Какво се случи при пробива на Inter-Con Security

Пробивът ShinyHunters в Inter-Con Security се появи като последния пример за познат и тревожен модел: известна група за изнудване твърди, че е откраднала данните на компанията, изисква плащане и след това публикува информацията така или иначе, когато исканията ѝ не бъдат изпълнени. Според докладите за инцидента, групата заплашващи субекти ShinyHunters се предполага, че е атакувала Inter-Con Security, фирма, предоставяща услуги по физическа охрана и охранителни услуги, в рамките на кампания за изнудване от типа „плати или ще изтече“.

Пробивът стана обществено достояние, след като компрометираните данни бяха заредени в Have I Been Pwned (HIBP), широко използваната услуга за уведомяване за пробиви, която позволява на хората да проверят дали техният имейл адрес се е появил в известен изтичане на данни. Обработката на набора от данни от HIBP потвърди 276 000 уникални имейл адреса, свързани с инцидента, което дава на обществеността първия конкретен поглед върху мащаба на експозицията. Какъвто и да е бил първоначалният обем на откраднатите данни, цифрата на HIBP представлява проверения брой различни имейл адреси, които вече могат да бъдат търсени от засегнатите лица.

Как работи моделът за изнудване „плати или изтече“ на ShinyHunters

ShinyHunters си изгради репутация през годините с прилагане на проста, но ефективна схема: проникване в системите на целта или придобиване на откраднати данни, след което заплаха да ги публикува, освен ако не бъде платен откуп. Когато жертвите откажат или не отговорят, групата изпълнява заканата си, като изхвърля данните публично, често използвайки платформи и услуги за уведомяване за пробиви, за да максимизира видимостта и натиска.

Този подход не е нов за групата. ShinyHunters е свързвана с поредица от забележими инциденти, включително атака с вишинг, която засегна Charter Communications и изложи около 40 милиона записа, свързана кампания, която засегна още 4,9 милиона записа на Charter чрез подобни тактики за вишинг, и обявена продажба на потребителски данни от NVIDIA GeForce NOW. Групата също така беше свързана с непотвърдено твърдение за рансъмуер срещу Ernst & Young. Инцидентът с Inter-Con Security напълно се вписва в този модел на насочване към организации от различни сектори, от телекомуникационни гиганти до доставчици на физическа охрана, като използва заплахата от публично излагане като лост.

Това, което прави този модел на изнудване особено ефективен, е, че не изисква нападателят да продава данните на подземни пазари, за да спечели. Самата заплаха от публично изтичане, съчетана с демонстрирана готовност да се изпълни заканата, често е достатъчна, за да принуди жертвите да преговарят. Когато преговорите се провалят, последвалото изтичане, както в случая с Inter-Con, се превръща едновременно в наказание за жертвата и публична демонстрация на способностите на групата пред бъдещи цели.

Защо изложените имейл адреси увеличават рисковете от фишинг и кражба на самоличност

Имейл адресите може да изглеждат като незначителна подробност в сравнение с пробиви, включващи пароли, финансови записи или държавни идентификационни номера. Но самият изтекъл имейл адрес е достатъчен, за да подхрани целеви фишинг кампании, особено когато е свързан с конкретна организация или работодател. Нападателите могат да използват потвърдени, активни имейл адреси, за да създават убедителни фишинг съобщения, да се представят за пробитата компания или да опитват атаки с използване на откраднати идентификационни данни (credential-stuffing) срещу други акаунти, които използват същия адрес.

Пробивите с големи, проверени набори от данни като този също често се комбинират с данни от други изтичания. Както заплашващите субекти, така и изследователите отбелязват, че комбинирането на имейл списъци от множество пробиви, подобно на наблюдаваното при инциденти като пробива в Bank of Baroda, включващ чувствителни клиентски данни, може да създаде по-подробни профили на лицата, увеличавайки риска от кражба на самоличност или превземане на акаунти далеч отвъд първоначалния пробив.

Какво да направите, ако данните ви се появят в Have I Been Pwned

Ако подозирате, че може да сте засегнати, първата стъпка е да проверите имейл адреса си директно чрез Have I Been Pwned. Ако адресът ви се появи в пробива на Inter-Con Security или в друг включен инцидент, приемете го като сигнал да вземете няколко конкретни предпазни мерки, а не като причина за паника.

Започнете с промяна на паролата, свързана с всеки акаунт, който използва този имейл адрес, особено ако сте използвали същата парола и на друго място. Активирайте многофакторно удостоверяване навсякъде, където е налично, тъй като това добавя критичен слой защита, дори ако паролата ви по-късно бъде компрометирана при друго изтичане. Бъдете особено внимателни с неочаквани имейли, които се позовават на Inter-Con Security или твърдят, че са последващи действия по пробива, тъй като това са идеални възможности за фишинг опити. Накрая, помислете за използване на мениджър на пароли, за да генерирате и съхранявате уникални пароли за всеки акаунт, намалявайки щетите, които всеки отделен пробив може да причини.

Какво означава това за вас

Пробивът ShinyHunters в Inter-Con Security е напомняне, че изтичането на данни, задвижвано от изнудване, не прави разлика по размер на компанията или отрасъл. Независимо дали жертвата е телекомуникационен доставчик, производител на чипове или фирма за физическа охрана, основният риск за хората е един и същ: изложени имейл адреси, които могат да бъдат използвани като оръжие за фишинг, спам или по-нататъшни атаки. Да бъдете информирани за това къде са се появили вашите данни и да действате бързо, когато това се случи, остава една от най-ефективните защити, достъпни за обикновените потребители.

Основни изводи

  • Проверете в Have I Been Pwned дали имейл адресът ви е включен в пробива на Inter-Con Security.
  • Променете паролите на всички акаунти, свързани с изложения адрес, особено ако са били използвани повторно на друго място.
  • Включете многофакторно удостоверяване за допълнителна защита срещу атаки, базирани на идентификационни данни.
  • Внимавайте за фишинг имейли, които се позовават на пробива или се представят за Inter-Con Security.
  • Използвайте мениджър на пароли, за да избегнете повторното използване на пароли в различни акаунти занапред.