Швейцарският производител на влакове Stadler Rail потвърди, че е отказал да плати откуп от $12,3 милиона (₣10 000 000), поискан от групата за изнудване Everest, след като нападателите са откраднали технически данни чрез платформа за споделяне на файлове на доставчик. Разкритието излезе в същия новинарски цикъл като отделно, но свързано развитие: руската държавно свързана група Laundry Bear атакува неактуализирани Zimbra имейл сървъри. Заедно двете истории илюстрират как руски заплахи провеждат паралелни операции — едната срещу индустриални вериги на доставки, другата срещу корпоративна имейл инфраструктура — и защо организации от всякакъв мащаб трябва да приемат и двете сериозно.
Атаката с откуп, стояща зад отказа на Stadler Rail
Според репортаж на Record, групата за откуп Everest пое отговорност за кражбата на технически данни, принадлежащи на Stadler Rail, не чрез пробив директно в собствената мрежа на производителя на влакове, а чрез компрометиране на платформа за споделяне на файлове, управлявана от един от неговите доставчици. След това Everest поиска приблизително $12,3 милиона в замяна на това да не изтече или продаде откраднатите файлове. Stadler Rail отказа да плати.
Това е смислено решение. Отказите на откуп често се представят единствено като актове на неподчинение, но те носят реален оперативен риск: ако групата изпълни заплахата си, откраднатите технически данни (инженерни схеми, детайли за доставчици, вътрешна документация) могат да бъдат публикувани или продадени на конкуренти и други престъпни групи. Изборът на Stadler Rail да не плати отразява по-широка промяна сред големите индустриални фирми, много от които вече третират плащанията на откуп като възнаграждаване на престъпни бизнес модели, вместо като разрешаване на основната уязвимост.
Защо пробив при доставчик има значение колкото директна хакерска атака
Това, което прави този случай особено поучителен, е, че началната точка на компрометиране не е била собствената инфраструктура на Stadler Rail, а системата за споделяне на файлове на доставчик. Това е често срещан модел при съвременните атаки с откуп: престъпните групи все по-често търсят най-слабото звено във веригата на доставки, вместо да атакуват директно добре защитена основна цел. Един-единствен доставчик с небрежен контрол на достъпа или неактуализиран софтуер може да стане входна точка за много по-мащабна операция по кражба на данни.
Тази динамика не е уникална за железопътната индустрия. Компрометирането на веригата на доставки преди това е излагало чувствителни правителствени и корпоративни данни чрез доверен софтуер на трети страни, както се видя при последиците от хакерската атака SolarWinds, която разкри всички имейли на Treasury.gov. Поуката е последователна: състоянието на сигурността на една организация е толкова силно, колкото това на доставчиците и партньорите, с които споделя данни.
Руската група Laundry Bear засилва натиска върху Zimbra сървъри
Паралелно с историята за Stadler Rail, репортажи сигнализират, че Laundry Bear, руска заплаха, атакува неактуализирани Zimbra имейл сървъри. Неактуализираният софтуер за сътрудничество и уеб поща отдавна е предпочитана входна точка за държавно свързани актьори, които искат да събират идентификационни данни или да поддържат постоянен достъп до комуникациите на дадена организация.
Тази кампания се вписва в модел, който агенциите за сигурност са отбелязвали многократно. Директорът на GCHQ наскоро отправи едно от най-директните предупреждения в близката памет за неуморни руски кибероперации срещу критична инфраструктура и демократични институции. Отделно, американските власти разрушиха мрежа от компрометирани рутери, свързана с руското военно разузнаване, ГРУ. Независимо дали целта е доставчик на производител на влакове или неактуализиран имейл сървър, общата нишка е същата: руски групи проучват широко достъпна, често пренебрегвана инфраструктура за достъп, а не само мрежи на правителства, които грабват заглавията.
Какво означава това за вас
Повечето читатели не управляват Zimbra сървъри и не произвеждат влакове, но основните рискове в тази история важат широко. Ако използвате каквато и да е услуга — от платформа за резервация на пътувания до програма за лоялност — която споделя вашите данни с доставчици трети страни, тези данни са толкова сигурни, колкото собствените защити на доставчика. Пробив при доставчик, за когото никога не сте чували, все пак може да изложи информация, свързана с вас, независимо дали става въпрос за корпоративен акаунт, споделен файл или лични данни, обработвани от ваше име.
За бизнеса изводът е също толкова директен: управлението на кръпки и надзорът над доставчиците не са опционални позиции. Неактуализираният софтуер, било то имейл сървър или инструмент за споделяне на файлове, остава един от най-честите начини, по които нападателите получават опора, а отказите на откуп работят като дългосрочно възпиращо средство само ако основните уязвимости, които позволяват на нападателите да влязат, действително бъдат отстранени.
Практически изводи
- Ако работите с доставчици или подизпълнители, питайте как те управляват кръпките и контрола на достъпа за споделени файлови системи, не само вашата собствена мрежа.
- Третирайте всяко уведомление за пробив при доставчик сериозно, дори ако вашата организация не е била директно хакната; данните все още могат да бъдат изложени чрез трета страна.
- Поддържайте софтуера за сътрудничество и имейл сървърите актуализиран своевременно; неактуализираните системи остават основна входна точка както за атаки с откуп, така и за държавно свързани прониквания.
- Подкрепяйте политика на неплащане на откупи, когато е възможно, тъй като плащането може да финансира следващи атаки, без да гарантира, че данните няма да изтекат така или иначе.
- Бъдете информирани за руска киберактивност, засягаща критична инфраструктура и корпоративен софтуер, тъй като тези кампании често са насочени към широко използвани инструменти, а не към изолирани жертви.
