Hoewel cyberaanvallen op websites veel aandacht krijgen, zijn er vaak niet-geadresseerde risico’s die ertoe kunnen leiden dat bedrijven te maken krijgen met rechtszaken en privacyschendingen, zelfs als er geen hackincidenten plaatsvinden. Een nieuwe casestudy belicht een van deze meer voorkomende gevallen.
Download de volledige casestudy hier.
Het is een scenario dat elk type bedrijf had kunnen treffen, van de gezondheidszorg tot de financiële sector, van e-commerce tot verzekeringen of welke andere sector dan ook. Onlangs bracht Reflectiz, een aanbieder van geavanceerde websitebeveiligingsoplossingen, een casestudy uit waarin de nadruk lag op een vergeten en verkeerd geconfigureerde pixel die in verband werd gebracht met een toonaangevende wereldwijde zorgaanbieder. Dit over het hoofd geziene stukje code verzamelde heimelijk privégegevens zonder toestemming van de gebruiker, waardoor het bedrijf mogelijk werd blootgesteld aan aanzienlijke boetes en reputatieschade.
Tegenwoordig is het voor bedrijven gebruikelijk geworden om dergelijke pixels in hun websites in te sluiten. De TikTok Pixel is bijvoorbeeld een typisch voorbeeld, toegevoegd aan websites om sitegebeurtenissen voor TikTok bij te houden. Wanneer een pixel als deze echter afwijkt van het beoogde doel en op een ongeoorloofde manier begint te werken, kan dit tot aanzienlijke problemen leiden. In deze context impliceert “fraude” het ongeoorloofd verzamelen en delen van gebruikersgegevens, wat kan resulteren in een inbreuk op verschillende regelgeving inzake gegevensbescherming.
De vergeten pixel
De casestudy gaat dieper in op een aanzienlijk incident waarbij een gezondheidszorgwebsite en een externe marketingdienstverlener betrokken waren. Vier jaar geleden integreerde de marketingaanbieder tijdens een marketingcampagne trackingpixels in de website. Helaas werd de pixel over het hoofd gezien en bleef op de site staan nadat de campagne was afgelopen. Naarmate de website veranderingen en uitbreidingen onderging, bleef deze vergeten pixel in de loop van de tijd zonder detectie gevoelige patiëntgezondheidsinformatie (PHI) verzamelen. Reflectiz, een proactieve aanbieder van websitebeveiligingsoplossingen, speelde een cruciale rol bij het identificeren en beperken van dit datalek.
Configuratieafwijking in complexe webomgevingen
Complexe webomgevingen hebben vaak te kampen met menselijke fouten en vergissingen, die vaak worden toegeschreven aan factoren als overbelasting en stress. Deze situatie biedt aanzienlijke mogelijkheden voor potentiële beveiligings- en privacyproblemen, waarbij configuratiedrift een van de meest voorkomende problemen is.
Configuratiedrift verwijst naar een situatie waarin de configuraties van IT-systemen, software of infrastructuurcomponenten in de loop van de tijd afwijken van de beoogde of gewenste status. Dit kan gebeuren als gevolg van verschillende factoren, waaronder handmatige wijzigingen, software-updates of onbedoelde wijzigingen. Configuratiedrift kan inconsistenties, kwetsbaarheden en prestatieproblemen binnen een systeem introduceren, waardoor het een uitdaging wordt om de betrouwbaarheid, veiligheid en naleving van gevestigde standaarden te handhaven. Organisaties vertrouwen doorgaans op configuratiebeheer en monitoringtools om eventuele afwijkingen van de gewenste configuratie op te sporen en te corrigeren.
Ernstige nalevingsproblemen
In deze casestudyReflectiz onderzoekt de aanzienlijke compliance-uitdagingen waarmee bedrijven te maken kunnen krijgen als ze te maken krijgen met kwaadaardige pixels in hun webomgevingen. In dit gedeelte worden de volgende problemen belicht:
- Naleving van de privacy: Elk bedrijf moet zich houden aan de lokale privacyregelgeving, zoals GDPR in Europa en CCPA in Californië. Het niet naleven van deze regels kan resulteren in aanzienlijke boetes, waaronder boetes tot €20 miljoen ($21 miljoen) of 4% van de jaarlijkse wereldwijde omzet van het bedrijf in de EU, en een boete van $7.500 per overtreding in Californië. Een inbreuk waarbij 10.000 records verloren gaan in Californië kan bijvoorbeeld resulteren in een boete van $7.500.000.
- PCI v4.0-naleving: Online bedrijven met betaalpagina’s moeten voldoen aan de nieuwste PCI v4.0-regelgeving. Om naleving te garanderen, moeten ze continue monitoring en andere beveiligingshulpmiddelen gebruiken om de creditcardgegevens van klanten te beschermen.
- Branchespecifieke regelgeving: Specifieke sectoren zijn onderworpen aan unieke regelgevingskaders, zoals de HIPAA-regelgeving in de gezondheidszorg. Hieronder vindt u een overzicht met de bijbehorende boetes voor niet-naleving:
De oplossing
De innovatieve websitebeveiligingsoplossing van Reflectiz speelde een cruciale rol bij het ontdekken en uitschakelen van de vergeten kwaadaardige pixel en bood een waardevolle les in het belang van voortdurende waakzaamheid.
Met Reflectiz kunt u:
- Houd voortdurend toezicht op alle gevoelige webpagina’s om verdachte activiteit van een webcomponent te detecteren.
- Identificeer en blokkeer webcomponenten van derden die de activiteit van uw gebruikers volgen zonder hun toestemming.
- Ontdek welke derde partijen zonder toestemming de geolocatie-, camera- en microfoonrechten van gebruikers verkrijgen.
- Breng alle webcomponenten in kaart die toegang hebben tot gevoelige informatie.
- Valideer dat al uw bestaande webbeveiligingstools functioneren zoals bedoeld.
Voor een diepgaande analyse en meer details, download hier de volledige casestudy.
