A SaaS-biztonsági válság
A SaaS-alapú incidensek 300%-kal nőttek 2022 és 2024 között (Obsidian Security). Ez nem gradiens – ez a növekedés meredeksége megváltozott.
Íme, miért: a SaaS-szállítók értékes célpontok. Egyetlen incidens több ügyfelet érhet el egyszerre. A Conduent eset illustrálja ezt:
A Conduent incidens (2025)
| Mutató | Érték |
|---|---|
| Érintett szállítói ügyfelek | Több Nagy USA-állam |
| Kitett rekordok | 25,9 millió |
| Kitett adattípusok | Jóléti jogosult rekordok, TAJ-számok |
| A jogsértés módja | Ransomware → adatlopás |
A Conduent B2B-folyamat-kiszervező, nem fogyasztói termék. A megtámadott szervezet – a szállítójuk – milliók PHI-ját tartotta.
NHS Digital incidens (2022, tartós hatások)
A Capita NHS-ellátása 2022-ben kompromittálódott, 9 millió beteg NHS-adatot érintve. 2024-re a jogi következmények még mindig rendezés alatt álltak.
Az architektúra, amely megakadályozza a szállítói incidenseket
Hagyományos felhőmodell: Kockázatos
Ügyféladat → Szállítói szerveren tárolva
(síkszöveg vagy szerver-oldali titkosítás)
↓
INCIDENSEK esetén: AZ ÖSSZES ÜGYFÉL ADATA KITÉVE
Zéró tudású modell: Strukturálisan biztonságos
Ügyféladat → Ügyfél eszközén titkosítva
Szerverre küldve: csak titkosított adatok
↓
INCIDENSEK esetén: NEM ÉRTELMEZHETŐ ADAT
Zéró tudású szállítóknál egy incidens titkosított blobokat tesz ki – értéktelen, kulcsok nélkül, amelyeket csak az Ön eszköze tartalmaz.
A 9 perces betörési időszak
A Cobalt pentesting adatai szerint a professzionális pentest csapatok átlagosan 9 perc alatt törik be a SaaS-rendszereket meghatározott feltételek mellett. A valós támadók nem sietnek; ők az expozíciós ablakot maximalizálják.
Ha az Ön szállítója tölti a felhasználói adatokat, miközben a szerver-oldali titkosítás a szállítónak hozzáférhető kulcsokkal használ, az Ön kitettsége a szállítói incidens teljes köre.
Az anonym.legal pozicionálása
Az anonym.legal nem tárolja az Ön PII-ját a szervereiken:
- PII-észlelés: Az eszközén fut
- Titkosítás: Az eszközén történik az Ön kulcsaival
- Szerverre küldve: Csak titkosított tokenek
- Szerver kompromisszum esetén: Nincs értelmezhető PII-adat kitéve
Ha az anonym.legal szerverei kompromittálódnak, a támadók titkosított tokeneket kapnak – nem az Ön ügyféladatait.
Következtetés
A SaaS-incidensek 300%-os növekedése nem a szállítók figyelmetlenségének bizonyítéka – ez a SaaS-szállítók elleni kifinomult, jól finanszírozott támadások normalizálódásának bizonyítéka.
A kockázatcsökkentés egyetlen architektúrális módja: válasszon olyan szállítót, aki nem tarthat érdemi PII-t, amelyet elveszíthet.