Какво се случи при атаката на MetaEncryptor срещу ST Engineering

Група за ransomware, наричаща себе си MetaEncryptor, е заявила, че е извършила атака срещу ST Engineering, сингапурска инженерна и технологична компания със връзки към отбранителния и космическия сектор. Според репортаж на DeXpose, групата заплашва да разкрие чувствителни данни, свързани с компанията, освен ако исканията ѝ не бъдат изпълнени. Както е типично за подобни твърдения, пълните подробности за това кои данни са били достъпени, как нападателите са проникнали и какъв е обхватът на изтичането, не са независимо потвърдени.

Какво е ясно, е моделът: оператор на ransomware идентифицира организация с висока стойност, криптира или извлича данни, а след това използва заплахата от публично разкриване като лост за натиск. Този модел на двойно изнудване се превърна в стандартна практика сред групите за ransomware през последните няколко години и точно затова инциденти като този заслужават внимание, дори преди всички технически подробности да излязат наяве.

Защо атаките с ransomware срещу критична инфраструктура продължават да се случват

Атака с ransomware срещу доставчици на критична инфраструктура като ST Engineering не е изолирано събитие; тя е част от по-широка тенденция. Компаниите, които изграждат или поддържат отбранителни системи, транспортни мрежи, енергийни мрежи и други основни услуги, са привлекателни цели по няколко причини.

Първо, тези организации често съхраняват данни, които са ценни далеч отвъд типичното плащане на откуп: инженерни схеми, правителствени договори, подробности за веригата на доставки и лични досиета на служители. Второ, оперативните залози са по-високи. Изпълнител, който поддържа отбранителни или инфраструктурни проекти, не може да си позволи дълъг престой, което увеличава натиска да плати бързо, вместо да възстанови системите от резервни копия. Трето, големите инженерни и отбранителни конгломерати са склонни да имат обширни ИТ среди, дъщерни дружества и външни доставчици, всички от които разширяват потенциалната повърхност за атака.

Групите за ransomware знаят това. Насочването към доставчик, свързан с критична инфраструктура, често означава по-голямо изплащане и по-силно заглавие в новините, като и двете служат на стимулите на нападателя. Ето защо агенциите за сигурност в световен мащаб многократно са посочвали операторите на критична инфраструктура като нуждаещи се от повишени защити, не защото са уникално небрежни, а защото са уникално изложени на последици, които надхвърлят баланса на една-единствена компания.

Какво може (и какво не може) да направи VPN срещу ransomware

Когато новината за пробив като този се разпространи, е обичайно хората да питат дали VPN би предотвратил атаката. Честният отговор е не, поне не сам по себе си. VPN криптира вашия интернет трафик и може да прикрие вашия IP адрес, което е полезно за защита на поверителността в обществени мрежи или за предотвратяване на случайно подслушване. Но атаките с ransomware срещу организации като ST Engineering обикновено включват много повече от прихванат трафик: те често произтичат от фишинг имейли, откраднати идентификационни данни, неактуализиран софтуер или компрометиран достъп на трети страни.

Както е обяснено в какво всъщност защитава VPN, VPN не спира изпълнението на зловреден софтуер, след като той е на устройството, не предотвратява кликването на служител върху злонамерена връзка и не защитава данни, които вече са били извлечени от нападатели, получили достъп по други средства. Пробивите на корпоративно ниво като този изискват защити на корпоративно ниво: откриване на крайни точки, сегментиране на мрежата, обучение на служителите и строго управление на актуализациите. VPN е едно малко парче от много по-голям пъзел за сигурност, а не заместител за него.

Какво означава това за вас: Намаляване на излагането на риск в чувствителни сектори

Ако работите в отбраната, инженерството, енергетиката или който и да е сектор, свързан с критична инфраструктура, този инцидент е напомняне, че атаките с ransomware срещу доставчици на критична инфраструктура са постоянен и нарастващ риск, а не рядка аномалия. Организациите, които най-вероятно ще бъдат цели, са точно тези с най-много загуби, ако данните изтекат или операциите спрат.

За професионалистите в тези индустрии практическият отговор не е паника, а многослойна сигурност. Това означава да третирате VPN като един инструмент сред много, а не като пълен щит. Означава да бъдете особено внимателни с връзки и прикачени файлове в имейли, тъй като фишингът остава един от най-честите входни точки за ransomware. Означава да актуализирате софтуера и системите своевременно, тъй като неактуализирани уязвимости рутинно се експлоатират от оператори на ransomware. И означава да разберете, че ако вашият работодател обработва чувствителни договори или данни, свързани с инфраструктурата, сигурността на всеки доставчик и подизпълнител в тази верига има значение, не само вашата собствена.

Ключови изводи

  • Атаките с ransomware срещу доставчици на критична инфраструктура стават все по-чести, защото залозите и изплащанията за нападателите са по-високи.
  • VPN защитава вашата връзка, а не крайните точки, идентификационните данни или бекенд системите на вашата организация.
  • Устойчивостта на фишинг, актуализациите и контролът на достъпа правят много повече за предотвратяване на ransomware, отколкото който и да е единичен инструмент за поверителност.
  • Ако работите в чувствителен сектор, третирайте сигурността като многослойна практика и бъдете информирани как инструменти като VPN се вписват в тази картина, вместо да я заместват.

Докато подробностите около твърдението на MetaEncryptor срещу ST Engineering продължават да излизат, по-широкият урок остава валиден независимо от изхода: доставчиците на критична инфраструктура се нуждаят от отбранителни стратегии, изградени за корпоративен риск, а хората трябва да разбират точно какво могат и какво не могат да направят техните собствени инструменти за поверителност.