Bývalý firemní inženýr byl odsouzen na 32 měsíců vězení za útok ve stylu ransomwaru na svého vlastního zaměstnavatele. Případ ransomwaru vnitřní hrozby zahrnoval smazané administrátorské účty, vypnuté servery a požadavek v bitcoinech. Útok byl v reportáži, kterou jsme prostudovali, oceněn na 750 000 dolarů. Je to užitečná připomínka, že nejškodlivější vetřelec je někdy ten, kdo už klíče drží.

Co inženýr udělal a jak byl odsouzen

Podle zprávy inženýr smazal administrátorské účty, vypnul kritické servery a poté požadoval platbu v bitcoinech. Tento sled událostí připomíná konvenční útok ransomwaru, kdy jsou oběti uzamčeny a je jim řečeno, aby zaplatily za obnovení přístupu. Rozdíl je ve zdroji: nešlo o vnější kriminální skupinu, ale o osobu zaměstnanou ve společnosti.

FBI vystopovala útok k jeho firemnímu notebooku a případ skončil odsouzením a 32měsíčním trestem vězení. Naše dřívější pokrytí případu popisuje bývalého inženýra klíčové infrastruktury, který sabotoval síť společnosti v New Jersey a požadoval 20 bitcoinů. Úplné podrobnosti si můžete přečíst v naší zprávě o Danielu Rhyneovi a jeho 32měsíčním trestu za sabotáž sítě a požadavek v bitcoinech.

Krátké zpravodajské shrnutí vynechává některé podrobnosti, takže je vhodné být jasní ohledně toho, co je známo: trest, typ provedených akcí, požadavek v bitcoinech a vystopování přes notebook. Cokoli nad rámec toho by zde mělo být považováno za nepotvrzené.

Jak FBI vystopovala útok k firemnímu notebooku

Nejpoučnější částí příběhu může být to, jak byl podezřelý identifikován. FBI propojila útok s jeho firemně přiděleným notebookem. Bitcoin je často považován za anonymní a útočníci někdy věří, že požadavek na výkupné v kryptoměně je ochrání. Způsob platby je však jen jednou částí obrazu. Použitá zařízení, dotčené účty a aktivita zanechaná na pracovním stroji mohou ukazovat zpět na konkrétní osobu.

U insidera je problém ostřejší. Firemní notebook je vlastněn, konfigurován a často monitorován zaměstnavatelem. Je vázán na jmenovaného zaměstnance, přihlášení a sadu oprávnění. Použití tohoto zařízení k destruktivnímu činu zanechává stopu, kterou vyšetřovatelé mohou spojit s osobou, které bylo přiděleno.

Zdroj nevysvětluje konkrétní forenzní kroky, takže o nich nebudeme spekulovat. Ponaučení je jednodušší: když je útočník již uvnitř organizace, přiřazení viny může být mnohem přímočařejší než u anonymního vnějšího útoku.

Kde selhaly kontroly přístupu a správa přihlašovacích údajů

Případ vyvolává zřejmou otázku: jak mohl jeden inženýr vypnout kritické servery a smazat administrátorské účty? Zpráva nepopisuje vnitřní uspořádání společnosti, takže nemůžeme přesně říci, které kontroly chyběly. Popsané akce však ukazují na známou kategorii slabiny: příliš mnoho moci soustředěné v příliš málo rukou.

Bezpečnostní týmy běžně diskutují o několika principech, které se zde uplatňují:

  • Nejmenší oprávnění: lidé by měli mít přístup pouze k tomu, co jejich současná role potřebuje, a nic víc.
  • Oddělení povinností: žádná jednotlivá osoba by neměla být schopna jak vytvářet, tak mazat administrátorské účty bez jakékoli kontroly.
  • Odchod ze společnosti a revize: privilegovaný přístup by měl být pravidelně revidován a rychle odebrán, když se role změní.
  • Protokolování a upozornění: neobvyklé administrativní akce, jako je hromadné mazání účtů nebo vypínání serverů, by měly spouštět upozornění, nikoli být objeveny až dodatečně.
  • Obnovitelnost: zálohy a nouzové účty držené pod oddělenou kontrolou pomáhají společnosti obnovit provoz, pokud je privilegovaný účet zneužit.

Toto jsou obecné postupy, nikoli zjištění o tomto konkrétním zaměstnavateli. Popsaný výsledek (ztracené administrátorské účty, vypnuté servery, požadavek výkupného) je však přesně to, co mají tato opatření omezit.

Co to znamená pro soukromí na pracovišti a vystavení zaměstnanců

Tato část je důležitá pro běžné zaměstnance stejně jako pro IT týmy. Případ ukazuje, že firemní notebook není soukromý prostor. Aktivita na něm může být spojena s vámi a v trestním vyšetřování může být zkoumána zaměstnavatelem a orgány činnými v trestním řízení.

Pro většinu pracovníků je to důvod držet osobní aktivitu mimo pracovní zařízení, nikoli důvod k poplachu. Osobní e-mail, soukromé prohlížení a osobní zprávy je lepší udržovat na vlastním hardwaru. VPN nemění to, kdo vlastní pracovní notebook nebo co na něm mohou vidět nástroje zaměstnavatele, takže by neměla být považována za způsob, jak skrýt aktivitu před společností.

Vystavení riziku platí i opačným směrem. Zaměstnanci s administrátorskými právy nesou riziko, i když nemají žádné špatné úmysly. Pokud jsou jejich přihlašovací údaje ukradeny nebo pokud jsou obviňováni z incidentu, široký přístup z nich dělá větší cíl a větší zátěž. Užší oprávnění chrání jak společnost, tak osobu, která je drží.

Co to znamená pro vás

Pokud provozujete nebo pomáháte spravovat podnikání, berte tento případ ransomwaru vnitřní hrozby jako podnět k tomu, abyste se podívali dovnitř. Plánování ransomwaru se obvykle zaměřuje na phishing a vnější útočníky, ale jediný důvěryhodný účet s rozsáhlými oprávněními může způsobit stejné narušení.

Pokud jste zaměstnanec, ponaučení je praktičtější: předpokládejte, že pracovní zařízení jsou monitorována a vysledovatelná, a udržujte svůj osobní život na osobním vybavení.

Konkrétní doporučení

  1. Seznamte, kdo má administrátorský přístup. Vězte přesně, které účty mohou mazat jiné účty nebo vypínat kritické systémy.
  2. Snižte a rozdělte oprávnění. Kde je to možné, vyžadujte druhé schválení pro nejdestruktivnější akce.
  3. Zkontrolujte, co se protokoluje. Ujistěte se, že administrativní změny na serverech a pracovních zařízeních jsou zaznamenávány a že je někdo upozorněn na neobvyklé.
  4. Otestujte obnovu. Potvrďte, že zálohy a nouzový přístup existují mimo kontrolu jakékoli jednotlivé osoby.
  5. Oddělte pracovní a osobní použití. Udržujte soukromou aktivitu mimo firemní notebooky.

Úplné pozadí trestního stíhání najdete v našem podrobném článku o odsouzení Daniela Rhynea, a pak použijte tento případ jako důvod k auditu vlastního administrátorského přístupu a protokolování zařízení.