Mayer Brown-data lækket af Luna Moth via svindel med falsk identitet

Hvad skete der i Mayer Brown-datalækagen?

Advokatfirmaet Mayer Brown har bekræftet, at interne dokumenter blev offentliggjort på en lækageside drevet af afpresningsgruppen Luna Moth, men firmaet siger, at deres systemer aldrig rent faktisk blev kompromitteret. Ifølge Mayer Brown sendte en medarbejder ved en fejl dokumenterne til en tredjepart, der havde givet sig ud for at være en anden. Med andre ord var der ikke tale om et hack i traditionel forstand med udnyttet software eller stjålne legitimationsoplysninger. Det var et målrettet bedrag, der fik en medarbejder til frivilligt at udlevere følsomme filer.

Luna Moth tog derefter dokumenterne og lagde dem på sin afpresnings-lækageside, en taktik gruppen ofte bruger til at presse ofre til at betale frem for at få stjålne data offentliggjort. Mayer Browns erklæring om, at dets systemer ikke blev tilgået, er væsentlig. Den trækker en klar linje mellem en netværksindtrængen, som typisk udløser en langt større teknisk indsats, og en målrettet social engineering-hændelse, der udnyttede menneskelig tillid snarere end en teknisk fejl.

Hvordan Luna Moths imitationstaktik omgik de tekniske forsvarsværker

Luna Moth, der også spores under navne som Silent Ransom Group, Chatty Spider og UNC3753, har opbygget et ry for specifikt at gå efter advokatfirmaer, blandt andet fordi juridiske dokumenter har en tendens til at være følsomme, fortrolige og værdifulde som afpresningsmiddel. I stedet for at anvende malware eller ransomware til at skaffe sig adgang til et netværk, har gruppen i stigende grad satset på overbevisende identitetsforfalskning: at udgive sig for at være en betroet leverandør, en it-supportkontakt eller en anden legitim part for at få en medarbejder til frivilligt at sende filer eller give adgang.

Denne fremgangsmåde er effektiv, netop fordi den omgår de forsvarsværker, organisationer bruger flest penge på. Firewalls, endpoint-detektion og netværksovervågningsværktøjer er designet til at fange uautoriserede adgangsforsøg. De er langt mindre nyttige, når en legitim medarbejder i god tro sender dokumenter til en person, de tror er autoriseret til at modtage dem. Mayer Brown-hændelsen passer ind i dette mønster: lækagen krævede ikke, at Luna Moth brød nogen perimeter, for perimeteren var aldrig målet. Det var medarbejderen.

Hvorfor social engineering forbliver det svageste led

Selv veludrustede organisationer med modne cybersikkerhedsprogrammer forbliver sårbare over for denne type angreb, fordi det rammer dømmekraft snarere end infrastruktur. Et firma kan investere massivt i kryptering, adgangskontrol og indbrudsdetektion og stadig blive kompromitteret, hvis nogen på overbevisende vis udgiver sig for at være en kendt kontakt, en klient eller en intern kollega. Dette er ikke så meget en fejl ved teknologien, som det er en demonstration af, at beslutsomme angribere altid vil lede efter den mindste modstands vej, og den vej går i stigende grad gennem mennesker snarere end kode.

Luna Moths bredere kampagne mod advokatfirmaer understreger dette. Grupper som denne trives med operationel skala, og en del af det, der gør dem holdbare, er den infrastruktur, der understøtter deres aktivitet bag kulisserne, herunder de hostingtjenester, der holder lækagesider og afpresningsoperationer online. Retshåndhævelsen har også fået øje på dette infrastrukturlag. De hollandske myndigheders beslaglæggelse af 800 servere knyttet til en bulletproof-hostingoperation illustrerer, hvordan forstyrrelse af de hostingudbydere, der beskytter afpresningsgrupper, kan være lige så vigtig som at forbedre den enkelte medarbejders opmærksomhed. Begge fronter, teknisk håndhævelse og menneskelig årvågenhed, kræver opmærksomhed, hvis hændelser som Mayer Brown-lækagen skal blive mindre hyppige.

Hvad betyder det for dig

Hvis du arbejder i et advokatfirma, en finansiel virksomhed eller en hvilken som helst organisation, der håndterer følsomme kundedokumenter, er denne hændelse en påmindelse om, at din største risiko måske slet ikke er et sofistikeret hackerværktøj. Det kan være en velskrevet e-mail eller et telefonopkald, der ser og lyder legitimt. Angribere, der undersøger en specifik medarbejder, en leverandørrelation eller en verserende sag, kan skræddersy deres identitetsforfalskning så overbevisende, at selv opmærksomme medarbejdere kan blive narret.

For klienter og enkeltpersoner, hvis oplysninger passerer gennem advokatfirmaer eller professionelle serviceudbydere, er det værd at forstå, at en "lækage" ikke altid betyder, at en virksomheds servere blev kompromitteret. Nogle gange betyder det, at et enkelt, målrettet bedrag lykkedes. Denne skelnen er vigtig for, hvordan organisationer reagerer, og for hvor stor tillid offentligheden bør have til generelle forsikringer om, at "systemerne er sikre."

Konkrete råd

• Bekræft identitet gennem en anden kanal, før du sender følsomme dokumenter, især når en anmodning virker presserende eller usædvanlig.
• Træn personalet i specifikt at genkende imitationstaktikker, ikke kun phishing-e-mails med åbenlyse faresignaler.
• Etabler klare interne procedurer for at verificere leverandør-, it- og klientanmodninger, der involverer dokumentoverførsel.
• Forstå, at et datalæk uden et netværksbrud stadig har reelle konsekvenser og kræver en alvorlig reaktion.

Mayer Brown-hændelsen viser, at Luna Moths social engineering-taktik til datalæk ikke behøver at bryde gennem firewalls for at lykkes – de har blot brug for, at én person tror på en overbevisende løgn. I takt med at advokatfirmaer og andre højværdimål fortsat står over for denne form for pres, er det lige så presserende at lukke det menneskelige hul som at styrke netværket.