Toimittajamurto, joka vain paheni
Kun uutiset markkinatiedustelualusta Klueen kohdistuneesta tietomurrosta tulivat julki, tarina vaikutti aluksi tutulta: vaarantunut käyttäjätunnus, luvaton kirjautuminen ja joukko jatkossa altistuvia organisaatioita, jotka yrittivät hahmottaa altistumistaan. Hyökkääjät, joiden kerrotaan liittyvän Icarukseksi kutsuttuun ryhmään, pääsivät Klueen ympäristöön 11.–12. kesäkuuta hyödyntäen vanhaa tunnusta, joka liittyi integraatiopalvelutiliin ja jota ei ilmeisesti ollut koskaan poistettu, vaikka rajoitettu pilottiohjelma oli päättynyt. Monivaiheinen todennus ei ollut esteenä.
Pelkästään tämä olisi riittänyt melko tavanomaiseksi toimitusketjun tietoturvatarinaksi. Mutta Klue-murto sai epätavallisen käänteen. Toinen ryhmä sai ilmoitusten mukaan haltuunsa varastetut tiedot ja alkoi itsenäisesti kiristää samoja kohdeorganisaatioita, nimenomaan kehottaen uhreja olemaan luottamatta Icarukseen. Toisin sanoen hakkerit itse joutuivat hakkeroinnin kohteeksi, ja varastetuista asiakastiedoista tuli rikollisten alamaailmassa kiistelty kauppatavara, ei pelkästään pantti hyökkääjän ja uhrin välisessä kaupassa.
Miksi tämä muuttaa lunnashaitta-laskelmaa
Vuosien ajan kiristys- tai lunnashaittavaatimuksen kohteeksi joutuneet organisaatiot ovat punninneet tuttua vaihtoehtojen joukkoa: maksa ja toivo, että hyökkääjä poistaa tiedot, tai kieltäydy ja ota riski julkisesta paljastumisesta. Klue-tapaus mutkistaa tätä logiikkaa huomattavasti. Jos varastettuja tietoja voidaan myydä eteenpäin, varastaa uudelleen tai käyttää uudelleen kilpailevan rikollisryhmän toimesta sen jälkeen, kun uhri on jo maksanut tai neuvotellut, oletus siitä, että yksi maksu poistaa uhan, ei enää päde.
Tällä on erityistä merkitystä yksityisyyden kannalta, koska ihmisillä, joiden tiedot näissä järjestelmissä ovat – asiakkaat, potentiaaliset asiakkaat ja työntekijät, jotka on mainittu myynti- tai tiedustelutiedoissa – ei ole minkäänlaista näkyvyyttä siihen, kuinka monella taholla on nyt hallussaan kopioita heidän tiedoistaan. Tietomurtoilmoitus, jossa kuvaillaan yhtä hyökkääjäryhmää, aliarvioi todellisen altistumisen, jos toinen, riippumaton ryhmä ansaitsee rahaa samalla tietoaineistolla. Tavallisille käyttäjille tämä vahvistaa oppitunnin, joka pätee myös turvallisiin viestintä- ja kommunikaatiotyökaluihin: hyökkääjät kohdistavat yhä useammin toimenpiteensä luottamusketjun heikoimpaan lenkkiin eikä itse teknologiaan. Sama malli näkyy raportoinnissa siitä, miksi Signalin käyttäjät joutuvat hakkeroinnin kohteeksi, eivät itse sovellus, jossa taustalla oleva alusta on vankka, mutta inhimilliset ja menettelytapoihin liittyvät aukot luovat hyökkäysmahdollisuuden.
Todellinen epäonnistumisen kohta: toimittajan hygieniakäytännöt, ei kehittyneisyys
Klue-murrossa huomionarvoista on se, kuinka tavanomainen alkuperäinen tunkeutuminen oli. Ei ollut nollapäivähaavoittuvuutta, ei uudenlaista haittaohjelmaa eikä valtiollista hienostuneisuutta. Raporttien mukaan hyökkääjät käyttivät vanhaa käyttäjätunnusta, joka liittyi integraatiotiliin, jonka Klue oli ilmeisesti jättänyt poistamatta pilottiohjelman päätyttyä, eikä tiliä ollut suojattu monivaiheisella todennuksella. Tämä yhdistelmä – orvoksi jäänyt tunnus ja MFA:n puute – on yksi yleisimmistä ja estettävissä olevista virhetilanteista yritysten tietoturvassa.
Tällä on merkitystä yksityisyyskeskustelun kannalta, koska se osoittaa, että riski henkilö- ja yritystiedoille ei usein tule hyökkääjien kehittyneisyydestä, vaan rutiininomaisista hallinnollisista laiminlyönneistä kolmannen osapuolen toimittajilla, joita asiakkaat eivät juurikaan pysty suoraan auditoimaan. Organisaatiot, jotka käyttävät Klueen alustaa, mukaan lukien sen Salesforce-integraatiota, altistuivat ei siksi, että ne olisivat tehneet jotain itse, vaan sen vuoksi, miten toimittaja käsitteli käyttövaltuuksia taustajärjestelmissään.
Mitä tämä tarkoittaa sinulle
Jos organisaatiosi käyttää kolmannen osapuolen toimittajia, jotka integroituvat keskeisiin liiketoimintajärjestelmiin, kuten Salesforceen, HR-alustoihin tai asiakastietokantoihin, Klue-murto on muistutus siitä, että tietojesi turvallisuus riippuu tietoturvakäytännöistä, joita et voi täysin nähdä tai hallita. Kysy suoraan toimittajilta, tarkastetaanko ja poistetaanko vanhoja tai pilottiohjelmien käyttäjätunnuksia ja valvotaanko monivaiheista todennusta jokaisessa integraatiopisteessä, ei vain ensisijaisissa käyttäjäkirjautumisissa.
Henkilöille, joiden tietoja saattaa olla toimittajajärjestelmissä asiakkaina, liideinä tai yhteyshenkilöinä, on hyvä muistaa, että tietomurtoilmoitus saattaa kuvailla vain ensimmäistä havaittua toimijaa, joka pääsi tietoihin käsiksi. Kuten Klue-tapaus osoittaa, varastetut asiakirjat voivat kiertää pidemmälle rikollisverkostoissa, mikä johtaa joskus toissijaisiin kiristysyrityksiin, joilla ei ole mitään tekemistä alkuperäisen tietomurtoilmoituksen kanssa.
Olennaiset opit kolmannen osapuolen riskin pienentämiseksi
Klue-murto korostaa, että kolmannen osapuolen kyberriskit eivät ole hypoteettinen kohta vaatimustenmukaisuusraportissa. Kyseessä on aktiivinen, kehittyvä uhka, jossa varastettuja tietoja voidaan myydä, varastaa uudelleen tai käyttää itsenäisesti rahan ansaitsemiseen kauan alkuperäisen tapauksen jälkeen. Yritysten tulisi kohdella toimittajien käyttäjätunnushygieniaa, mukaan lukien käyttämättömien integraatiotilien viivytyksetöntä poistoa ja monivaiheisen todennuksen yleistä käyttöönottoa, perusvaatimuksena eikä parhaana käytäntönä. Yksityishenkilöiden tulisi pysyä valppaina odottamattomien kiristys- tai tietojenkalasteluyritysten varalta, joissa viitataan henkilökohtaisiin yksityiskohtiin – jopa tahoilta, jotka eivät liity alkuperäiseen tietomurtoilmoitukseen – sillä nämä tiedot saattavat nyt kiertää huomattavasti laajemmalla kuin vain niiden alkuperäisessä kompromettoitumispisteessä.
