Какво се случи с изтичането на данни от Mayer Brown

Адвокатската кантора Mayer Brown потвърди, че вътрешни документи са били публикувани на сайт за изтичане на данни, управляван от групата за изнудване Luna Moth, но от кантората заявяват, че системите им всъщност никога не са били пробивани. Според Mayer Brown служител по погрешка е изпратил документите на трета страна, която е представила погрешно самоличността си. С други думи, това не е хакване в традиционния смисъл на експлоатиран софтуер или откраднати идентификационни данни. Става въпрос за целенасочена измама, която е убедила член на персонала доброволно да предаде чувствителни файлове.

След това Luna Moth публикува тези документи на своя сайт за изнудване чрез изтичане на данни – тактика, която групата обичайно използва, за да окаже натиск върху жертвите да платят, вместо да бъдат публикувани откраднати данни. Изявлението на Mayer Brown, че системите им не са били достъпвани, е от значение. То очертава ясна граница между проникване в мрежата, което обикновено предизвиква много по-мащабен технически отговор, и целенасочен инцидент със социално инженерство, който експлоатира човешкото доверие, а не технически недостатък.

Как тактиката на имитация на Luna Moth заобиколи техническите защити

Luna Moth, проследявана и под имена като Silent Ransom Group, Chatty Spider и UNC3753, е изградила репутация с това, че се насочва конкретно към адвокатски кантори, отчасти защото правните документи обикновено са чувствителни, поверителни и ценен лост за изнудване. Вместо да внедрява зловреден софтуер или рансъмуер, за да проникне в дадена мрежа, групата все повече разчита на убедителна имитация: представя се за доверен доставчик, контакт от ИТ поддръжката или друга легитимна страна, за да накара служител доброволно да изпрати файлове или да предостави достъп.

Този подход е ефективен именно защото заобикаля защитите, за които организациите харчат най-много пари. Защитните стени, откриването на крайни точки и инструментите за наблюдение на мрежата са проектирани да улавят опити за неоторизиран достъп. Те са далеч по-малко полезни, когато легитимен служител, действащ добросъвестно, изпрати документи на някого, когото смята за упълномощен да ги получи. Инцидентът с Mayer Brown се вписва в този модел: изтичането не е изисквало Luna Moth да пробие никакъв периметър, защото периметърът никога не е бил целта. Целта е бил служителят.

Защо социалното инженерство остава най-слабото звено

Дори добре обезпечени организации със зрели програми за киберсигурност остават уязвими към този стил на атака, защото той е насочен към преценката, а не към инфраструктурата. Една кантора може да инвестира сериозно в криптиране, контрол на достъпа и откриване на прониквания и все пак да бъде изложена на риск, ако някой убедително се представи за познат контакт, клиент или вътрешен колега. Това не е толкова провал на технологиите, колкото демонстрация, че решените нападатели винаги ще търсят пътя на най-малкото съпротивление и все по-често този път минава през хората, а не през кода.

По-широката кампания на Luna Moth срещу адвокатски кантори подчертава това. Групи като тази процъфтяват благодарение на оперативен мащаб и част от това, което ги прави устойчиви, е инфраструктурата, която поддържа дейността им зад кулисите, включително хостинг услугите, които позволяват на сайтовете за изтичане и операциите за изнудване да останат онлайн. Правоохранителните органи също са насочили внимание към този инфраструктурен слой. Изземването на 800 сървъра от нидерландските власти, свързани с bulletproof хостинг операция илюстрира как прекъсването на хостинг доставчиците, които приютяват групи за изнудване, може да бъде също толкова важно, колкото и подобряването на индивидуалната осведоменост на служителите. И двата фронта – техническо правоприлагане и човешка бдителност – се нуждаят от внимание, ако инциденти като изтичането при Mayer Brown трябва да стават по-редки.

Какво означава това за вас

Ако работите в адвокатска кантора, компания за финансови услуги или която и да е организация, която обработва чувствителни клиентски документи, този инцидент е напомняне, че най-големият ви риск може изобщо да не е сложен хакерски инструмент. Той може да бъде добре изработен имейл или телефонно обаждане, което изглежда и звучи легитимно. Нападателите, които проучват конкретен служител, взаимоотношения с доставчик или текущо дело, могат да пригодят имитацията си достатъчно убедително, че дори внимателен персонал може да бъде измамен.

За клиенти и физически лица, чиято информация преминава през адвокатски кантори или доставчици на професионални услуги, си струва да се разбере, че „изтичане на данни“ не винаги означава, че сървърите на дадена компания са били компрометирани. Понякога това означава, че една-единствена, целенасочена измама е успяла. Това разграничение има значение за начина, по който организациите реагират, и за степента на доверие, което обществеността трябва да отдава на общи уверения, че „системите са защитени“.

Приложими изводи

  • Проверявайте самоличността чрез втори канал, преди да изпратите чувствителни документи, особено когато дадена заявка изглежда спешна или необичайна.
  • Обучавайте персонала да разпознава конкретно тактики за имитация, а не само фишинг имейли с очевидни предупредителни знаци.
  • Създайте ясни вътрешни процедури за проверка на заявки от доставчици, ИТ и клиенти, които включват прехвърляне на документи.
  • Разберете, че изтичане на данни без пробив в мрежата все още носи реални последици и изисква сериозен отговор.

Инцидентът с Mayer Brown показва, че тактиките за изтичане на данни чрез социално инженерство на Luna Moth не се нуждаят от пробив през защитните стени, за да успеят – нуждаят се само от един човек, който да повярва на убедителна лъжа. Докато адвокатските кантори и други високоценни цели продължават да се сблъскват с този вид натиск, затварянето на човешката празнина е също толкова спешно, колкото и укрепването на мрежата.