Kampaň vydírání prostřednictvím útoků na dodavatelský řetězec nemusí zasáhnout vaše zařízení, aby ohrozila vaše informace. Stačí, když kompromituje nástroj, kterému váš dodavatel již důvěřuje. Takový obraz se rýsuje v případu TeamPCP, kdy americké úřady v srpnu oznámily obžalobu a zatčení v Austrálii.

Dostupné podrobnosti jsou omezené, proto se tento příspěvek drží toho, co bylo reportováno. Zdrojové zpravodajství od Virtual Routes popisuje, jak FBI výslovně uvádí, že některé z těchto případů zahrnují krádež dat a vydírání bez ransomwarového šifrování, a poukazuje na záznamy TeamPCP jako na další cestu k vydírání.

Jak TeamPCP proměnil důvěryhodný software v cestu ke krádeži dat

Podle reportáže popisovalo červencové doporučení kompromitace důvěryhodných softwarových nástrojů a krádež citlivých informací. Tento vzorec stojí za pochopení, protože se liší od klasického ransomwarového příběhu. Neexistuje žádná zamčená obrazovka ani zašifrované soubory. Místo toho útočníci kompromitují software, na který se organizace již spoléhají, využívají tento přístup k odebrání dat a poté požadují platbu.

V srpnu americké úřady oznámily obžalobu a zatčení v Austrálii. Tvrzení popisují kompromitovaný software umožňující krádež dat od navazujících zákazníků, po níž následovaly požadavky na výkupné. Jednoduše řečeno, oběťmi nebyly pouze společnosti, jejichž nástroj byl kompromitován, ale také zákazníci, kteří jej používali.

To je to, co činí tento typ kampaně vydírání prostřednictvím útoku na dodavatelský řetězec pro zločince efektivním. Jeden bod kompromitace může otevřít dveře mnoha organizacím najednou a na každou z nich lze poté vyvíjet tlak samostatně.

Co obžaloba a australské zatčení mění a co ne

Obžaloba a zatčení jsou významnými kroky. Ukazují, že přeshraniční spolupráce mezi americkými a australskými úřady může přinést výsledky, a vysílají signál dalším, kdo provozují podobné praktiky.

V této fázi se však jedná o tvrzení a název zdrojového článku nastiňuje větší problém: cesta k odpovědnosti ransomwareových zločinců je dlouhá. Právní případy nějakou dobu trvají, zatímco krádež dat se odehrává rychle. Jakmile jsou informace odebrány, zatčení nezaručuje, že je lze získat zpět nebo že kopie nekolují.

Existuje také širší bod. Vymáhání práva má tendenci následovat škodu, nikoli jí předcházet. Čtenáři by měli zatčení považovat za dobré zprávy pro odstrašení, nikoli za důvod uvolnit vlastní ochranu.

Proč nesou riziko navazující zákazníci

Navazující zákazníci jsou v těchto incidentech často nejméně viditelnou stranou. Nemusí vědět, které nástroje jejich dodavatelé používají, jaký přístup tyto nástroje mají nebo kolik jejich dat spočívá v systémech třetích stran. Když je důvěryhodný nástroj kompromitován, uniklá data mohou zahrnovat cokoli, co tam dodavatel nebo jeho zákazníci uložili.

To může zahrnovat běžné osobní údaje. Související zpravodajství ukazuje, jak se úniky motivované vydíráním projevují u jednotlivců. Zprávy o únikech Novo Nordisk a OnePoint odhalujících 800 tis. pacientských souborů ilustrují, jak mohou být zdravotnická data vystavena, a nedávné tvrzení o 2 až 3 TB dat o agentech FBI ukazuje, že i organizace s pověstí silného zabezpečení čelí tlaku vyděračů.

Společným pojítkem je, že lidé, jejichž data byla ukradena, jen zřídka měli možnost ovlivnit bezpečnostní rozhodnutí, která je vystavila.

Co to znamená pro vás

Nemůžete auditovat každého dodavatele, který uchovává vaše data, a nemůžete zabránit tomu, aby byl dodavatel kompromitován. Co můžete ovlivnit, je, kolik toho lze ukrást a jakou škodu mohou ukradená data napáchat.

Čím méně sdílíte, tím méně může vyděračská skupina využít. A protože vydírání spoléhá na páku, ukradená data jsou často zpeněžována několika způsoby. Analýza podezřelého úniku od vyděračské skupiny, popsaná v našem článku o Chainalysis propojující krypto peněženky s platbami výkupného, poskytuje pohled na to, jak tyto platební toky fungují.

Praktické způsoby, jak omezit své vystavení

  • Sdílejte s dodavateli méně. Poskytujte pouze informace, které služba skutečně vyžaduje. Přeskočte volitelná pole a mažte účty, které již nepoužíváte.
  • Zapněte vícefaktorové ověřování. Pokud jsou přihlašovací údaje odhaleny při úniku, MFA je činí mnohem obtížněji použitelnými. Kde je to možné, upřednostněte aplikace nebo hardwarové metody před SMS.
  • Používejte jedinečná hesla. Správce hesel to činí praktickým, takže jeden únik neodemkne další účty.
  • Čtěte oznámení o únicích. Neignorujte e-maily nebo dopisy o incidentech ve společnostech, se kterými jednáte. Často obsahují kroky a termíny, jako jsou nabídky monitoringu kreditu.
  • Buďte skeptičtí k vyděračským zprávám. Pokud vás někdo kontaktuje s tvrzením, že má vaše data, ověřte to oficiálními kanály, než odpovíte nebo zaplatíte.
  • Sledujte své účty. Sledujte finanční výpisy a zvažte zmrazení kreditu, pokud byly odhaleny citlivé identifikátory.

Závěr

Případ TeamPCP je připomínkou, že kampaň vydírání prostřednictvím útoku na dodavatelský řetězec může zasáhnout běžné zákazníky prostřednictvím nástrojů, které si nikdy nevybrali. Srpnová obžaloba a australské zatčení jsou povzbudivé, odpovědnost se však pohybuje pomaleji než škoda. Omezte, co předáváte, zapněte MFA a věnujte pozornost oznámením o únicích. Další informace o tom, jak jsou ukradená data využívána, najdete v našem týdenním přehledu o úniku McKesson a ransomwarovém případu Berlín.