Вътрешна заплаха с неочакван обрат

Повечето заглавия за ransomware включват фишинг имейли, отворени портове за отдалечен работен плот или неактуализиран софтуер. Заговорът срещу Tesla беше различен. Според репортажите по случая, мъж на име Крючков се свързал със служител в Gigafactory Nevada на Tesla с предложение: да помогне за инсталиране на специално създаден зловреден софтуер във вътрешната мрежа на компанията, а неговите съучастници щели да довършат останалото – да извлекат чувствителни данни и след това да поискат откуп под заплаха от публично разкриване.

Това е класическа схема за двойно изнудване с ransomware – видът, при който нападателите крадат данни, преди да ги криптират или заплашат с изтичане, давайки на жертвите две причини да платят вместо една. Необичайното в този случай беше методът на доставка. Вместо зловреден софтуер, изпратен чрез заразен прикачен файл, нападателите се опитаха да вербуват човешко същество, което вече имаше легитимен достъп до мрежата. Докладите сочат, че на служителя първоначално били предложени 500 000 долара за участие, като по-късно сумата била увеличена на 1 милион долара – цифра, достатъчно висока, за да покаже колко голяма стойност са придавали нападателите на вътрешните данни на Tesla.

Защо служителят съобщи, вместо да вземе парите

Схемата се провали, защото уцеленият служител избра да уведоми Tesla и правоприлагащите органи, вместо да приеме подкупа. Това решение, повече от всяка защитна стена или антивирусен продукт, спря атаката в зародиш. След уведомлението ФБР се включи и заговорът беше осуетен, преди какъвто и да е зловреден софтуер да докосне системите на Tesla.

Заслужава си да се замислим за момент. Всяка техническа защита, която една компания изгражда – сегментиране на мрежата, откриване на крайни точки, криптирани резервни копия – съществува, за да спира нападатели, които вече са вътре в периметъра или се опитват да проникнат отвън. Нито един от тези инструменти не е от голямо значение, ако служител с валидни удостоверения се съгласи да отвори вратата доброволно. Единствената истинска защита срещу този сценарий е култура на работното място, при която служителите се чувстват в безопасност и дори насърчени незабавно да съобщават за подозрителни контакти.

Това е и напомняне, че веригите на доставки и партньорските екосистеми разширяват повърхността за атака далеч отвъд собствените служители на компанията. Пробивът в Tata Electronics, който изложи файлове на Apple и Tesla в тъмната мрежа, показва сходен модел: чувствителните корпоративни данни не е необходимо да бъдат откраднати директно от целевата компания, за да бъдат компрометирани. Доставчик или подизпълнител с по-слаби контроли за сигурност може да се превърне в пътя на най-малкото съпротивление за нападатели, които не могат да вербуват вътрешен човек директно.

Бизнес аргументите за осведоменост относно вътрешните заплахи

Компаниите харчат огромни бюджети за периметрова сигурност, докато програмите за вътрешни заплахи често получават далеч по-малко внимание. А опитите за вербуване на вътрешни хора като този срещу Tesla изобщо не изискват технически експлойт. Те разчитат изцяло на човешкото вземане на решения под финансов натиск или изкушение.

Няколко практики правят организациите по-устойчиви на този вид подход:

  • Ясни, добре популяризирани канали за докладване, така че служителите да знаят точно с кого да се свържат, ако някой им предложи пари за достъп, удостоверения или помощ за заобикаляне на контролите за сигурност.
  • Редовно обучение, което конкретно обхваща опити за социално инженерство и подкуп, а не само фишинг имейли.
  • Култура, при която докладването на подозрителен контакт се третира като положителна постъпка, а не като признание за вина, така че служителите да не се страхуват да излязат напред.
  • Политики за най-малко привилегии, които ограничават щетите, които всеки един компрометиран акаунт – човешки или технически – реално може да причини.

Нито една от тези мерки не е скъпа в сравнение с потенциалните разходи от успешна атака с двойно изнудване, които могат да включват плащане на откуп, регулаторни глоби, правна отговорност и трайни репутационни щети.

Какво означава това за вас

Независимо дали управлявате малък бизнес или работите в ИТ за голямо предприятие, случаят с Tesla е полезен стрес тест за собствената ви позиция по сигурността. Запитайте се дали вашите служители биха знаели какво да направят, ако някой им предложи пари, за да инсталират USB устройство, да споделят парола или да си затворят очите, докато „изпълнител“ достъпва ограничена система. Ако отговорът е неясен, това е празнина, която си струва да се запълни, преди нападател да я открие.

Това също така подчертава защо рискът от излагане на данни не се ограничава само до собствената ви мрежа. Както демонстрира инцидентът с Tata Electronics, чувствителни файлове, свързани с големи компании, могат да изплуват чрез пробиви при трети страни, напълно извън техния пряк контрол. Проверката на практиките за сигурност на доставчиците вече не е опция за организации, които обработват ценна интелектуална собственост или клиентски данни.

Приложими изводи

  • Създайте прост, анонимен процес за докладване за служители, към които са отправени предложения за подкуп или вътрешно вербуване.
  • Обучете персонала да разпознава тактики за социално инженерство, насочени към хора, а не само към системи.
  • Приложете достъп с най-малко привилегии, така че никой отделен служител да не може еднолично да компрометира критична инфраструктура.
  • Одитирайте сигурността на доставчиците и веригата на доставки, тъй като трети страни могат да изтекат чувствителни данни дори когато собствените ви защити издържат.

Случаят с Tesla завърши добре, защото един служител взе правилното решение. Изграждането на работно място, където това решение е лесно, очаквано и възнаграждавано, е една от най-рентабилните защити срещу ransomware, която всяка организация може да въведе.