Ένα εργαλείο ερευνών γίνεται ο αδύναμος κρίκος

Η Nintendo δεν παραβιάστηκε επειδή κάποιος έσπασε τους διακομιστές παιχνιδιών της ή παρέκαμψε την ασφάλεια των λογαριασμών της. Σύμφωνα με το ρεπορτάζ για το περιστατικό, η έκθεση ανάγεται στην TinyPulse, έναν τρίτο προμηθευτή που χρησιμοποιούσε η Nintendo για τη διεξαγωγή εσωτερικών ερευνών εμπλοκής εργαζομένων. Μια ομάδα που αυτοαποκαλείται Shadowbyt3$ ανέλαβε την ευθύνη και απαίτησε περίπου 2 εκατομμύρια δολάρια, χαρακτηρίζοντας την επιχείρηση ως «εκβιασμός-ως-υπηρεσία».

Αυτή η ετικέτα έχει μεγαλύτερη σημασία απ’ ό,τι ακούγεται. Οι παραδοσιακές ομάδες ransomware αναπτύσσουν κρυπτογράφους που κλειδώνουν τα συστήματα του θύματος και στη συνέχεια απαιτούν πληρωμή για ένα κλειδί αποκρυπτογράφησης. Τα τελευταία χρόνια, οι περισσότεροι επιτιθέμενοι πρόσθεσαν ένα δεύτερο μοχλό πίεσης: κλέβουν δεδομένα πριν κρυπτογραφήσουν οτιδήποτε, ώστε να έχουν διαπραγματευτική δύναμη ακόμα κι αν το θύμα ανακτήσει τα δεδομένα από αντίγραφα ασφαλείας. Ομάδες εκβιασμού-ως-υπηρεσία όπως η Shadowbyt3$ φαίνεται να παραλείπουν εντελώς το βήμα της κρυπτογράφησης. Δεν χρειάζεται να κλειδώσεις συστήματα όταν η απειλή δημοσίευσης ευαίσθητων δεδομένων εργαζομένων είναι αρκετή για να ασκήσει πίεση για πληρωμή.

Για τη Nintendo, μια εταιρεία της οποίας η βασική δραστηριότητα βασίζεται σε κονσόλες, διαδικτυακούς λογαριασμούς και μια τεράστια εγκατεστημένη βάση, αυτό το περιστατικό είναι μια υπενθύμιση ότι η επιφάνεια επίθεσης εκτείνεται πολύ πέρα από τα προϊόντα που βλέπουν οι πελάτες. Διατρέχει κάθε προμηθευτή με πρόσβαση σε εσωτερικά δεδομένα, ακόμα και φαινομενικά χαμηλού κινδύνου όπως μια πλατφόρμα ανατροφοδότησης εργαζομένων.

Γιατί οι τρίτοι προμηθευτές συνεχίζουν να γίνονται το σημείο εισόδου

Εργαλεία ερευνών HR, πλατφόρμες παροχών, λογισμικό προγραμματισμού και άλλοι προμηθευτές υποστηρικτικών λειτουργιών σπάνια δέχονται τον ίδιο έλεγχο ασφαλείας με τις βασικές υποδομές. Αντιμετωπίζονται ως διοικητικές ευκολίες και όχι ως θεματοφύλακες δεδομένων, παρόλο που επεξεργάζονται τακτικά ονόματα, στοιχεία απασχόλησης και μερικές φορές οικονομικές ή ταυτοτικές πληροφορίες που συνδέονται με το εργατικό δυναμικό μιας εταιρείας.

Αυτή η αναντιστοιχία είναι ακριβώς αυτό που έχουν φτιαχτεί για να εκμεταλλεύονται οι ομάδες εκβιασμού-ως-υπηρεσία. Οι επιτιθέμενοι δεν χρειάζεται να παραβιάσουν απευθείας μια εταιρεία με τόσους πόρους όπως η Nintendo. Χρειάζεται να βρουν έναν προμηθευτή στην εφοδιαστική αλυσίδα αυτής της εταιρείας με ασθενέστερες άμυνες, να συλλέξουν όσα δεδομένα βρίσκονται στα συστήματα αυτού του προμηθευτή και στη συνέχεια να χρησιμοποιήσουν το brand και τη φήμη της μητρικής εταιρείας ως μοχλό πίεσης για πληρωμή. Ο προμηθευτής γίνεται η πόρτα· το αναγνωρίσιμο brand γίνεται η διαπραγματευτική δύναμη.

Αυτό το μοτίβο δεν αφορά αποκλειστικά τη Nintendo. Αντικατοπτρίζει μια ευρύτερη αλλαγή στον τρόπο λειτουργίας των ομάδων εκβιασμού: αντί να επενδύουν σε πολύπλοκα ωφέλιμα φορτία κρυπτογράφησης που μπορούν να ανιχνευθούν και να αντιστραφούν, επικεντρώνονται στην εξαγωγή δεδομένων και τη δημόσια πίεση, επειδή το κόστος φήμης μιας διαρροής είναι συχνά αυτό που εξαναγκάζει σε αντίδραση, όχι η τεχνική αναστάτωση.

Τι σημαίνει αυτό για εσάς

Εάν είστε πελάτης της Nintendo, αυτό το περιστατικό αφορά κυρίως δεδομένα εργαζομένων, όχι λογαριασμούς παικτών, βάσει των όσων έχουν αναφερθεί. Ωστόσο, εξακολουθεί να περιέχει ένα μάθημα που αξίζει να ληφθεί σοβαρά υπόψη αν αλληλεπιδράτε με το ψηφιακό οικοσύστημα οποιασδήποτε μεγάλης εταιρείας, συμπεριλαμβανομένων των πλατφορμών παιχνιδιών: η έκθεση των δεδομένων σας είναι τόσο ισχυρή όσο ο πιο αδύναμος προμηθευτής στην εφοδιαστική αλυσίδα αυτής της εταιρείας.

Για τους κατόχους λογαριασμού Nintendo, αυτή είναι μια καλή στιγμή για να επανεξετάσετε τη βασική υγιεινή λογαριασμού. Χρησιμοποιήστε έναν μοναδικό, ισχυρό κωδικό πρόσβασης για το λογαριασμό σας στη Nintendo, ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων αν δεν το έχετε ήδη κάνει και να είστε προσεκτικοί με τυχόν ανεπιθύμητα email που αναφέρονται σε αυτή την παραβίαση, καθώς τα περιστατικά εκβιασμού συχνά παράγουν ένα κύμα επακόλουθων απόπειρων phishing που προσπαθούν να εκμεταλλευτούν την ευαισθητοποίηση του κοινού για την ιστορία. Αν χρησιμοποιείτε επίσης το Nintendo Switch σας για περιήγηση ή ροή περιεχομένου ενώ ταξιδεύετε ή σε δημόσια δίκτυα, αξίζει να κατανοήσετε πώς ένα VPN για το Nintendo Switch σας μπορεί να προσθέσει ένα επίπεδο προστασίας για τη σύνδεσή σας, ξεχωριστά από τα παραπάνω βήματα ασφαλείας λογαριασμού.

Αν εργάζεστε σε HR, IT ή διαχείριση κινδύνων προμηθευτών σε οποιονδήποτε οργανισμό, το πιο χρήσιμο μάθημα αφορά τη δέουσα επιμέλεια προμηθευτών. Τα εργαλεία τρίτων που αγγίζουν δεδομένα εργαζομένων, ακόμα κι εκείνα που φαίνονται χαμηλού ρίσκου όπως μια πλατφόρμα παλμικών ερευνών, αξίζουν τον ίδιο έλεγχο ασφαλείας με τα εργαλεία που διαχειρίζονται δεδομένα πληρωμών πελατών. Αυτό σημαίνει να ρωτάτε τους προμηθευτές για τα πρότυπα κρυπτογράφησης, τα χρονοδιαγράμματα ειδοποίησης παραβίασης και τις πρακτικές διατήρησης δεδομένων πριν από την υπογραφή σύμβασης, όχι αφού ένα περιστατικό εξαναγκάσει την ερώτηση.

Ενεργές επισημάνσεις

  • Επανεξετάστε και ενισχύστε τα διαπιστευτήρια του λογαριασμού σας στη Nintendo και ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων αν δεν είναι ήδη ενεργός.
  • Αντιμετωπίστε με σκεπτικισμό κάθε email ή μήνυμα που σχετίζεται με την παραβίαση· επαληθεύστε μέσω επίσημων καναλιών της Nintendo πριν κάνετε κλικ σε συνδέσμους ή δώσετε πληροφορίες.
  • Αν διαχειρίζεστε σχέσεις με προμηθευτές στον δικό σας οργανισμό, ελέγξτε ποιοι τρίτοι διατηρούν δεδομένα εργαζομένων ή πελατών και επιβεβαιώστε ότι οι πρακτικές ασφαλείας τους ανταποκρίνονται στην ευαισθησία όσων αποθηκεύουν.
  • Αναγνωρίστε τον εκβιασμό-ως-υπηρεσία ως ένα ξεχωριστό μοντέλο απειλής: η απουσία κρυπτογράφησης δεν σημαίνει απουσία κινδύνου, καθώς τα κλεμμένα δεδομένα από μόνα τους μπορούν να αποτελέσουν αρκετή πίεση για απαίτηση πληρωμής.

Η υπόθεση Nintendo-TinyPulse είναι ένα σαφές παράδειγμα του πώς οι σύγχρονες ομάδες εκβιασμού έχουν προσαρμόσει το εγχειρίδιό τους και του πώς η μεγαλύτερη ευπάθεια μιας εταιρείας μπορεί να μην είναι τα δικά της συστήματα αλλά οι προμηθευτές στους οποίους εμπιστεύεται δεδομένα εργαζομένων. Η ενημέρωση σχετικά με τέτοια περιστατικά και η εφαρμογή βασικής υγιεινής λογαριασμών και προμηθευτών παραμένει η πιο πρακτική άμυνα που διαθέτουν τόσο τα άτομα όσο και οι οργανισμοί.