En offentlig dossier på threat intelligence-platformen Darkfield opfører RingCentral, Inc. som et påstået offer for afpresningsgruppen Shinyhunters, med angivelse af, at data knyttet til virksomheden er blevet lækket. RingCentral er en af de største udbydere af cloudbaseret virksomhedskommunikation i USA og tilbyder telefon-, besked- og videotjenester til organisationer på tværs af brancher, hvilket gør enhver troværdig påstand mod dem værd at følge nøje, selv før alle detaljer er bekræftet.
Hvad Shinyhunters hævder at have stjålet fra RingCentral
Ifølge Darkfield-dossieret inkluderer opslaget det oprindelige læk-opslag, et skærmbillede og kontekstuelle oplysninger, der forbinder hændelsen med andre ofre knyttet til den samme gruppe. Opslaget kategoriserer RingCentral under teknologisektoren og markerer sagen som "data lækket", en formulering som threat intelligence-sporere bruger for at angive, at gruppen har offentliggjort eller tilbudt materiale snarere end blot at true med det. Som det er almindeligt med disse dossierer, oplister den offentlige registrering ikke hver enkelt fil eller posttype, og RingCentral har på nuværende tidspunkt ikke udsendt en detaljeret erklæring specifikt om denne påstand. Dette gab mellem en påstand og et bekræftet, specificeret brud er normalt i de tidlige stadier af disse hændelser, og det er værd at tage påstanden alvorligt, mens man afventer en vurdering af dens fulde omfang.
Hvem er berørt, og hvilke data er i fare
Virksomhedskommunikationsplatforme udgør kernen i en organisations daglige drift, hvilket netop er grunden til, at de er attraktive mål. Et brud, der berører en virksomhed som RingCentral, kunne teoretisk set eksponere de typer data, som disse platforme håndterer: brugeroplysninger, opkaldslogger, beskedindhold, kontaktmapper og administrative konfigurationsdetaljer, som it-teams bruger til at administrere en organisations telefon- og videosystemer. Fordi RingCentral primært anvendes af virksomheder snarere end af individuelle forbrugere, er de personer, der er mest direkte berørt i denne type hændelser, typisk medarbejdere i klientorganisationer samt de kunder og partnere, som disse medarbejdere kommunikerer med. Eksponering af brugeroplysninger er ofte den mest umiddelbart farlige konsekvens, da genbrugte adgangskoder eller eksponerede login-tokens kan give angribere mulighed for at bevæge sig videre til andre forbundne systemer længe efter det oprindelige læk.
Shinyhunters' mønster: Ransomware, afpresning og tidligere ofre
Denne påstand eksisterer ikke isoleret. Shinyhunters har opbygget en historik med offentligt at navngive ofre på tværs af sektorer og lægge pres på dem med lækkede data som løftestang, et mønster der er synligt i andre nylige sager, gruppen har påtaget sig. Gruppens påståede brud mod Baker Distributing, en af landets største distributører af HVAC- og foodserviceudstyr, eksponerede angiveligt cirka 260.000 poster. I en separat og mere aggressiv kampagne gik gruppen ud over stille datatyveri og beskadigede skoleloginportaler tilknyttet Canvas-platformen med løsesumsbeskeder for at øge presset på ofrene. Set samlet antyder disse sager en gruppe, der gennemfører en vedvarende kampagne mod en række organisationer snarere end at forfølge et enkelt, isoleret mål, og RingCentrals optræden i Darkfield-dossieret passer ind i dette bredere mønster.
Hvad dette betyder for dig
Hvis din organisation bruger RingCentral, er den mest nyttige reaktion lige nu ikke panik, men forberedelse. Et RingCentral-datalæk, bekræftet eller påstået, er en påmindelse om, at kontosikkerhedskontroller betyder mere end nogen enkelt leverandørs infrastruktur. Administratorer bør gennemgå loginaktivitet for noget usædvanligt, bekræfte at multifaktorautentificering er aktiveret for alle konti og rotere adgangsoplysninger for alle brugere med forhøjet administrativ adgang. Medarbejdere, der genbruger den samme adgangskode til RingCentral og andre tjenester, bør ændre den overalt, hvor den optræder, ikke kun på den berørte platform.
Det er også værd at være klar over, hvad en VPN kan og ikke kan her. En VPN krypterer din forbindelse og kan hjælpe med at beskytte data under transmission eller afskærme din browsing fra netværksbaseret overvågning, men den gør intet for at omgøre skader, der allerede er sket inde i en virksomheds systemer, før dataene nåede dig. Hvis brugeroplysninger, opkaldslogger eller beskedindhold allerede er blevet lækket, vil en VPN, der kører på din enhed bagefter, ikke "aflække" disse oplysninger eller fjerne dem fra det sted, hvor de er blevet offentliggjort. VPN’er er stadig nyttige som ét lag i en bredere sikkerhedsrutine, men de er ikke en erstatning for stærke, unikke adgangskoder, multifaktorautentificering og hurtig handling, når et brud bliver kendt.
At være på forkant med den næste påstand
RingCentral-datalækpåstanden understreger en bredere sandhed: Virksomhedskommunikationsplatforme er nu i sigtekornet hos afpresningsgrupper som Shinyhunters, side om side med distributører, skoler og andre organisationer, som gruppen tidligere har angrebet. Uanset om RingCentral bekræfter det fulde omfang af denne hændelse, opnår brugere og it-administratorer mest ved at handle nu i stedet for at vente på officiel bekræftelse. Aktivér multifaktorautentificering overalt, hvor den ikke allerede er aktiv, gennemgå kontoadgange regelmæssigt, undgå genbrug af adgangskoder på tværs af forretningsværktøjer, og hold øje med officielle RingCentral-meddelelser for opdateringer. At behandle enhver troværdig brudpåstand som en anledning til et hurtigt sikkerhedstjek snarere end som en isoleret nyhedshistorie er den mest pålidelige måde at begrænse skaden på, næste gang en gruppe som Shinyhunters nævner et nyt offer.
