Únik Cl0p Windchill: Vyděračné e-maily míří na zaměstnance

Co se stalo při kampani zneužívající PTC Windchill

Ransomwarová kampaň spojená se skupinou Cl0p přešla od tiché krádeže dat k aktivnímu zastrašování. Od 20. července začali útočníci zneužívající zranitelnost v PTC Windchill, široce používané platformě pro řízení životního cyklu produktu (PLM), rozesílat vyděračné e-maily přímo zaměstnancům postižených organizací. Podle varování organizace Ransom-ISAC, které cituje SecurityWeek, zní předmět zprávy „Závažný únik dat modulu Windchill PDMLink“ a e-maily dorazily do schránek stovek uživatelů napříč zasaženými společnostmi.

Jde o výraznou změnu taktiky. Místo soukromého vyjednávání s jediným kontaktním místem v napadené organizaci se zdá, že útočníci vyvíjejí tlak na společnosti tím, že jdou přímo na jejich zaměstnance – krok navržený tak, aby maximalizoval paniku a urychlil rozhodnutí o zaplacení. K 22. červenci zatím Cl0p nezveřejnil ukradená data, ale vyděračné e-maily signalizují, že skupina aktivně prochází napadené organizace ve výrobě, letectví a dalších odvětvích, která využívají modul Windchill PDMLink ke správě produktových dat.

Pro čtenáře, kteří chtějí technické pozadí toho, jak tato kampaň začala, naše dřívější zpravodajství o útocích ransomwaru Clop na systémy PTC Windchill a FlexPLM rozebírá, jak skupina původně cílila na instance těchto podnikových softwarových nástrojů dostupné na internetu.

Koho se týká: zaměstnanci, zákazníci a partneři v dodavatelském řetězci

Windchill a FlexPLM nejsou spotřebitelské produkty. Jsou to backendové systémy, které výrobci, letecké společnosti a další průmyslové podniky používají ke správě návrhů výrobků, technických dat a informací o dodavatelském řetězci. Tím se tento únik liší od typického úniku spotřebitelských dat. Lidé, kteří jsou v tuto chvíli nejvíce přímo ohroženi, nejsou zákazníci kupující produkt z regálu, ale zaměstnanci uvnitř postižených organizací, kteří dostávají vyděračné e-maily odkazující na interní systémy, s nimiž možná nikdy nepřišli do přímého kontaktu.

Řetězové účinky tím ale nekončí. Systémy pro správu životního cyklu výrobku často obsahují data spojená s dodavateli, subdodavateli a obchodními partnery napříč výrobním dodavatelským řetězcem. Pokud se Cl0p skutečně podařilo data exfiltrovat před odesláním těchto vyděračných e-mailů, mohl by dosah úniku daleko přesahovat přímo napadenou organizaci a dotknout se kohokoliv, jehož osobní nebo obchodní údaje byly v těchto systémech uloženy, zpracovávány nebo na ně odkazováno.

Jak se ransomwarové útoky na podniky mění v rizika pro osobní soukromí

Je snadné považovat zranitelnost v podnikovém PLM softwaru za IT problém, který nemá nic společného se soukromím jednotlivců. Tato kampaň ukazuje, proč tento předpoklad neobstojí. Jakmile útočníci získají přístup do firemního systému, osobní údaje, které najdou – jména zaměstnanců, e-mailové adresy, interní komunikace a případně personální záznamy či údaje o dodavatelích – se stávají pákou. Rozesílání vyděračných e-mailů přímo stovkám jednotlivých zaměstnanců je promyšlená strategie: mění firemní incident v něco, co na příjemce působí osobně a naléhavě, a zvyšuje tlak na organizaci, aby rychle zaplatila.

Je to také připomínka toho, že ransomwarové kampaně stále více kombinují technické zneužití se sociálním inženýrstvím. Samotné e-maily, které jmenovitě odkazují na konkrétní interní modul, jsou navrženy tak, aby působily důvěryhodně a znepokojivě. Zaměstnanci, kteří je obdrží, nemusí vědět, zda je hrozba legitimní, zda byla jejich vlastní data součástí krádeže nebo jaké kroky jejich zaměstnavatel v reakci podniká. S touto nejistotou útočníci přesně počítají.

Kroky, které mohou jednotlivci podniknout, pokud jejich data mohou být součástí firemního úniku

Pokud pracujete v organizaci, která používá PTC Windchill nebo FlexPLM, nebo jste obdrželi jeden z těchto vyděračných e-mailů, existují konkrétní kroky, které stojí za to podniknout nyní, místo čekání na oficiální potvrzení.

Za prvé, neodpovídejte na vyděračné e-maily ani neklikejte na odkazy v nich, i když se zdá, že odkazují na skutečné interní systémy. Okamžitě je nahlaste svému IT nebo bezpečnostnímu týmu, aby mohly být zaznamenány a prošetřeny. Za druhé, v týdnech po takovém incidentu přistupujte ke všem neočekávaným žádostem o obnovení hesla, pokusům o přihlášení nebo následným phishingovým zprávám se zvýšenou podezíravostí, protože útočníci často používají ukradená data k vytvoření přesvědčivých podvodů. Za třetí, zeptejte se svého zaměstnavatele přímo, zda vaše osobní údaje byly součástí potvrzené exfiltrace, a požádejte o pokyny týkající se sledování úvěrových záznamů nebo ochrany identity, pokud tomu tak je.

Co to znamená pro vás

Únik dat Cl0p Windchill ukazuje, jak se jediná softwarová zranitelnost v podnikové infrastruktuře může rychle proměnit v problém s ochranou osobního soukromí pro tisíce lidí, kteří zranitelný systém nikdy přímo nepoužívali. Pokud jste zaměstnancem výrobní, letecké či průmyslové společnosti, tato kampaň je signálem, abyste byli ostražití vůči neobvyklým e-mailům odkazujícím na interní systémy, ověřovali neočekávanou komunikaci prostřednictvím oficiálních kanálů a v nadcházejících týdnech sledovali své účty, zda se neobjeví známky zneužití.

Firemní úniky dat, jako je tento, málokdy zůstanou omezeny na IT oddělení. Přelévají se do e-mailových schránek, úvěrových zpráv a každodenního života lidí, jejichž data v těchto systémech spočívají. Zůstat informován o tom, jak se únik dat Cl0p Windchill vyvíjí, a přijmout nyní základní opatření, je nejpraktičtějším způsobem, jak omezit své riziko, pokud se objeví další podrobnosti nebo úniky dat.

Další informace o tom, jak tato kampaň začala a rozšířila se, najdete v našem dřívějším článku o cílení ransomwaru Clop na systémy PTC Windchill a FlexPLM a nadále sledujte důvěryhodné zdroje, jak organizace reagují.