Útok ransomware na Jack Henry: Vishing zneužil důvěry zaměstnanců

Co se stalo při narušení bezpečnosti ve společnosti Jack Henry

Společnost Jack Henry, poskytovatel finančních technologií, jehož systémy podporují banky a družstevní záložny, nedávno potvrdila incident s ransomwarem, který nezačal technickým zneužitím zranitelnosti, ale telefonátem. Podle dostupných zpráv útočníci použili vishing neboli hlasový phishing, aby zmanipulovali zaměstnance k udělení přístupu, což v konečném důsledku umožnilo extrakci omezeného množství dat. Společnost od té doby zahájila proces reakce na incident, i když podrobnosti o rozsahu narušení a konkrétních dotčených datech zůstávají ve veřejných zprávách omezené.

To, co činí tento incident pozoruhodným, není samotný ransomware. Je to vstupní bod. Místo zneužití zranitelnosti softwaru nebo prolomení přihlašovacích údajů hrubou silou se útočníci údajně zaměřili přímo na nejslabší článek většiny bezpečnostních architektur: na člověka, který zvedne telefon.

Jak vishing obešel bezpečnostní kontroly zaměstnanců

Hlasový phishing funguje tak, že se vydává za důvěryhodný zdroj, často IT helpdesk, dodavatele nebo interní oddělení, a vyvíjí tlak na zaměstnance, aby provedl akci, kterou by za normálních okolností neprovedl. Může jít o resetování hesla, schválení přihlašovací výzvy nebo sdílení jednorázového kódu. V případě společnosti Jack Henry naznačuje hlášené použití vishingu k zacílení na „důvěru zaměstnanců“, že se útočníci spoléhali na přesvědčivý sociální inženýring spíše než na jakoukoli chybu v síťové obraně společnosti.

Tato taktika se stává stále běžnější, protože obchází technické kontroly, do kterých organizace investují nejvíce peněz. Firewall nezastaví telefonát. Systém detekce narušení neoznačí konverzaci. Když útočník působí důvěryhodně, naléhavě a zná interní procesy, i vyškolený zaměstnanec může být přemluven k obejití kroků, které by jinak dodržel.

Základní mechanismy jsou podobné jiným metodám sociálního inženýrství, které sužují telekomunikační a finanční sektor, jako je SIM swapping, kdy útočníci přesvědčí mobilního operátora, aby převedl telefonní číslo oběti na zařízení, které ovládají. V obou případech útočník neprolamuje šifrování ani nezneužívá kód. Využívá lidský rozhodovací proces, přičemž pomocí sebevědomí a společenského tlaku přiměje někoho jiného, aby za něj práci vykonal.

Proč MFA a VPN nezastaví sociální inženýring

Je třeba být v této věci přímý: vícefaktorové ověřování a VPN jsou nezbytné bezpečnostní nástroje, ale nikdy nebyly navrženy k zastavení odhodlaného sociálního inženýra, který někoho přesvědčí, aby dobrovolně schválil přístup. MFA ověřuje, že požadavek pochází z legitimního zařízení nebo přihlašovacích údajů. Již neověřuje, že osoba schvalující push notifikaci skutečně rozumí tomu, co schvaluje, zejména pokud jí volající právě řekl, že jde o rutinní IT kontrolu.

Podobně VPN šifruje provoz a může omezit přístup k síti na autorizované uživatele, ale nedokáže rozlišit mezi autorizovaným zaměstnancem a autorizovaným zaměstnancem, který byl právě zmanipulován k předání svých přihlašovacích údajů. Jakmile útočník získá platný přístup, ať už prostřednictvím ukradeného hesla, schválené výzvy MFA nebo přesměrovaného telefonního čísla, VPN s ním zachází jako s legitimním uživatelem.

To je hlavní ponaučení z incidentu ve společnosti Jack Henry: vrstvená technická obrana je důležitá, ale nemůže plně kompenzovat mezeru v tom, jak jsou zaměstnanci školeni k ověřování neočekávaných požadavků, zejména těch, které přicházejí telefonicky a vytvářejí pocit naléhavosti.

Ponaučení pro spotřebitele a finanční instituce o obraně lidského faktoru

Pro finanční instituce a jakoukoli organizaci pracující s citlivými daty není ponaučením opustit MFA nebo VPN. Je jím přistupovat k lidskému faktoru jako k vlastní bezpečnostní doméně, která vyžaduje průběžnou pozornost. To zahrnuje školení zaměstnanců, aby nezávisle ověřovali volajícího prostřednictvím samostatného, známého kanálu, než provedou jakoukoli akci týkající se přihlašovacích údajů, změn přístupu nebo citlivých dat. Rovněž to znamená vytvářet interní procesy, které se nespoléhají pouze na úsudek zaměstnance v danou chvíli, jako je vyžadování sekundárního schválení pro vysoce rizikové změny účtů.

Pro spotřebitele platí stejný princip v menším měřítku. Buďte skeptičtí k neočekávaným hovorům, které tvrdí, že pocházejí od vaší banky, mobilního operátora nebo jakéhokoli poskytovatele služeb, zejména pokud vás žádají o přečtení ověřovacího kódu nebo schválení přihlášení. Legitimní organizace jen zřídka potřebují, abyste to dělali po telefonu.

Co to znamená pro vás

Pokud jste zákazníkem banky nebo družstevní záložny, která spoléhá na technologii společnosti Jack Henry, aktuální zprávy nenaznačují, že by došlo k ohrožení jednotlivých přihlašovacích údajů k účtům, ale je rozumné přezkoumat zabezpečení vlastních účtů. Pokud pracujete v organizaci jakékoli velikosti, je tento incident užitečnou případovou studií toho, proč musí školení bezpečnostního povědomí specificky řešit hlasový sociální inženýring, nejen phishing prostřednictvím e-mailu.

Praktická doporučení

• Ověřujte neočekávané telefonní požadavky prostřednictvím samostatného, známého kontaktního kanálu, než provedete jakoukoli akci.
• Nikdy nesdílejte jednorázová hesla ani neschvalujte výzvy MFA pro přihlášení, která jste nezahájili.
• Prosazujte organizační politiky vyžadující sekundární ověření pro citlivé změny účtů nebo přístupů.
• Seznamte se s příbuznými taktikami sociálního inženýrství, jako je SIM swapping, abyste porozuměli tomu, jak útočníci obcházejí autentizaci bez prolomení šifrování.

Útok ransomware na Jack Henry připomíná, že útok ransomwarem prostřednictvím vishingu nemusí porazit váš bezpečnostní software. Stačí přesvědčit jednoho člověka, aby důvěřoval špatnému hlasu na druhém konci linky.