Самая большая утечка данных, по вине программиста

Подписаться 58 тыс.

Просмотров 12 тыс.

50% 1

Вероятно произошла самая большая утечка данных на данный момент. В результате ошибки айтишника хакеры смогли получить доступ к данным, хранящимся в Snowflake. И это были данных большого количества компаний.
НЕТ ВОЙНЕ!
Выразить благодарность
ko-fi.com/larc...
boosty.to/larc...
yoomoney.ru/to...
BTC: 127J5x79L9bb7T4jiYJ2U7jHNDLXEx4kT3
USDT (TRC20): TWRQit8o1JJGWjAph3DZFysygUxSwqiq9Q
TON: UQBDiFGDTLpp1zWLefv0LnH9TbEeUIcPSoO5uDNwhzktKP33
Как я стал программистом
• КАК Я СТАЛ ПРОГРАММИСТОМ
Как я переехал в Европу
• Как я переехал в Европу
Стрим: Карьера программиста
• Карьера программиста: ...
VPN, который я использую
get.surfshark....
➡️ Сайт: i.mobila.name/xT
➡️ Instagram: i.mobila.name/yp
➡️ Twitter: i.mobila.name/Ua
➡️ Telegram: i.mobila.name/b7d
👉🏻 Больше влогов здесь:
#larchankavlog #larchanka
👉🏻 Ежедневные влоги:
#larchankadaily
👉🏻 Чем я снимаю:
➡️ iPhone 14 Pro
➡️ Еще одна камера: DJi Osmo Action
➡️ Еще одна камера: Sony DSC-WX500
Музыка:
And Another Thing - American Legion
Fool's Gold - Jules Gaia

Опубликовано:

27 сен 2024

Ссылка:

Скачать:

Готовим ссылку...

Добавить в:

Мой плейлист

Посмотреть позже

Комментарии : 92

@Yegoros 3 месяца назад

Шеф, у нас дыра в безопасности! - Ну хоть что-то у нас в безопасности

@ismalit 3 месяца назад

😂

@ivan_kushchenko 3 месяца назад

🤣🤣🤣🤣🤣🤣

@SuperGoyda 3 месяца назад

😂😂😂

@user-hy8js0g59m 3 месяца назад

Лайк!

@redneck_prm5429 3 месяца назад

Если заражение рабочего компьютера аутсорс разработчика ведет к утечке данных - проблема тут совсем не в разработчике. Но с ИБ в разработке вообще ситуация печальна. Есть два полюса - либо "авось пронесет", либо "огораживаем всё" (банки и около). А нормальную золотую середину, с грамотно разделенными контурами, чтоб можно было и с домашнего компьютера комфортно работать, и при этом кулхацкеры дальше дев-контура пролезть не смогли бы никак - встретить крайне сложно.

@turkishjoe9890 3 месяца назад

По моему опыту проблема не только в программистах, а в том что используется продуктовый подход, где фича была нужна вчера и программист вместо того, чтобы дать время сделать все как надо, вынужден создавать по сути прототип, в котором альфа-бета версия фичи по сути в продакшене. А потом бизнес, вместо того, чтобы выделить время на рефакторинг просит еще закатить 10 таких альфа-бета фич. Баги, которые впоследствии создаются, как правило краевые кейсы недоделаных подобных фич. Естественно среди этих краевых кейсов, есть кейсы безопасности. А на подсознательном уровне сложно знать все уязвимости

@ForesteamIV 3 месяца назад

Это же хорошо, когда дыра в безопасности

@apofeoziy 3 месяца назад

особено когда ты даже не догадываешься что твой паспорт может оказаться в сети

@equim7363 3 месяца назад

@@apofeoziy он уже давно там

@AlexanderShuraev 3 месяца назад

меня сразу напряг один нюанс - почему у какого-то аутсорсного разраба с ЕПАМа был доступ к реальным данным клиентов на проде? :) тут все же вопрос не к ЕПАМу и его гребцам, а к компаниям у которых утекли данные

@batazor 3 месяца назад

Вот да, если процессы выстроены норм, то этот доступ разрабу даже не нужен. Как и админам/etc, но над этим нужно работать, развивать процессы и навыки команды.

@mycafe7513 3 месяца назад

Может потому что это было необходимо?

@balaamster 3 месяца назад

@@mycafe7513 С чего это вдруг необходимо? Для разработки и тестирования создаются БД с обезличенными данными. Если для разработки использовались продовые БД, то виноваты все - кто эти данные выгрузил в тест/дев. ИБ, которые не обеспечили проверку данных и обеспечение рабочего DLP и т.д.

@DreamingDolphing 3 месяца назад

Не знаю как там точно всё было устроено в епаме, но наверняка там был и рабочий VPN и компьютер использовался только для рабочих нужд, а письмо пришло с рабочего домена и поэтому он его открыл. Это если верить хакерам, которые просто могут хотеть пустить расследование по ложному следу.

@werererw4434 3 месяца назад

Верить словам компании, которая хочет показаться непричастной - сомнительно. Верить словам хакеров, которые хотят поиметь денег с компании - сомнительно Верить словам СМИ, которые хотят накинуть говна на вентилятор - сомнительно. Верить словам пользователя, который "я ничего не нажимал" - сомнительно. А что до безопасности, так есть поговорка "что бы на 100% обезопасить ваш ноутбук от вирусов и троянов, отключите его от интернета и вытащите аккумулятор. Готово! Вы достигли предела информационной безопасности!"

@czA 3 месяца назад

не все так однозначно.

@Torbjorn-ph7rt 3 месяца назад

Нихрена это не безопасно. К вам может пробраться вор, взять что выглядит подороже, а ноут выглядит подороже телевизора и продать его за дозу героина тому кто знает что делать с данными которые на нём есть.

@Torbjorn-ph7rt 3 месяца назад

Шифрование диска или хотя бы домашней папки юзера слегка улучшит безопасность

@czA 3 месяца назад

@@Torbjorn-ph7rt до тех пор, пока у тебя нету полного доступа к пк

@Torbjorn-ph7rt 3 месяца назад

@@czA ну смотря какое шифрование, к примеру eCryptfs нормально шифровал но к сожалению имел врождённые дефекты от которых и умер, но сам шифр был вполне стойким

@czA 3 месяца назад

я кстати так и не понял за что "надо наказать" сотрудника. Какой-то извращеный виктим блейминг, его взломали, поэтому он виноват?

@xxxVladislovExxx 3 месяца назад

В реальности дадут по рукам, пригрозят пальцем всем остальным. Если хакеры скажут/сказали кто конкретно виновен - тогда да, могут показательно уволить. А так всем пофиг, ведь вряд ли у работника будет в кармане несколько лярдов на компенсацию ущерба :D

@QuickMixKZ 3 месяца назад

Камеру стоит заклеивать хотя бы из-за того, что забывал её отключить после созвона с камерой, а на следующий день, когда созвон без камер, внезапно подключаешься с камерой. Ещё был случай, когда быстро хотел включить микрофон, а включил камеру. Ну и на корпоративном ноутбуке, так спокойнее.

@sergeylan1159 3 месяца назад

А антивирусника на служебном компе нет вообще никакого? Никаких ограничений по портам тоже нет, ни брендмауэра, ни фаерволла? Тем более у удаленного сотрудника, который может работать из небезопасной сети? У простого разработчика есть доступ сразу в базу с данными клиентов, а не в тестовую? Или сами прошляпили, а потом сказали, а вот разработчик лажанулся, мы тут совсем не причем?

@vasylvoina6663 3 месяца назад

Ничего не понятно с этим вашим ой-ти. Раньше были гики, которые все знали, но им начали говорить что-то типа: "писать код уже недостаточно, надо иметь софт-скилы и так далее". Теперь набрали милионны софтскиловых вечно улыбающихся разработчиков, которые почему-то нажимают на фишинговые ссылки. Почему так случилось - самая большая загадка современности, которую еще стоит разгадать...

@vitalyl1327 3 месяца назад

Раньше был червь Морриса, который угадывал тупые пароли тех самых гиков без малейшего труда.

@Torbjorn-ph7rt 3 месяца назад

Очень хочется в работе общаться только с жирой, гитом, айдие и своим банковским счётом, но нет, вот вам ежедневные стендапы, вот вам двухнедельные чекпоинты, вот вам тимбилдинги с необходимым посещением, вот менеджер который каждые пять минут пишет "ну скоро?“ и забанить его блть нельзя!

@xxxVladislovExxx 3 месяца назад

@@Torbjorn-ph7rt максимум что можно сделать - поставить реакцию клоуна на сообщении в слаке :D

@АлександрБолотов-г4е 3 месяца назад

не совсем так, проблема в том, что любой программист прежде всего человек. Будь он гиком или дурачком случайным, он всё же человек. самый ответственный программист после подъёма деплоя ночью ( а до этого ессно был рабочий день) вполне может кликнуть на письмо "коллеги/кастомера", которое может выглядеть вполне обычно

@nikitaandreev129 3 месяца назад

Это не обязательно письмо, связанное с личными целями разработчика. Фишинговая ссылка могла прийти от клона почтового адреса коллеги или какого-то рабочего сервиса С позицией про гиков тоже не согласен. Сейчас в IT огромное количество областей и, как следствие, уязвимостей. Невозможно интересоваться и знать обо всём

@stanislav57 3 месяца назад

Когда говорю, что в 2000х программисты получали оклад не больше, а то и меньше продавца-консультанта, некоторые мне не верят и спорят, хотя сами в то время ещё в школу ходили в лучшем случае. Вспоминая тогдашних коллег и разговоры на перекурах, мы и правда были гики, увлечённые профессией люди, у которых хобби внезапно стало заработком.

@lostlimits 3 месяца назад

Святые времена! Линух на 4 cd, инсталяшка без GUI

@elvispresley8935 3 месяца назад

Дануна. Взломщики вот так просто получили удаленный доступ к компьютеру программиста, играючи обойдя защиту? Рядовой программист имеет прямой доступ к данным клиента банка ?? Ну тут уж больше вопросов не к программисту вовсе, если изложенному верить, конечно. Лично я сильно сомневаюсь, что картина здесь изложенная, похожа на настоящую.

@rkpstam 3 месяца назад

Прокладка между компьютером и безопасностью - "программист") Звучит очень интересно во времена появления всяких Девинов)

@romchik_dev 3 месяца назад

Думаю, что будет двойная жертва в компании. Сначала его заразили вирусом и скачали данные, потом его назначат виновным)

@dmitriyf1 3 месяца назад

Какойто клик бейт. Натарахтел, натарахтел общих слов. Я думал чтото интересное. Просто рант

@Adarfell 3 месяца назад

Никто не застрахован от фишинга на самом деле. А у сноуфлейка плохо выстроена безопасность, раз через любого рандомного аутсорсера можно выкачать данные всех клиентов

@dzmitrykuzmiankou6418 3 месяца назад

вы не понимаете.... ЕПАМ предоставлял услуги администратора для нескольких компаний. Взломали аккаунт этого админа - взломали всех кому они предоставляли свои услуги. Виноват тогда не Snowflake а конкретный инженер ЕПАМ который не поставил на свой аккаунт 2FA

@Adarfell 3 месяца назад

@@dzmitrykuzmiankou6418 да, не увидел сначала. Креды хранились в открытом виде и ещё в jira. Ну тут все хороши

@batazor 3 месяца назад

Доверять сотруднику - это плохой путь, zero safety, не доверять самому себе, и не будет таких проблем, это в 2024 кстати и не прям чтоб дорого сделать (но денег стоит)

@Yegoros 3 месяца назад

Там еще такой прикол что у этого SnowFlake не было даже двуфакторной аутентификации

@travacry 3 месяца назад

Миша как обычно мимо, если это ключи, то они не должны давать доступ в основной контур системы, если это быра в безопасности - проблема безопасников и скорости разработки, малая команда это уже к сео, ну а в целом - несите нового архитектора.

@mythbuster6126 3 месяца назад

@@travacryкакое отношение архитектор имеет к ИБ?

@travacry 3 месяца назад

@@mythbuster6126 прямое) если он не взял в команду АБ, вся ответвественность на нем, если взял на АБ.

@Rusu421 3 месяца назад

Таких людей называют бро-грамисты. Потому что у них софт скилы есть, которые помогают их нанимать.

@Chastor97 3 месяца назад

жэс. Я сам работал в ЕПАМе. Там же тренингов вагон. С ума сойти сколько их там было. А всё равно не помогло. Жаль 😥

@AEF23C20 3 месяца назад

тут все такие умные, все всё могут, кнопки красят, но ни у кого ничего своего нет ахаха! выводы

@rusmemes 3 месяца назад

лежу, смотрю ютубчик с рабочего мака

@EdwardNorthwind 3 месяца назад

Сейчас у людей нету времени разбираться ещё и в администрировании. Раньше выучил HTML и CSS, и ты уже пишешь сайты. Потом добавился РНР и JS. А теперь такой стек технологий, что только сам список нужно заучивать. А про разобраться со всеми этими и начать пользоваться я вообще молчу.

@Man-si9xf 3 месяца назад

какие?

@EdwardNorthwind 3 месяца назад

@@Man-si9xf тебя в Гугле забанили? Посмотри карту изучения для веба, или для бэка.

@HEX_CAT 3 месяца назад

❤❤❤🎉🎉🎉

@bomzhiha-s-kurskogo-vokzala 3 месяца назад

А это вообще норм, что банк работает в облаке, а не на своей инфраструктуре?

@IgorYegorkin 3 месяца назад

Если банк из Харькова, то ещё как нормально.

@czA 3 месяца назад

хз. Однако к данной утечке никакого отношения не имеет(если мы верим хакеру). если получили фул контрол к пк, который имел фул контрол к данным. там уже как разница, это облако или файлы на диске?

@bomzhiha-s-kurskogo-vokzala 3 месяца назад

@@czA понятно, что к данной теме это относится косвенно, но просто интересно. И до этого казусы с облаками были

@sergeyb2823 3 месяца назад

Я никогда не открываю левые письма. Я гик?

@SanSanik696 3 месяца назад

Ну кошмар, я не программист и то понимаю что щас много проблем происходит из-за фишинговых сообщений 😅 как так можно?😅 Это буквально халатность человека тыкать по ссылкам без всякой мысли предосторожности, да еще и на рабочем ноутбуке🙈🤷🏽‍♂️

@SanSanik696 3 месяца назад

Щас на личном компе чтобы что-то скачать или установить, 15 раз подумаешь стоит ли, и нормальный ли сайт с которого хочешь скачать 😂

@EdwardNorthwind 3 месяца назад

Ничего не известно, но вы уже постановили, что письмо пришло на личную почту, а текст был таким, что и ребенок догадался, что это развод... А вдруг оно пришло на рабочую и выглядело обыденным? Компании часто делают новостные рассылки и проводят опросы. Более того, компании часто настаивают чтобы подобные опросы были пройдены.

@ПроМойМаркетплейс 3 месяца назад

Что за дичь? Не возможно в нормальной компании ставить ПО на рабочий комп. Откуда права администратора? Ку ку, на дворе 2к24. П.с. работаю в Сбере, если что

@ivansnob2360 3 месяца назад

тикетмастер 🤣🤣🤣

@xMurieLLx 3 месяца назад

@larchanka ну как всегда и было - какими бы не были продвинутыми технологии, но социальную инженерию никто не отменял)

@vitalyl1327 3 месяца назад

Так бывает, когда нанимают "программистов"-самоучек или с курсиков.

@nikitaandreev129 3 месяца назад

Как по вашей логике стать программистом, не обучаясь самостоятельно или по курсам?😂

@vitalyl1327 3 месяца назад

@@nikitaandreev129инженерами становятся, получив качественное инженерное образование из серьезного ВУЗа. В самом крайнем случае - смежные STEM дисциплины. Не на курсиках, не "самостоятельно".

@nikitaandreev129 3 месяца назад

@@vitalyl1327 тогда во всём мире практически нет программистов ¯\_(ツ)_/¯. - Не понятно, каковы критерии серьёзного вуза и в чём и как измерить эту серьёзность - Даже в серьёзных вузах есть преподаватели, не разбирающиеся в своём предмете или забивающие на процесс обучения - Программа вузов отстаёт на 5-10 и даже 20 лет от развития технологий. С таким отставанием ни о какой безопасности даже речи идти не может - В принципе очень странно, что вы отдаёте вузам монополию на хорошее образование. Ведь в таком случае логично, что у выпускников магистратуры можно получить такое же качественное образование (т.к. магистратура даёт право преподавать) - Если бы обучение заканчивалось на программе вуза, то разработчик максимум мог бы написать условно какую-нибудь бд, калькулятор на си и владел бы парой технологий типа OpenGL и QT (да, с хорошей математикой, которая без стека погоды почти не делает). Без самообучения тут ну вообще никак

@nikitaandreev129 3 месяца назад

@@vitalyl1327 - Что значит, серьёзный ВУЗ? В чём и как измерить серьёзность ВУЗа? - Почему ВУЗы имеют монополию на образование в вашем понимании? - Если преподаватель уйдёт из ВУЗа и будет преподавать обучать самостоятельно, чем такое образование будет хуже высшего? - В вузах не бывает преподавателей, не знающих свой предмет? - Программа в вузе включает в себя базу пары языков программирования и пару технологий типа OpenGL и WinForms. Вы правда считаете, что без дополнительного образования можно найти хоть сколь-нибудь приличную работу? И почему в вашем понимании невозможно самостоятельно освоить эти простые вещи? - Программа в ВУЗах отстаёт от развития IT технологий на 5-10 и даже 20 лет. О какой безопасности может идти речь?

@AlexQ118 3 месяца назад

Если у какого-то аутсорс разработчика есть доступ ко всем этим данным, то это вина не разработчика. Теоретически, ничего не мешает хакеру подкупить какого-нибудь разработчика, и получить эти данные. Или разработчик сам и может быть хакером. И даже ничего взламывать не надо, заходишь под своими кредами, и скачиваешь данные. А потом говоришь, что тебя взломали.

@ВадимШевчук-к9я 3 месяца назад

В ЕПАМ повернуты на безопасности. Перед тем как зайти куда либо там 500 тренингов о том что можно и нельзя, плюс регулярные аудиты проходят, плюс собственная служба безопасности проверяет рабочую почту, плюс доступы разграничены, поэтому как-то сомнительно. Но если так, то искренне жаль парнишу

@dzmitrykuzmiankou6418 3 месяца назад

как это мешает не иметь 2FA в стороннем сервисе? ну не включил и все, не проверили за ним...

@coox4546 3 месяца назад

Я работал в ЕПАМ. И там действительно все завернуто на безопасности. У обычного разраба в 90% случаев нет продакшен кредов. Выглядят очень мутно все эти заявления о якобы трояне и получении кредов от средне статистического разраба. Ежели у обычного разраба были продакшен креды, то это, по большому счету, ошибка менеджмента. Как и в случае с удалением БД джуном, которому, по ошибке, дали прод.

@ВладиславГришин-ш7ш 3 месяца назад

ну утекла и утекла. все что надо и так кому надо известно

@ИгорьЕ-й9э 3 месяца назад

Неплохо бы делать вставки с названиями, как я думаю

@vasylvoina6663 3 месяца назад

Ох уж ета прокладка между человеком и програмным обеспечением под названием "разработчик". Сколько проблем от него. Лучше бы люди сами делали вот эти ваши програмы, а не разработчики какие то. И вообще, термин человеческий фактор не может относиться к етим, как их там, разработчикам, потому что они и не человеки вовсе, а кто-то там как-който там...

@braian0511 3 месяца назад

Любой человек который может разрабатывать, уже автоматически становится разработчиком. Фраза, «лучше бы люди сами разрабатывали вместо этих разработчиков» звучит абсурдно. И вообще тут проблема не в том что этот разработчик как то не правильно написал код или же допустил ошибку на уровне программы, а в том что он просто открыл левую ссылку, что вообще не относится к написанию программы. Хотя есть большая вероятность что в будущем и не будет никаких разработчиков потому что их заменит ИИ который и код классный напишет и ссылки никаких не будет открывать

@meteozond 3 месяца назад

Мля! 4:00 - Люто плюсую!!! Это не только безопасности но и качества кода касается... А учитывая что у таких войтишникой-заработчан софтскилы развиты лучше - они быстро попадают в руководство и свой пофигизм тащат соотвественно!

@CheckTime 3 месяца назад

Мне на работе как руководителю выдали доступы от базы, я к её скачал через скрипт перелистывающий html. Когда директор об этом узнал, потому что мой коллега ей воспользовался сделать ничего не смог. Почему?

@ПавелВладимиров-и9л 3 месяца назад

В яндексе выдают ноут, на нем установлено какое-то по для безопасности, не все можно туда устанавливать. Не знаю насколько там все хорошо сделано, но троян уже так просто не установить.

@mightybobka 3 месяца назад

Что мешает работнику открыть письмо на рабочем компе (что обычно и происходит)?

@ivan_kushchenko 3 месяца назад

Думал вы всегда одни дома) Крутая атмосфера, когда гости приходят!))

@Faynot__ 3 месяца назад

в конце посхалочка внезапная

@Adarfell 3 месяца назад

У всех вебок установлена аппаратная лампочка при включении. зачем её заклеивать?

@wasted-time-solutions 3 месяца назад

Почти на всех ноутбуках бизнесс класса стоит физическая шторка на вебке и есть отключение микрофона. Прям с завода ставят.

@Roman_Nikolaevich 3 месяца назад

Люди работают из дома на своих домашних компьютерах с ломаной виндой, ide и прочим, после работы качают торренты с играми и прочим... о какой безопасности идет речь? Я не знаю как работают в "EPAM", но по-моему если компания заботилась бы о безопасности, то и компьютер разработчика был бы изолирован только для разработки и среда разработки могла бы быть изолирована и т.д. и т.п.

@Yaroslav0new 3 месяца назад

Шо за бред, нахіба тоді мейл сервери які можуть фільтрувати мейли які приходять на робочу пошту. Скоріше всього людині мало платили але доступ до критичної інформації був відкритий.