En dataafpresningskampagne via angreb på forsyningskæden behøver ikke at røre din enhed for at bringe dine oplysninger i fare. Den behøver kun at kompromittere et værktøj, som din leverandør allerede stoler på. Det er billedet, der tegner sig i TeamPCP-sagen, hvor amerikanske myndigheder i august meddelte en tiltale og en anholdelse i Australien.

De tilgængelige detaljer er begrænsede, så dette indlæg holder sig til det, der er blevet rapporteret. Kildedækningen fra Virtual Routes beskriver, hvordan FBI udtrykkeligt bemærker, at nogle af disse sager involverer datatyveri og afpresning uden ransomware-kryptering, og den peger på TeamPCP-posterne som endnu en vej til afpresning.

Hvordan TeamPCP forvandlede betroet software til en vej til datatyveri

Ifølge rapporteringen beskrev en rådgivning fra juli kompromittering af betroede softwareværktøjer og tyveri af følsomme oplysninger. Mønsteret er værd at forstå, fordi det adskiller sig fra den klassiske ransomware-historie. Der er ingen låst skærm og ingen krypterede filer. I stedet kompromitterer angribere software, som organisationer allerede er afhængige af, bruger den adgang til at tage data og kræver derefter betaling.

I august meddelte amerikanske myndigheder en tiltale og en anholdelse i Australien. Anklagerne beskriver kompromitteret software, der muliggjorde datatyveri fra kunder længere nede i kæden, efterfulgt af løsesumskrav. I klare vendinger var ofrene ikke kun virksomheden, hvis værktøj blev kompromitteret, men også de kunder, der brugte det.

Det er det, der gør denne form for dataafpresningskampagne via forsyningskæden effektiv for kriminelle. Ét kompromitteringspunkt kan åbne døren til mange organisationer på én gang, og hver af dem kan derefter presses separat.

Hvad tiltalen og den australske anholdelse ændrer og ikke ændrer

En tiltale og en anholdelse er betydningsfulde skridt. De viser, at grænseoverskridende samarbejde mellem amerikanske og australske myndigheder kan give resultater, og de sender et signal til andre, der driver lignende ordninger.

Men de er påstande på nuværende stadium, og titlen på kildeartiklen rammer det større problem ind: vejen til at holde ransomware-kriminelle ansvarlige er lang. Retssager tager tid, mens datatyveri sker hurtigt. Når oplysninger først er taget, garanterer en anholdelse ikke, at de kan gendannes, eller at kopier ikke cirkulerer.

Der er også en bredere pointe. Håndhævelse har en tendens til at følge skaden snarere end at forebygge den. Læsere bør betragte anholdelser som gode nyheder for afskrækkelse, ikke som en grund til at slække på deres egne beskyttelser.

Hvorfor kunder længere nede i kæden bærer risikoen

Kunder længere nede i kæden er ofte den mindst synlige part i disse hændelser. De ved måske ikke, hvilke værktøjer deres leverandører bruger, hvilken adgang disse værktøjer har, eller hvor meget af deres data der ligger i tredjepartssystemer. Når et betroet værktøj kompromitteres, kan de data, der lækker, omfatte alt, hvad leverandøren eller dennes kunder har lagret der.

Det kan omfatte almindelige personoplysninger. Relateret dækning viser, hvordan afpresningsdrevne brud udspiller sig for enkeltpersoner. Rapporter om Novo Nordisk og OnePoint-brud, der eksponerer 800.000 patientfiler illustrerer, hvor eksponerede sundhedsdata kan være, og et nyligt krav om 2 til 3 TB data om FBI-agenter viser, at selv organisationer med stærke sikkerhedsomdømmer står over for pres fra afpressere.

Den fælles tråd er, at de personer, hvis data stjæles, sjældent havde nogen indflydelse på de sikkerhedsvalg, der eksponerede dem.

Hvad dette betyder for dig

Du kan ikke revidere enhver leverandør, der opbevarer dine data, og du kan ikke forhindre en leverandør i at blive kompromitteret. Det, du kan kontrollere, er, hvor meget der er at stjæle, og hvor meget skade stjålne data kan gøre.

Jo mindre du deler, jo mindre kan en afpresningsbande bruge. Og fordi afpresning er afhængig af løftestang, bliver stjålne data ofte omsat til penge på flere måder. Analyse af en mistænkt lækage fra en afpresningsgruppe, dækket i vores artikel om Chainalysis, der forbinder krypto-wallets med løsesumbetalinger, giver et indblik i, hvordan disse betalingsstrømme fungerer.

Praktiske måder at begrænse din eksponering

  • Del mindre med leverandører. Giv kun de oplysninger, en tjeneste reelt har brug for. Spring valgfrie felter over, og slet konti, du ikke længere bruger.
  • Aktivér multifaktor-godkendelse. Hvis legitimationsoplysninger afsløres i et brud, gør MFA dem langt sværere at bruge. Foretræk app-baserede eller hardwarebaserede metoder frem for SMS, hvor det er muligt.
  • Brug unikke adgangskoder. En adgangskodeadministrator gør dette praktisk, så én lækage ikke låser op for andre konti.
  • Læs underretninger om brud. Ignorer ikke e-mails eller breve om hændelser hos virksomheder, du har med at gøre. De indeholder ofte trin og deadlines, såsom tilbud om kreditovervågning.
  • Vær skeptisk over for afpresningsbeskeder. Hvis nogen kontakter dig og hævder at være i besiddelse af dine data, skal du verificere gennem officielle kanaler, før du svarer eller betaler.
  • Overvåg dine konti. Hold øje med kontoudtog, og overvej en kreditfrysning, hvis følsomme identifikatorer blev eksponeret.

Konklusionen

TeamPCP-sagen er en påmindelse om, at en dataafpresningskampagne via forsyningskæden kan nå almindelige kunder gennem værktøjer, de aldrig selv har valgt. Tiltalen i august og anholdelsen i Australien er opmuntrende, men ansvarliggørelse bevæger sig langsommere end skaden. Begræns, hvad du udleverer, aktivér MFA, og vær opmærksom på underretninger om brud. For mere om, hvordan stjålne data bliver brugt, se vores ugentlige opsummering om McKesson-bruddet og Berlin-ransomware-sagen.