Какво се случи със Stadler Rail

Stadler Rail, швейцарският производител на влакове, чиито возила се движат по железопътни мрежи в Европа и извън нея, отказа да плати искане за откуп от 12,3 милиона долара след инцидент с ransomware, свързан с групата Medusa. Атаката reportedly следва модел, който стана познат в скорошните кампании с ransomware: нападателите получиха достъп, ескалираха правата си и след това заплашиха да публикуват откраднати данни, освен ако компанията не плати.

Операторите на ransomware все по-често се насочват към системите, които контролират кой може да влезе в системата и до какво може да достигне, след като влезе в мрежата. Идентификационните платформи и инструментите за отдалечено управление са привлекателни, защото действат като главни ключове. След като нападател ги компрометира, той може да се движи из мрежата с много по-малко съпротивление, отколкото ако трябваше да прониква в отделните системи една по една. Това е моделът, който изследователите по сигурността отбелязват като „етап на ransomware“, който започва, след като контролите за идентичност и отдалечен достъп вече са се провалили.

Защо Stadler отказа да плати

Решението на Stadler да не плати исканите 12,3 милиона долара отразява позиция, която все повече организации заемат срещу групите за ransomware. Плащането на откуп не гарантира, че откраднатите данни ще бъдат изтрити, че системите ще бъдат напълно възстановени или че същите нападатели няма да се върнат. То също така директно финансира престъпната инфраструктура зад бъдещи атаки.

За компания, която строи и поддържа транспортна инфраструктура, залозите при продължително спиране на дейността или неуспешно възстановяване са различни, отколкото за типичен бизнес. Отказът да плати сигнализира за увереност в процесите на архивиране и възстановяване, но също така увеличава вероятността откраднатите данни да бъдат публикувани или продадени. Компаниите, които правят този избор, на практика залагат, че оперативната и репутационната цена на изтичане на информация е по-управляема от прецедента, създаден с плащането на престъпна група.

Как пропуските в идентичността и отдалечения достъп отварят вратата

Групи за ransomware като Medusa са изградили репутация, експлоатирайки точно този вид слабост. Според доклад, отбелязан в Medusa Ransomware Tops 500 Victims After Hospital Attack, групата е свързана с повече от 500 атаки от появата си през 2021 г., използвайки модел на двойно изнудване, при който данните се открадват, преди системите да бъдат криптирани. Този подход оказва натиск върху жертвите два пъти: веднъж да възстановят операциите и втори път, за да предотвратят публикуването на чувствителна информация.

Общата нишка в тези инциденти рядко е една-единствена драматична уязвимост. По-често това е комбинация от слаби или многократно използвани пароли, инструменти за отдалечен достъп, оставени изложени на интернет, и идентификационни системи, които не прилагат силна многофакторна автентификация или строго ограничени права за достъп. След като нападател компрометира един набор от идентификационни данни с широк достъп, той често може да се движи странично из мрежата незабелязано в продължение на дни или седмици, преди да разположи ransomware. За производителите и операторите на инфраструктура това е особено тревожно, защото индустриалните системи често са свързани със същите мрежи като корпоративните ИТ системи, което означава, че пробив, започнал в офис система, може в крайна сметка да достигне до системи, свързани с физически операции.

Какво означава това за вас

Повечето читатели не управляват производител на влакове, но инциденти като този засягат много по-широк кръг от хора, отколкото компанията, посочена в заглавието. Служители, контрагенти, доставчици и дори клиенти, чиито лични или финансови данни се съхраняват в системите на пробита компания, могат да бъдат изложени на риск, когато група за ransomware успешно извлече данни. Ако взаимодействате с компания, която по-късно разкрие пробив, независимо дали като служител, доставчик или клиент, вашата информация може да бъде част от това, което бъде публикувано, ако откупът не бъде платен.

Практическият отговор е същият, независимо от вашата роля: намалете достъпа, който може да получи всеки отделен компрометиран акаунт, и намалете лекотата, с която нападател може да влезе отвън. Това означава използване на уникални, силни пароли за всеки акаунт, активиране на многофакторна автентификация, където се предлага, и внимателност относно това колко лична информация споделяте с отделен доставчик или платформа, тъй като нямате контрол върху това колко добре тази организация защитава собствените си системи за идентичност и отдалечен достъп.

Практически изводи

Няколко стъпки могат значително да ограничат вашата експозиция, когато компания, на която разчитате, бъде атакувана от група като Medusa:

  • Използвайте мениджър за пароли и уникални идентификационни данни за всеки акаунт, така че единичен пробив да не доведе до верижна реакция в други акаунти.
  • Включете многофакторна автентификация за всеки акаунт, който я предлага, особено имейл, финансови услуги и работни входове.
  • Следете за известия за пробиви от доставчици и инфраструктурни оператори, които използвате, и действайте бързо при препоръчани нулирания на пароли.
  • Ако управлявате ИТ системи, третирайте инструментите за отдалечен достъп и идентификационните платформи като цели с висока стойност и редовно одитирайте кой има административни права.

Атаката с ransomware Medusa срещу Stadler Rail е напомняне, че групите за ransomware не просто гонят заглавия; те експлоатират предвидими пропуски в сигурността на идентичността и отдалечения достъп. Да останете информирани за това как действат тези групи и да затегнете основите на автентификацията и контрола на достъпа, остава най-надеждната защита, достъпна както за организации, така и за отделни лица.