"Жизнь коротка. Заведи интрижку!" (с)

Какие ассоциации возникают у большинства со словами "последствия утечки данных"? Штрафы, банкротства, вымогательство? А как на счёт смертной казни или массового Роскомнадзора?

Вообще, я наивно полагал, что институт репутации ИБ за пределами РФ присутствует хоть в каком-то виде, но на днях наткнулся на любопытную историю - Netflix выпустил сериал, посвящённый утечке данных, которая привела к последствиям, описанным выше. Решил немного копнуть эту тему, и выяснилось, что компания, история которой рассказана в этом сериале не только не обанкротилась полностью за пару месяцев, но и продолжает вполне успешно вести бизнес до сегодняшнего дня.

Итак, что случилось? В 2002 году основана компания Ashley Madison, которая являлась сайтом для знакомств замужних людей. Она гарантировала 100% приватность, анонимность, удаление данных по запросу и прочее, прочее, прочее... А спустя 13 лет, когда число пользователей приложения достигло нескольких десятков миллионов, компания была взломана, и данные огромного количества людей попали в руки злоумышленников. Те сначала начали шантажировать компанию, вымогать у неё деньги за непубликацию базы данных, а, когда та отказалась, слили данные пользователей в сеть. Более того, были слиты, в том числе, и данные, которые компания обязалась удалить. И даже те данные, за удаление которых пользователи заплатили.

В течение месяца было зарегистрировано несколько случаев самоубийств, которые полиция связала напрямую с утечкой. Плюс, в слитой базе оказалось 1200 учёток граждан Саудовской Аравии, где измена карается смертной казнью...

Общую моральную сторону ситуации предлагаю откинуть. Мне, скорее, интересен этот инцидент, именно, с точки зрения ИБ и последствий её игнора. Как итог, компании пришлось заплатить по 30 центов за каждую утёкшую учётку, временно сменить своё название и заменить свой провокационный девиз "Жизнь коротка. Заведи интрижку!" Но спустя буквально пару лет всё вернулось назад - и название, и девиз, и пользователи... Конечно, последствия для компании были, и были они относительно серьёзными, но для конторы, которая исходя из своей концепции должна ставить приватность пользователей на первое место, а, по сути, проигнорировала её, я считаю, всё обошлось малой кровью.