Инструмент за проучване се превръща в слабото звено

Nintendo не беше пробит, защото някой е разбил сървърите му за игри или е заобиколил сигурността на акаунтите. Според отразяването на инцидента, излагането на данни води началото си от TinyPulse, доставчик трета страна, който Nintendo използваше за провеждане на вътрешни анкети за ангажираност на служителите. Група, наричаща се Shadowbyt3$, пое отговорност и поиска приблизително 2 милиона долара, представяйки операцията като „изнудване като услуга“.

Този етикет има по-голямо значение, отколкото може да изглежда на пръв поглед. Традиционните групи за рансъмуер внедряват инструменти за криптиране, които заключват системите на жертвата, след което искат плащане за ключ за декриптиране. През последните няколко години повечето оператори добавиха втори лост: кражба на данни преди криптирането, така че да имат влияние дори ако жертвата възстанови от резервни копия. Групите за изнудване като услуга, като Shadowbyt3$, изглежда пропускат изцяло стъпката с криптирането. Няма нужда да се заключват системи, когато заплахата от публикуване на чувствителни данни на служители е достатъчна, за да окаже натиск за плащане.

За Nintendo, компания, чийто основен бизнес преминава през конзоли, онлайн акаунти и огромна потребителска база, този инцидент е напомняне, че повърхността за атака се простира далеч отвъд продуктите, които клиентите виждат. Тя минава през всеки доставчик, който има достъп до вътрешни данни, дори и такива, които изглеждат нискорискови като платформа за обратна връзка от служители.

Защо доставчиците трета страна продължават да бъдат входна точка

Инструментите за HR анкети, платформите за допълнителни придобивки, софтуерът за планиране и другите административни доставчици рядко получават същото ниво на проверка на сигурността като основната инфраструктура. Те се третират като административни удобства, а не като пазители на данни, въпреки че рутинно обработват имена, данни за заетост, а понякога и финансова или идентификационна информация, свързана с работната сила на компанията.

Точно това несъответствие е създадено, за да бъде експлоатирано от групите за изнудване като услуга. Нападателите нямат нужда да пробиват директно компания с толкова много ресурси като Nintendo. Те трябва да намерят един доставчик във веригата за доставки на тази компания с по-слаби защити, да извлекат каквито данни се намират в системите на този доставчик и след това да използват марката и репутацията на компанията майка като лост за плащане. Доставчикът се превръща във врата; разпознаваемата марка – в лост.

Този модел не е уникален за Nintendo. Той отразява по-широка промяна в начина, по който оперират групите за изнудване: вместо да инвестират в сложни криптиращи полезни товари, които могат да бъдат открити и обърнати, те се фокусират върху извличане на данни и публичен натиск, защото репутационната цена на теча често е това, което налага реакция, а не техническото прекъсване.

Какво означава това за вас

Ако сте клиент на Nintendo, този инцидент засяга предимно данни на служители, а не игрални акаунти, според докладваното. Но той все пак носи урок, който си струва да приемете сериозно, ако взаимодействате с дигиталната екосистема на която и да е голяма компания, включително игрални платформи: излагането на вашите данни е толкова силно, колкото е най-слабият доставчик във веригата за доставки на тази компания.

За притежателите на акаунти в Nintendo това е подходящ момент да прегледат основната хигиена на акаунта. Използвайте уникална, силна парола за вашия Nintendo акаунт, активирайте двуфакторна автентикация, ако все още не сте го направили, и бъдете предпазливи към всички непоискани имейли, отнасящи се до този пробив, тъй като инцидентите с изнудване често генерират вълна от последващи опити за фишинг, които се опитват да се възползват от обществената осведоменост за историята. Ако също така използвате вашия Nintendo Switch за сърфиране или стрийминг на съдържание по време на пътуване или в обществени мрежи, струва си да разберете как VPN за вашия Nintendo Switch може да добави слой защита за вашата връзка, отделно от стъпките за сигурност на акаунта по-горе.

Ако работите в HR, ИТ или управление на риска на доставчици в която и да е организация, по-приложимият урок е свързан с надлежната проверка на доставчиците. Инструментите на трети страни, които боравят с данни на служители, дори и такива, които изглеждат нискорискови като платформа за анкети за настроение, заслужават същата проверка на сигурността като инструментите, обработващи данни за плащания на клиенти. Това означава да питате доставчиците за техните стандарти за криптиране, срокове за уведомяване при пробив и практики за съхранение на данни преди подписване на договор, а не след като инцидент наложи въпроса.

Приложими изводи

  • Прегледайте и засилете идентификационните данни за вашия Nintendo акаунт и активирайте двуфакторна автентикация, ако все още не е активна.
  • Отнасяйте се със скептицизъм към всеки имейл или съобщение, свързано с пробива; проверявайте чрез официалните канали на Nintendo, преди да кликвате върху връзки или да предоставяте информация.
  • Ако управлявате взаимоотношения с доставчици във вашата собствена организация, одитирайте кои трети страни съхраняват данни на служители или клиенти и потвърдете, че техните практики за сигурност съответстват на чувствителността на това, което съхраняват.
  • Разпознайте изнудването като услуга като отделен модел на заплаха: липсата на криптиране не означава липса на опасност, тъй като само откраднатите данни могат да бъдат достатъчен лост за искане на откуп.

Случаят Nintendo-TinyPulse е ясен пример за това как модерните групи за изнудване са адаптирали своя подход и как най-голямата уязвимост на една компания може да не са собствените ѝ системи, а доставчиците, на които тя доверява данните на служителите си. Да бъдете информирани за инциденти като този и да прилагате основна хигиена на акаунтите и доставчиците остава най-практичната защита, достъпна както за физически лица, така и за организации.