Et ransomware-angreb bliver til en datalækning

Et ransomware-brud, der ramte HandyTrac, et elektronisk nøglestyringssystem, der bruges på The Retreat at Litchfield Park, et lejlighedskompleks i Arizona, der administreres af Greystar, har resulteret i offentlig eksponering af fysiske nøglekort og data fra det administrative portal. Ifølge brudrapportering krypterede angriberne først systemerne i et standard ransomware-angreb og offentliggjorde derefter de stjålne data, efter løsesumskravet ikke blev betalt.

Dette mønster, hvor man bevæger sig fra stille kryptering til højlydt offentlig eksponering, er en veldokumenteret afpresningstaktik. Når ofre nægter eller undlader at betale, tyer trusselsaktører i stigende grad til offentliggørelse på "læk-site" for at lægge pres på målene og straffe manglende betaling. Det er en dynamik, der har udspillet sig på tværs af mange sektorer i år, men denne sag skiller sig ud på grund af, hvad der blev eksponeret: ikke bare medarbejderoplysninger eller finansielle dokumenter, men fysiske nøglekort knyttet til en boligejendom.

Hvorfor fysiske nøglekort er en anden form for eksponering

De fleste databrud involverer digitale aktiver: adgangskoder, finansielle kontonumre, patientjournaler. Denne hændelse er bemærkelsesværdig, fordi den angiveligt involverede data om fysisk sikkerhedsinfrastruktur, nærmere bestemt nøglekort og adgang til det administrative portal knyttet til HandyTracs elektroniske nøglestyringssystem. Disse systemer bruges af ejendomsadministratorer til at spore, hvem der har adgang til hvilke enheder, fællesområder og teknikrum.

Når den slags data bliver offentlige, er risikoen ikke begrænset til identitetstyveri eller credential stuffing. Den berører den fysiske sikkerhed for beboerne på ejendommen. Nøglekort kan afsløre, hvilke låse der svarer til hvilke enheder, hvordan hovednøglesystemer er opbygget, og potentielt hvordan man omgår eller udnytter svagheder i en bygnings adgangskontrol. Kombineret med eksponeringen af det administrative portal, som kan omfatte legitimationsoplysninger eller konfigurationsdetaljer for selve nøglestyringssystemet, rejser bruddet spørgsmål, der rækker ud over typiske databeskyttelsesbekymringer og ind i bygningssikkerhedsområdet.

Det er ikke første gang, sikkerhedsdebatten er flyttet fra skærme til fysiske rum. Den voksende modstand mod overvågningsinfrastruktur, som set i Flock-kamera-modstand spreder sig over snesevis af amerikanske stater, afspejler en bredere offentlig uro over, hvordan fysiske sikkerhedssystemer indsamler, opbevarer og nogle gange mishandler følsomme data om, hvor folk bor og bevæger sig.

Gengældelseslæk er ved at blive normen

Angribernes beslutning om at offentliggøre data efter en mislykket løsesumsforhandling er i overensstemmelse med taktikker set i andre nylige ransomware-hændelser. Afpresningsgrupper har i stigende grad behandlet datalæk som et andenfasens våben, et der ikke kræver at bryde ind i et netværk igen, blot at frigive det, der allerede er stjålet. Dette afspejler adfærd dokumenteret i andre sager, herunder BLACKWATER-ransomwareangrebet på Tyrkiets største hospitalsgruppe, hvor angribere brugte truslen om eksponering som løftestang mod et ukooperativt mål.

For ejendomsadministrationsselskaber og deres leverandører betyder denne tendens, at et afslag på at betale en løsesum ikke afslutter risikoen. Det flytter risikoen fra en privat forhandling til en offentlig eksponeringshændelse, ofte med langt mindre kontrol over, hvordan dataene bruges, eller hvem der tilgår dem. Leverandører, der håndterer fysiske adgangssystemer, bygningsadministrationsplatforme og administrative portaler, skal behandle dette som et operationelt sikkerhedsproblem, ikke bare et IT-problem.

Hvad dette betyder for dig

Hvis du er beboer på en ejendom administreret af Greystar, eller et hvilket som helst kompleks, der bruger HandyTrac eller lignende nøglestyringssystemer, er dette brud en påmindelse om, at de systemer, der sikrer dit fysiske rum, bærer deres egen digitale risiko. Et brud, der rammer en leverandør, truer ikke bare dine personlige data, det kan påvirke den fysiske sikkerhed i din bygning.

Omfanget og formatet af denne eksponering genlyder også bekymringer rejst i andre store hændelser med eksponering af registre, såsom Texas Parks and Wildlife-databruddet, der rammer millioner af licensindehavere, hvor den enorme bredde af eksponerede registre gjorde det vanskeligt for enkeltpersoner at vide præcis, hvilke oplysninger om dem der var i fare. I sager, der involverer fysisk sikkerhedsinfrastruktur, kan den usikkerhed være endnu mere foruroligende, fordi det er sværere bare at nulstille en lås, end det er at nulstille en adgangskode.

Handlingsrettede anbefalinger

Hvis du bor på en ejendom, der bruger elektroniske nøglestyringssystemer, eller hvis du administrerer en, er her, hvad du skal gøre:

  • Spørg din ejendomsadministrator, om HandyTrac eller en lignende leverandør blev påvirket, og hvilke skridt der tages som reaktion.
  • Anmod om bekræftelse på, om fysiske låse eller adgangskoder er blevet ændret efter bruddet.
  • Overvåg for enhver mistænkelig aktivitet omkring din enhed eller bygningens fælles adgangspunkter.
  • Hvis du modtager korrespondance om brudnotifikation, opbevar den, i tilfælde af at du senere får brug for at henvise til den.
  • Ejendomsadministratorer bør behandle leverandørbrud, der involverer fysiske adgangssystemer, som akutte, ikke rutinemæssige, IT-hændelser og kommunikere transparent med beboerne om afhjælpningstiltag.

Brud, der involverer fysiske sikkerhedssystemer, er stadig relativt sjældne sammenlignet med typiske databrud, men denne hændelse viser, hvorfor de fortjener særlig opmærksomhed. Når digitale sårbarheder krydser fysisk infrastruktur, rækker indsatsen langt ud over en kompromitteret adgangskode.