Everest-dataangrebet på Brenner-tunnelen er en påmindelse om, at angribere ikke behøver at røre en enkelt maskine på en byggeplads for at forårsage alvorlige problemer. Ifølge rapporten har byggefirmaet bag det alpine megaprojekt bekræftet et afpresningsforsøg, efter at 812 GB data blev stjålet. Konsortiet har nægtet at betale og oplyser, at hændelsen ikke har påvirket byggeriet eller kontrolsystemerne.

Den kombination, stjålne data plus en nægtelse af at betale, er efterhånden et velkendt mønster. Her er, hvad vi ved, hvad beroligelserne dækker og ikke dækker, og hvad læserne kan gøre ved det.

Hvad Everest tog fra Brenner-tunnelkonsortiet

De bekræftede fakta er begrænsede. Byggefirmaet anerkendte, at Everest-gruppen krævede en løsesum efter at have stjålet 812 GB data. Firmaet har afvist at betale. Det oplyste også, at byggeriet og kontrolsystemerne ikke blev påvirket.

Kildeartiklen beskriver ikke, hvad der er indeholdt i de 812 GB, hvordan angriberne kom ind, eller hvilket løsesumbeløb der blev krævet. Vi vil ikke gætte på disse punkter. Det, der er vigtigt for nu, er modellen: angriberne tog data og brugte derefter truslen om offentliggørelse som løftestang. Dette kaldes ofte data-tyveri-afpresning, og det kræver ikke kryptering af systemer eller standsning af drift.

Everest har været omtalt i vores dækning før. Det blev kædet sammen med et krav på 12,3 mio. dollars mod Stadler Rail, som også endte med en offentlig nægtelse af at betale, og med en listning af Capgemini Engineering på dets lækageside, som forblev ubekræftet på det tidspunkt.

Hvad 'ingen påvirkning af kontrolsystemer' betyder og ikke betyder

Udsagnet om, at byggeriet og kontrolsystemerne ikke blev påvirket, er vigtigt og værd at tage alvorligt. Det antyder, at operationel teknologi, de systemer der driver maskiner og pladsprocesser, ikke blev forstyrret. For et projekt af denne størrelse er det det udfald, alle ønsker.

Men det besvarer et snævert spørgsmål. Det siger intet om fortroligheden af de oplysninger, virksomheden var i besiddelse af. Operationel kontinuitet og datasikkerhed er separate spørgsmål. En virksomhed kan fortsætte med at arbejde normalt, mens et stort arkiv af dens dokumenter ligger i hænderne på en afpresningsgruppe.

Det fortæller os heller ikke, hvor langt angriberne kom ind i netværket. Et tyveri af 812 GB betyder, at nogen havde adgang til en betydelig mængde data, og undersøgelser fokuserer typisk på, hvordan den adgang blev opnået, og om den er blevet fuldt lukket. Indtil virksomheden deler mere, bør læserne betragte beroligelsen som korrekt, men ufuldstændig.

Hvad lækkede data kan afsløre, og for hvem

Artiklen specificerer ikke indholdet, så dette afsnit beskriver generel risiko frem for bekræftet eksponering. Store byggekonsortier er typisk i besiddelse af oplysninger om mange parter: ansatte, underleverandører, leverandører og partnerselskaber. Hvis det stjålne arkiv indeholder den slags materiale, kan de berørte personer omfatte:

  • Personale: personlige oplysninger, kontrakter eller intern kommunikation.
  • Partnere og entreprenører: kommercielle vilkår, projektdokumenter eller korrespondance.
  • Konsortiet selv: internt planlægningsmateriale, som kan bringe virksomheden i forlegenhed eller være nyttigt for konkurrenter.

Selv når dataene ikke åbenlyst er følsomme, kan de være nyttige for kriminelle. Navne, e-mailadresser og projektoplysninger gør phishing-beskeder mere overbevisende. Alle, der har arbejdet med en stor organisation, som rammes af en lækage, kan senere modtage beskeder, der ser ud til at referere til rigtige projekter eller kolleger.

At nægte at betale er et forsvarligt valg, da betaling ikke garanterer sletning og finansierer yderligere angreb. Afvejningen er, at de stjålne filer kan blive offentliggjort. Afpresningsgrupper har også forsøgt at øge presset på andre måder, som da CMD-gruppen auktionerede stjålne data og krævede 1,9 mio. dollars.

Hvordan organisationer og enkeltpersoner reducerer eksponering for afpresning

For organisationer:

  • Begræns, hvor meget data der gemmes, og hvor længe. Data, der ikke længere eksisterer, kan ikke stjæles.
  • Segmentér netværk, så kontor- og dokumentsystemer er adskilt fra operationelle systemer. Brenner-virksomhedens udsagn antyder, at denne form for adskillelse kan have hjulpet.
  • Overvåg for usædvanlige udgående overførsler. Flytning af 812 GB er en stor hændelse, der kan opdages.
  • Forbered en responsplan, der dækker kommunikation med personale og partnere, ikke kun teknisk genopretning.

For enkeltpersoner:

  • Brug unikke adgangskoder til hver konto og en password manager til at opbevare dem.
  • Aktivér multifaktorautentificering, hvor det tilbydes.
  • Vær forsigtig med uventede e-mails, der nævner rigtige projekter, arbejdsgivere eller forretningspartnere, især hvis de beder dig klikke på et link eller åbne en vedhæftet fil.
  • Del kun det nødvendige, når du har med store organisationer at gøre, og spørg, hvordan de beskytter og opbevarer dine oplysninger.

Hvad dette betyder for dig

Hvis du arbejder for, leverer til eller har kontrakt med en stor organisation, så antag, at nogle af dine oplysninger ligger i dens systemer, og at du ikke kan kontrollere, hvor godt de er beskyttet. Du kan ikke forhindre et brud hos en tredjepart, men du kan begrænse skaden. Stærke, unikke legitimationsoplysninger og multifaktorautentificering reducerer værdien af eventuelle lækkede loginoplysninger, og et skeptisk blik på skræddersyet phishing reducerer værdien af lækkede kontaktoplysninger.

Hvis du på nogen måde er forbundet med Brenner-projektet, så hold øje med officiel kommunikation fra konsortiet og behandl uopfordrede beskeder om hændelsen med forsigtighed.

Vigtige pointer

Everest-dataangrebet på Brenner-tunnelen viser, at afpresning kan lykkes med at skabe pres, selv når driften fortsætter uforstyrret. Konsortiet har oplyst, at byggeriet og kontrolsystemerne ikke blev påvirket, og at det ikke vil betale, men de 812 GB stjålne data er fortsat det centrale ubesvarede spørgsmål.

  • Gennemgå dine adgangskoder, og aktivér multifaktorautentificering på vigtige konti.
  • Tænk over, hvilke personlige og forretningsmæssige data du giver til store organisationer, og del kun det mindste.
  • Forvent mere overbevisende phishing, hvis et brud berører din arbejdsgiver eller partnere.

For en parallel sag om Everest-afpresning og en nægtelse af at betale, læs vores dækning af, hvordan Stadler Rail afviste Everests ransomware-krav.