D1R-nimellä esiintyvä kiristyshaittaohjelmaryhmä on ilmoittanut murtautuneensa ARM-yhtiöön, brittiläiseen puolijohdesuunnitteluyritykseen, jonka siruarkkitehtuuri on käytössä suuressa osassa maailman älypuhelimia ja liitettyjä laitteita. DeXposen julkaiseman raportin mukaan hyökkääjät väittävät saaneensa haltuunsa yrityksen tietoja ja, mikä huomionarvoista, kiertäneensä kaksivaiheisen tunnistautumisen (2FA) suojaukset, joihin monet organisaatiot luottavat keskeisenä puolustuskerroksena.

Alkuperäisen paljastuksen jälkeiset yksityiskohdat ovat edelleen niukat, eikä ARM ole tämän raportin kirjoitushetkellä antanut julkista, yksityiskohtaista selvitystä tapauksen laajuudesta. Itse väite on silti merkittävä. ARM ei ole kuluttajabrändi samalla tavoin kuin vähittäiskauppias tai suoratoistopalvelu, mutta sen teknologia on osa valtavaa osaa maailman laite-ekosysteemistä. Kun tietomurto koskee yritystä, jolla on tällainen ulottuvuus, se ansaitsee huomion jo ennen kuin kaikki yksityiskohdat on vahvistettu.

Kuinka D1R-kiristyshaittaohjelmahyökkäyksen kerrotaan edenneen

Kiristyshaittaohjelmahyökkäykset noudattavat yleensä tuttua kaavaa: hyökkääjät saavat jalansijan verkossa, laajentavat käyttöoikeuksiaan, siirtävät arkaluonteista tietoa ulos ja ottavat sitten käyttöön salauksen tai kiristystaktiikoita painostaakseen uhria maksamaan. D1R:n ARM:aan kohdistuneessa väitteessä huomionarvoista on se, että hyökkäyksen aikana väitetään ohitetun kaksivaiheisen tunnistautumisen.

Kaksivaiheista tunnistautumista pidetään laajalti yhtenä yksinkertaisimmista ja tehokkaimmista tavoista estää luvaton pääsy tileille, sillä se vaatii salasanan lisäksi toisen vahvistusvaiheen. Kun hyökkääjät väittävät kiertäneensä sen – olipa kyse tietojenkalastelusta, istuntotunnisteiden varastamisesta, SIM-kortin vaihtoon perustuvista taktiikoista tai kaksivaiheisen todennuksen toteutuksen heikkouksien hyödyntämisestä – se horjuttaa suojausta, johon sekä yksityishenkilöt että yritykset ovat oppineet vahvasti luottamaan. Mikäli tämä yksityiskohta vahvistuu, se tekee ARM-tapauksesta tapausesimerkin, jota koko teknologia-alan kannattaa seurata tarkasti.

Miksi tietomurto sirujen suunnittelujätillä aiheuttaa poikkeuksellisen suuren yksityisyysriskin

ARM:n liiketoimintamalli poikkeaa useimmista tietomurtojen raportoinnissa käsitellyistä yrityksistä. Sen sijaan, että se myisi kuluttajatuotteita suoraan, ARM lisensoi prosessorimallejaan älypuhelin-, IoT-, auto- ja datakeskusteollisuuden valmistajille. Tämä tarkoittaa, että suunnittelu- ja suunnittelutason tietoturvapuutteella on mahdollisuus heijastua lukuisiin kumppaniyrityksiin ja lopulta loppukäyttäjiin, jotka eivät ehkä koskaan tiedä ARM-teknologian olevan laitteidensa sisällä.

Tämä on osa laajempaa mallia, jota on nähty viimeaikaisissa korkean profiilin tapauksissa. Samoin kuin Novo Nordisk otti yhteyttä viranomaisiin väitetystä 1 Tt:n tietomurrosta sen jälkeen, kun hakkeriryhmä väitti varastaneensa yrityksen tietoja, ARM joutuu nyt vastaamaan samankaltaisiin kysymyksiin siitä, mitä tietoja on päästy käsittelemään, kuinka paljon tietoa on siirtynyt verkon ulkopuolelle ja keihin tämä voi vaikuttaa toimitusketjussa. Nämä tapaukset korostavat johdonmukaista teemaa: hyökkääjät tähtäävät yhä useammin suuriin infrastruktuuri- ja teknologiaratkaisujen toimittajiin, eivät pelkästään kuluttajille suunnattuihin alustoihin, koska potentiaalinen vaikutusalue on niin paljon suurempi.

Sääntely- ja vastuupaine kasvaa

Tietomurron kohteeksi joutuneet yritykset ovat yhä tiukemman valvonnan alla niin sääntelyviranomaisten kuin tuomioistuinten taholta. Etelä-Korean tietosuojaviranomainen määräsi äskettäin ennätyksellisen suuret sakot, kun se määräsi Coupangille 409 miljoonan dollarin sakot tietomurrosta, mikä viestittää, että sääntelyviranomaiset maailmanlaajuisesti ovat valmiita määräämään vakavia taloudellisia seurauksia yrityksille, jotka eivät suojaa käyttäjätietoja. Oikeudelliset toimet eivät myöskään rajoitu pelkästään tietomurron uhreihin. Hiljattain nostettu kanne, jossa Texasin oikeuskansleri haastoi Netflixin oikeuteen salaisesta käyttäjätietojen keräämisestä, osoittaa, että laajemminkin tietojenkäsittelykäytännöt – eivät vain tietomurrot – herättävät oikeudellista huomiota. ARM:n kaltaisen, globaalin teknologian toimitusketjun keskiössä toimivan yrityksen kohdalla mikä tahansa vahvistettu tietovuoto voisi johtaa vastaavaan tarkasteluun brittiläisten ja kansainvälisten sääntelyviranomaisten taholta.

Mitä tämä tarkoittaa sinulle

Useimmilla lukijoilla ei ole suoraa tiliä ARM:n kanssa samalla tavoin kuin pankin tai suoratoistopalvelun kanssa, joten tähän tiettyyn tapaukseen ei liity välitöntä toimenpidettä, kuten salasanan vaihtoa. Tapaus on kuitenkin hyödyllinen muistutus siitä, että toimitusketjun turvallisuus on aivan yhtä tärkeää kuin suoraan käyttämiesi sovellusten ja palveluiden turvallisuus. Taskussasi olevat laitteet, autosi ja kotiverkkosi perustuvat todennäköisesti komponentteihin ja suunnitelmiin yrityksiltä, joista useimmat ihmiset eivät ole koskaan kuulleetkaan.

Se on myös muistutus siitä, että kaksivaiheinen tunnistautuminen on arvokas mutta ei aukoton suojaus. Hyökkääjät kehittävät aktiivisesti tekniikoita sen kiertämiseksi, minkä vuoksi lisäsuojakerrosten, kuten laitteistopohjaisten suojausavainten, pääsyavainten tai käyttäytymiseen perustuvan seurannan, käyttöönottoa kannattaa yhä useammin harkita kaikille, jotka hallinnoivat arkaluonteisia tilejä.

Käytännön ohjeet

  • Pysy valppaana ARM:n tai sen kumppaneiden mahdollisten virallisten lausuntojen varalta tämän tapauksen laajuudesta, sillä alkuperäiset kiristyshaittaohjelmaryhmien väitteet eivät aina ole täysin todennettuja.
  • Päivitä tekstiviesti- tai sovelluspohjainen kaksivaiheinen tunnistautuminen mahdollisuuksien mukaan tietojenkalastelua kestäviin menetelmiin, kuten laitteistopohjaisiin suojausavaimiin tai pääsyavaimiin.
  • Tarkista ARM-pohjaisia siruja käyttävät tilit ja laitteet, erityisesti jos hallinnoit IoT- tai sulautettuja järjestelmiä, ja seuraa toimittajien tietoturvatiedotteita.
  • Seuraa, miten sääntelyviranomaiset reagoivat tämän kaltaisiin tapauksiin, sillä kiristyvä täytäntöönpanokehitys viittaa siihen, että tietomurron kokeneet yritykset voivat joutua yhä suurempaan vastuuseen.

Kun D1R-kiristyshaittaohjelmahyökkäyksestä ARM:aan paljastuu lisätietoja, tämä tarina on ajankohtainen muistutus siitä, etteivät edes teknologiateollisuuden perustavanlaatuisimmat toimijat ole immuuneja kehittyneille kyberuhille ja että yksityisyyden suoja riippuu yhä enemmän koko toimitusketjun turvaamisesta, ei pelkästään kuluttajien suoraan näkemistä tuotteista.