Elnyerte büntetését az adatlopkodó adminisztrátor

A héten számoltunk be arról, hogy a Bank of New York Mellon egyik volt informatikusa elismerte, hogy bizalmas adatokat tulajdonított el a pénzügyi intézményből, amelyeket aztán hamis bankszámlákhoz és banki tranzakciókhoz használt fel. Az ügy sok tanulsággal szolgált a belső fenyegetettségek valamint az emberi tényezők nem megfelelő kezelésével kapcsolatban. Hasonlóan nagyon tanulságos az az eset is, amelynek a bírósági tárgyalása a napokban zárult le, és szintén egy informatikus illegális cselekményeivel hozható összefüggésbe.

Az amerikai igazságügyi minisztérium közleményben jelezte, hogy a houstoni áramszolgáltató, a Gexa Energy adatbiztonsági ügyében megszületett az ítélet. Ennek értelmében a bíróság az elkövetővel szemben kártérítést szabott ki, de a börtönbüntetés sem marad el.

Steven Jinwoo Kim elítélt a Gexa Energy vállalatnál dolgozott, mint adatbázis adminisztrátor. 2008 februárjában azonban elbocsátották, amit minden bizonnyal nem vett jó néven. 2008 áprilisában ugyanis az otthoni számítógépéről bejelentkezett a volt munkahelyének informatikai rendszerébe, ahonnan adatokat tulajdonított el. A vizsgálatok során kiderült, hogy a Gexa több mint 150 ezer ügyfelének adatához fért hozzá, amelyekből igyekezett minél többet lementeni a saját PC-jére. Az így megkaparintott információk között nevek, születési dátumok, társadalombiztosítási és jogosítvány számok is megtalálhatóak voltak. Steven Jinwoo Kim ezt követően egyéb kártékony tevékenységeket is igyekezett végrehajtani a Gexa rendszerében.

A 40 éves elítélt tavaly november 16-án már beismerte a tettét, azonban a bírósági tárgyalások csak a napokban zárultak le. Az informatikus végül egy év börtönbüntetést kapott, valamint a bíró százezer dolláros kártérítésre kötelezte. A korábbi vizsgálatok ugyanis arra az eredményre jutottak, hogy a biztonsági incidensekből a Gexa-nak százezer dolláros kára származott.

Tanulságok

A biztonsági szakértők gyakran hangoztatják, hogy a jogosultságkezelés egyik el nem hanyagolható elemét az jelenti, hogy egy alkalmazott kilépését vagy elbocsátását követően meg kell szüntetni minden hozzáférését, illetve a személy által ismert jelszavakat valamint az egyéb hitelesítési információkat meg kell változtatni. Amennyiben ez nem történik meg, akkor legalább egy biztonsági rés nyílik a rendszereken, amely - mint ahogy azt a példa is mutatja - komoly károkhoz vezethet. Nagyobb szervezetek esetében az automatizált és központosított jogosultságkezelő megoldások révén lehet a leghatékonyabban védekezni a hasonló incidensek ellen.