Jedno odcizené přihlášení může spustit řetězovou reakci
Nedávný výzkumný zápis ze Security Boulevard propojuje dvě věci, které na první pohled vypadají nesouvisející: zveřejnění oběti ransomwarovou skupinou a balíček přihlašovacích údajů sledovaný samostatně výzkumníky. Vedle sebe tyto dva datové body odhalují vzorec, který bezpečnostní týmy podle svých slov vídají opakovaně. Odcizení jednoho přihlášení, často ničeho sofistikovanějšího než uživatelského jména a hesla získaného phishingem nebo malwarem, může být první kostkou domina v řetězci, který končí zveřejněním dat společnosti na ransomwarovém únikovém webu.
Pro kybernetické kruhy to není nový koncept, ale způsob, jakým to výzkum rámuje, s využitím telemetrie ze zdroje sledujícího přihlašovací údaje a skutečného ransomwarového zveřejnění, činí časovou osu méně abstraktní. Ukazuje, jak rychle se malý, zdánlivě nevýznamný kompromis může vyhrotit v plnohodnotnou vyděračskou událost, která vystaví citlivá data veřejnému internetu.
Jak se odcizené přihlašovací údaje promění v ransomwarový incident
Vzorec popsaný ve výzkumu funguje zhruba takto: přihlášení je odcizeno, často phishingem, infostealerem nebo znovu použitým heslem odhaleným při dřívějším úniku. Tento přihlašovací údaj je zabalen a koluje, někdy prodán, někdy vyměněn mezi hrozbovými aktéry, kteří se specializují na počáteční přístup. Nakonec skončí v rukou skupiny ochotné jej použít k proniknutí do sítě. Odtud se útočník pohybuje laterálně, eskaluje oprávnění a nakonec nasadí ransomware nebo data přímo exfiltruje. Když oběť nezaplatí, nebo někdy i když zaplatí, odcizená data skončí na únikovém webu jako důkaz průniku a tlak k vyjednávání.
Tento vývoj zrcadlí to, co se odehrálo v jiných nedávných případech. Tvrzení ransomwarové skupiny CRPx0 o odcizení dat Hyundai Turkey je užitečným příkladem z reálného světa koncového bodu tohoto řetězce: skupina s dvojím vydíráním zveřejňuje odcizená data na únikovém webu na dark webu jako páku. Ať už byl v tomto konkrétním případě počáteční vektor přístupu jakýkoli, širší ponaučení z výzkumu Security Boulevard platí: únikové weby jsou viditelnou špičkou procesu, který obvykle začíná tiše, často týdny nebo měsíce dříve, jediným kompromitovaným přihlašovacím údajem, kterého si v té době nikdo nevšiml.
To, proč tento vzorec stojí za pozornost, je mezera mezi počáteční krádeží a případnými následky. Krádež přihlašovacích údajů jen zřídka spustí okamžitý, zjevný průnik. Místo toho zůstává nečinná, je dále prodávána nebo testována proti jiným systémům, než se hrozbový aktér rozhodne na ni zareagovat. Než společnost uvidí své jméno na únikovém webu, k samotnému kompromisu mohlo dojít dávno předtím.
Proč to záleží na soukromí, nejen na podnikové bezpečnosti
Je lákavé považovat ransomwarové únikové weby za problém IT oddělení a představenstev, ale dopady na soukromí se přímo týkají jednotlivců. Když data společnosti skončí na únikovém webu, často zahrnují zaměstnanecké přihlašovací údaje, záznamy o zákaznících nebo osobní informace zachycené při průniku. Tato data nezůstanou uzavřená. Jsou scrapována, indexována a znovu kolují mezi dalšími hrozbovými aktéry hledajícími vlastní vstupní body, čímž živí stejný pipeline krádeže přihlašovacích údajů, který celý cyklus původně spustil.
To je částečně důvod, proč hygiena přihlašovacích údajů záleží mnohem víc než jen na konkrétním účtu, který chrání. Heslo znovu použité napříč osobním e-mailem a pracovním přihlášením, nebo přihlašovací údaje uložené v prohlížeči bez dodatečné ochrany, se mohou stát nepovšimnutým počátečním bodem incidentu, který nakonec ovlivní tisíce lidí, kteří sami takovou chybu neudělali.
Co to znamená pro vás
Pro běžné uživatele je tento výzkum připomínkou, že nejslabším článkem ransomwarového incidentu je často něco banálního: jedno odcizené heslo. Možná nikdy nebudete pracovat ve společnosti, která se nakonec objeví na únikovém webu, ale pokud jste znovu použili heslo, přeskočili vícefaktorové ověřování nebo ignorovali phishingové varování, můžete být součástí řetězce, který útočníkovi někde otevře dveře.
Dobrou zprávou je, že řešení jsou dobře známá a nevyžadují specializované bezpečnostní znalosti. Používání jedinečných hesel pro každý účet, zapnutí vícefaktorového ověřování všude, kde je nabízeno, a přistupování k neočekávaným výzvám k přihlášení nebo e-mailům o resetu hesla s podezřením – to vše snižuje šance, že se vaše přihlašovací údaje stanou první kostkou domina v něčím ransomwarovém příběhu.
Praktická doporučení
- Používejte správce hesel pro generování a ukládání jedinečných hesel pro každý účet, čímž eliminujete opětovné použití přihlašovacích údajů, které pohání mnoho těchto incidentů.
- Zapněte vícefaktorové ověřování pro e-mail, bankovnictví a pracovní účty, protože blokuje většinu útoků spoléhajících se pouze na odcizené heslo.
- Buďte skeptičtí k neočekávaným oznámením o přihlášení nebo resetu hesla, která mohou naznačovat, že vaše přihlašovací údaje již kolují.
- Pokud jste upozorněni, že služba, kterou používáte, byla napadena, okamžitě změňte toto heslo a zkontrolujte, zda jste ho nepoužili i jinde.
Cesta od odcizeného přihlášení k ransomwarovému únikovému webu je jen zřídka okamžitá, což znamená, že obvykle existuje časové okno k zachycení kompromisu, než se rozroste. Věnovat pozornost základní hygieně přihlašovacích údajů je jedním z nejjednodušších způsobů, jak zajistit, abyste nebyli tichým prvním krokem v něčím mnohem větším problému.
