов сети Community Futures в сельском Брюсселе (Онтарио), говорит, что после новостей о Crime Stoppers у него мелькнула только одна мысль: «Черт, такое происходит каждый день». Его организация хранит горы личных данных - имена, адреса, номера социального страхования. А фишинговые письма и попытки выманить доступы прилетают по три-четыре раза в неделю. «Где-то на фоне все время висит темное облако: «Сегодня тот самый день, когда нас взломают?» — признается он.

Проблема, подчеркивают специалисты, еще и в том, что масштаб атак на НКО часто недооценивают - и сами организации, и их доноры. Люди спокойно оставляют личные данные благотворительным и общественным структурам, не думая о рисках. Между тем эти базы с сенситивной стороны иногда ничуть не уступают коммерческой: там могут быть данные жертв насилия, мигрантов, подопечных социальных служб, сотрудников и волонтеров. При этом возможностей защититься - заметно меньше. После инцидентов многие НКО предпочитают молчать, чтобы не пугать доноров и не подрывать доверие местных сообществ.

Глава фонда Protect.ngo Foundation (Женева) Стефан Дюген отмечает: атакуют некоммерческий сектор с разных сторон. Есть массовые кампании вроде фишинга, но встречаются и точечные, политически мотивированные операции - вплоть до атак, за которыми могут стоять государства или связанные с ними структуры. Цель бывает не только украсть данные, но и сорвать работу на местах или ударить по репутации. «Их атакуют так, чтобы людям больше не хотелось им доверять… Бьют по их репутации», - объясняет Дюген.

Причем даже крупные международные организации, у которых ресурсов больше, не чувствуют себя в безопасности. В последние годы среди пострадавших назывались Greenpeace и Amnesty International Canada. По словам Дюгена, публичность только повышает ставки: заметные структуры особенно привлекательны для тех, кто хотел бы заставить их замолчать.

Одно из слабых мест - модель финансирования. Деньги чаще выделяют под конкретные проекты, а не на «невидимую» инфраструктуру вроде киберзащиты. В итоге НКО сложно выстраивать долгосрочную цифровую стратегию и конкурировать за опытных ИТ-специалистов. В 2024 году десятки руководителей крупнейших гуманитарных организаций мира даже подписали открытое письмо с просьбой о поддержке: они прямо заявили, что им не хватает ни ресурсов, ни экспертизы, чтобы соответствовать современным требованиям безопасности.

Новости интереснее, когда есть с кем их обсудитьПознакомьтесь с русскоязычными людьми из Ванкувера и других городов Канады. Возможно, тот самый человек уже совсем рядом.Посмотреть, кто сейчас на сайте →

По оценке Protect.ngo, с ноября 2018 года публично зафиксировано свыше тысячи атак на некоммерческий сектор по всему миру, и как минимум 22 случая связаны с Канадой. При этом реальная цифра, уверены в фонде, выше: о многих инцидентах просто не рассказывают. «Им нет выгоды сообщать об этом. Если сообщат - доноры могут отвернуться», - говорит Дюген.

В качестве одного из вариантов решения эксперты называют федеральную программу добровольной сертификации CyberSecure Canada. Управляющий директор Complade (одного из аккредитованных органов) Иэн Эшор объясняет: сертификат выдается на два года и требует внедрить больше десятка мер - например, многофакторную аутентификацию и шифрование данных. Эшор сравнивает отсутствие проверки киберзащиты с наймом непрофессионального бухгалтера: «Это уже халатность».

Он также обращает внимание на разницу подходов: в Великобритании киберсертификация обязательна для поставщиков, включая некоммерческие организации, если они претендуют на ряд госконтрактов, где задействованы персональные данные. В Канаде обязательные требования распространяются в основном на часть подрядчиков в оборонной сфере. На этом фоне, по словам Эшора, действующий сертификат CyberSecure Canada сейчас есть всего у 58 малых и средних организаций - включая 19 НКО, сертифицированных через Complade. Для сравнения: на сайте Канадского налогового агентства числится более 85 тысяч организаций, зарегистрированных как благотворительные.

При этом ни Canadian Crime Stoppers Association, ни ее местные программы не имеют сертификации CyberSecure Canada. Пол Никол рассказывает, что его Community Futures пошла на сертификацию по запросу FedDev Ontario - федерального агентства, которое финансирует офисы организации в Южном Онтарио - и выделило разовое финансирование на услуги аккредитующей компании. По его словам, процесс оказался изматывающим: сотни часов работы сотрудников и волонтеров, проверка каждого приложения и платформы, разбор того, как устроено взаимодействие с подрядчиками и поставщиками. Однако итог, уверен Никол, «абсолютно того стоил».

История Crime Stoppers отдельно подсветила хроническую боль - риски, связанные с третьими сторонами, которым НКО доверяют обработку данных. Сообщения Crime Stoppers обрабатывала американская компания Navigate360. Именно она стала целью мартовского взлома, после которого и произошла утечка. В рекламных материалах Navigate360 утверждается, что компания «поддерживает ежегодное соответствие SOC 2 Type 2 Security Compliance». Как объясняет эксперт по кибербезопасности Али Дехгантанхи, канадский исследовательский председатель по кибербезопасности в Университете Гуэлфа, такой отчет - это конфиденциальная ежегодная оценка мер защиты, и его «должна была получить любая организация, которой доверяют личности информаторов». Как отмечает CBC News, журналисты направляли вопросы Navigate360 и Crime Stoppers о наличии активных сертификатов и о том, передавались ли отчёты SOC 2, но ответа не получили.

Дехгантанхи добавляет: сертификация уровня CyberSecure - «лучше, чем ничего», но она не заменяет регулярные независимые аудиты. Ситуацию осложняют и юридические нюансы: в материале отмечается, что многие канадские НКО в значительной степени выведены из-под действия закона Personal Information Protection and Electronic Documents Act, который мог бы повышать ответственность за нарушения конфиденциальности.

Дюген считает, что подталкивать сектор к нормальной кибергигиене должны и те, кто его финансирует. Доноры и филантропы, прежде чем передавать деньги и данные, могут и должны спрашивать у организаций простую вещь: есть ли понятная стратегия кибербезопасности и как она устроена. «Ответственное донорство - это убедиться, что получатель помощи защищен», - говорит он, напоминая, что часть инструментов и рекомендаций для НКО доступна бесплатно.