Když ransomwarová skupina zveřejní nárok proti společnosti, první otázkou je, zda je pravdivý. V případě FTAPI, poskytovatele softwaru pro bezpečný přenos souborů, který využívá přibližně 2 000 firem, je odpověď částečně ano. Příběh ransomwarového útoku na FTAPI začal, když skupina nazývající se The Gentlemen uvedla společnost jako oběť, a FTAPI od té doby potvrdila, že došlo k prolomení interního serveru. Společnost tvrdí, že přenosy zákazníků zůstaly v bezpečí.

Tato kombinace — potvrzený průnik a ujištění o zákaznických datech — stojí za pečlivé přečtení. Tento příspěvek se zabývá tím, co je skutečně známo a co zůstává neověřeno.

Co FTAPI potvrdila a co The Gentlemen tvrdí

Podle reportáže Cybernews FTAPI uznala, že byl zasažen interní server poté, co ransomwarová skupina The Gentlemen nárokovala útok. Postoj společnosti je takový, že soubory, které zákazníci odesílají prostřednictvím její platformy, nebyly kompromitovány. Další zpravodajství, včetně zprávy od heise online, rovněž uvádí, že FTAPI potvrdila prolomení.

Zveřejnění ransomwarové skupiny je nárok, nikoli zjištění. Vyděračské gangy zveřejňují seznamy obětí, aby vyvíjely tlak, a tyto seznamy mohou přehánět rozsah toho, co bylo odcizeno. Co odlišuje tento případ od mnoha jiných, je skutečnost, že samotná společnost ověřila, že k průniku došlo. Co stále není z dostupných materiálů jasné, je plný rozsah: která data byla na zasaženém serveru, kolik toho bylo odcizeno a jak se útočníci dostali dovnitř.

Proč prolomení interního serveru záleží u platforem pro přenos souborů

Platformy pro přenos souborů zaujímají zvláštní pozici důvěry. Firmy je využívají k odesílání smluv, personálních souborů a dalšího citlivého materiálu právě proto, že očekávají, že poskytovatel bude zabezpečený. Takže i když je kompromitovaný systém popsán jako interní, čtenáři by se měli ptát, co na něm žije.

Interní servery u softwarového dodavatele mohou obsahovat řadu věcí: informace o zaměstnancích, obchodní záznamy, podpůrná data, konfigurační detaily nebo kontaktní informace zákazníků. Nic z toho se nemusí nutně dotýkat samotných šifrovaných přenosů. Ale stále to může být důležité pro zákazníky. Kontaktní údaje mohou živit phishing, který se vydává za dodavatele, a provozní data mohou útočníkům pomoci plánovat další pokusy.

Existuje také praktický bod o důvěře. Ujištění poskytovatele o zákaznických přenosech je prohlášení strany, která byla právě prolomena. Může být klidně přesné, ale nejpřesvědčivější je, když je podloženo detaily, jako je to, které systémy byly segmentovány, jak se zachází s šifrovacími klíči a co ukazují logy.

Co důkazy ukazují a co neukazují o zákaznických datech

Na základě toho, co bylo reportováno, důkazy podporují několik úzkých závěrů:

  • Došlo k prolomení interního serveru FTAPI a společnost to potvrdila.
  • Ransomwarová skupina The Gentlemen nárokuje odpovědnost.
  • FTAPI uvádí, že přenosy souborů zákazníků nebyly zasaženy.

To, co dostupné zpravodajství neprokazuje, je stejně důležité. Neexistuje nezávislé ověření tvrzení společnosti o zákaznických přenosech ani veřejné potvrzení toho, co přesně The Gentlemen odcizili. Ani nárok skupiny, ani ujištění společnosti by zatím neměly být považovány za úplný obraz.

To je užitečný návyk při čtení jakéhokoli vyděračského nároku. V nároku Qilin proti ATF gang nenabídl žádný důkaz. V hrozbě ShinyHunters proti Streamlabs byl nárok reportován jako pokus o vydírání s termínem. Případ FTAPI se liší, protože existuje potvrzení společnosti, přesto platí stejná otázka: co je ověřeno a kým?

Co to znamená pro vás

Pokud vaše organizace využívá FTAPI, prohlášení společnosti naznačuje, že vaše přenesené soubory nebyly vystaveny, ale máte nárok na více než jen shrnutí. Mezi rozumné kroky patří kontaktovat svého account manažera, zeptat se, jaké kategorie dat byly na zasaženém serveru, a zkontrolovat, zda byly zahrnuty nějaké kontaktní údaje nebo údaje o účtu vaší organizace.

Pokud využíváte jakéhokoli dodavatele pro přenos souborů nebo sdílení dokumentů, tento incident je podnětem k přezkoumání vztahu. Mezi otázky, které stojí za to položit, patří:

  • Jaká data dodavatel ukládá mimo přenosový kanál a jak jsou oddělena?
  • Kdo drží šifrovací klíče a mohl by se k nim útočník s interním přístupem dostat?
  • Jak rychle dodavatel informuje zákazníky o incidentech a s jakými detaily?
  • Zveřejňuje dodavatel zjištění po incidentu, nebo pouze stručná prohlášení?

Jednotlivci, jejichž data mohou procházet firmou využívající takovou platformu, by měli zůstat ve střehu před neočekávanými e-maily odkazujícími na přenos nebo dodavatele, protože phishing často následuje po prolomeních tohoto druhu.

Klíčové poznatky

Případ ransomwarového útoku na FTAPI ukazuje, proč si obě strany vyděračského příběhu zaslouží scrutiny. Společnost potvrdila prolomení, což dává nároku větší váhu než nepodloženému zveřejnění. Ale ujištění, že zákaznické přenosy zůstaly v bezpečí, je stále prohlášením společnosti čekajícím na detaily.

Chcete-li zbystřit vlastní úsudek, porovnejte tento případ s nárokem Qilin ATF a hrozbou ShinyHunters Streamlabs a všimněte si, kolik důkazů každý z nich nabízí. Poté požádejte své vlastní poskytovatele o jasná, konkrétní zveřejnění incidentů dříve, než k incidentu dojde, ne až poté.