Кампания за изнудване чрез кражба на данни по веригата за доставки не е нужно да докосне вашето устройство, за да изложи на риск информацията ви. Достатъчно е да компрометира инструмент, на който вашият доставчик вече се доверява. Това е картината, която се очертава от случая TeamPCP, при който американските власти обявиха обвинителен акт и арест в Австралия през август.

Наличните подробности са ограничени, затова тази публикация се придържа към това, което е било докладвано. Източникът, Virtual Routes, описва как ФБР изрично отбелязва, че някои от тези случаи включват кражба на данни и изнудване без ransomware криптиране, и посочва записите за TeamPCP като още един път към изнудване.

Как TeamPCP превърна доверен софтуер в път за кражба на данни

Според репортажа, бюлетин от юли описва компрометиране на доверени софтуерни инструменти и кражба на чувствителна информация. Моделът си заслужава разбирането, защото се различава от класическата история с ransomware. Няма заключен екран и няма криптирани файлове. Вместо това атакуващите компрометират софтуер, на който организациите вече разчитат, използват този достъп, за да вземат данни, и след това искат плащане.

През август американските власти обявиха обвинителен акт и арест в Австралия. Твърденията описват компрометиран софтуер, позволяващ кражба на данни от клиенти надолу по веригата, последвана от искания за откуп. С прости думи, жертвите не бяха само компанията, чийто инструмент беше компрометиран, а и клиентите, които го използваха.

Това прави този вид кампания за изнудване чрез кражба на данни по веригата за доставки ефективна за престъпниците. Една точка на компрометиране може да отвори вратата към много организации наведнъж и всяка от тях може след това да бъде притискана поотделно.

Какво променят и какво не променят обвинителният акт и австралийският арест

Обвинителният акт и арестът са значими стъпки. Те показват, че трансграничното сътрудничество между американските и австралийските власти може да даде резултати, и изпращат сигнал към други, които провеждат подобни схеми.

Но на този етап това са твърдения, а заглавието на статията-източник очертава по-големия проблем: пътят до търсенето на отговорност от ransomware престъпниците е дълъг. Съдебните дела отнемат време, докато кражбата на данни се случва бързо. След като информацията бъде взета, арестът не гарантира, че тя може да бъде възстановена или че копия не се разпространяват.

Има и по-широка точка. Правоприлагането обикновено следва щетата, вместо да я предотвратява. Читателите трябва да приемат арестите като добра новина за възпиране, а не като причина да отслабят собствените си защити.

Защо клиентите надолу по веригата поемат риска

Клиентите надолу по веригата често са най-невидимата страна в тези инциденти. Те може да не знаят кои инструменти използват техните доставчици, какъв достъп имат тези инструменти или колко от данните им се намират в системи на трети страни. Когато бъде компрометиран доверен инструмент, изтеклите данни може да включват всичко, което доставчикът или неговите клиенти са съхранявали там.

Това може да включва обикновена лична информация. Свързани материали показват как пробивите, водени от изнудване, се отразяват на отделните хора. Репортажите за пробивите в Novo Nordisk и OnePoint, изложили 800K пациентски файла илюстрират колко уязвими могат да бъдат изложените здравни данни, а скорошно твърдение за 2 до 3 TB данни за агенти на ФБР показва, че дори организации със силна репутация в сигурността са под натиск от изнудвачи.

Общата нишка е, че хората, чиито данни са откраднати, рядко са имали думата при избора на сигурност, който ги е изложил.

Какво означава това за вас

Не можете да одитирате всеки доставчик, който съхранява данните ви, и не можете да попречите на доставчик да бъде компрометиран. Това, което можете да контролирате, е колко има за открадване и колко щета могат да нанесат откраднатите данни.

Колкото по-малко споделяте, толкова по-малко може да използва екипът за изнудване. И тъй като изнудването разчита на лост, откраднатите данни често се монетизират по няколко начина. Анализ на предполагаем теч от група за изнудване, разгледан в нашата публикация за Chainalysis, свързваща крипто портфейли с плащания на откуп, дава представа как работят тези потоци на плащане.

Практични начини да ограничите излагането си

  • Споделяйте по-малко с доставчици. Предоставяйте само информацията, която дадена услуга наистина изисква. Пропускайте незадължителните полета и изтривайте акаунти, които вече не използвате.
  • Включете многофакторно удостоверяване. Ако идентификационните данни бъдат изложени при пробив, MFA ги прави много по-трудни за използване. Предпочитайте приложения или хардуерни методи пред SMS, когато е възможно.
  • Използвайте уникални пароли. Мениджърът на пароли прави това практично, така че един теч да не отключва други акаунти.
  • Четете известията за пробиви. Не пренебрегвайте имейли или писма за инциденти в компании, с които работите. Те често включват стъпки и срокове, като например предложения за мониторинг на кредит.
  • Бъдете скептични към съобщения за изнудване. Ако някой се свърже с вас, твърдейки, че държи данните ви, проверете чрез официални канали, преди да отговорите или да платите.
  • Наблюдавайте акаунтите си. Следете финансовите извлечения и обмислете замразяване на кредит, ако са били изложени чувствителни идентификатори.

Изводът

Случаят TeamPCP е напомняне, че кампания за изнудване чрез кражба на данни по веригата за доставки може да достигне до обикновени клиенти чрез инструменти, които те никога не са избирали. Обвинителният акт от август и австралийският арест са окуражаващи, но търсенето на отговорност се движи по-бавно от вредата. Ограничете това, което предавате, включете MFA и обръщайте внимание на известията за пробиви. За повече информация как се използват откраднатите данни, вижте седмичния ни обзор за пробива в McKesson и случая с ransomware в Берлин.