Shell vahvistaa tutkivansa Cl0p:n tietovarkausväitettä

Energiajätti Shell on vahvistanut tutkivansa mahdollista tietoturvapoikkeamaa sen jälkeen, kun Cl0p-kiristysohjelmaryhmä väitti varastaneensa noin 89 Gt tietoja yritykseltä. Väite on osa huomattavasti laajempaa kampanjaa, jossa Cl0p sanoo vieneensä tietoja lähes 50 monikansalliselta organisaatiolta, mukaan lukien väitetysti Philipsiltä, GE Aerospace'lta ja Fiserviltä, hyödyntämällä haavoittuvuuksia PTC Windchill -ohjelmistossa, joka on laajalti käytetty tuotteen elinkaaren hallinta-alusta.

Kuten useimmissa Cl0p:hen liittyvissä tapauksissa, ei ole viitteitä siitä, että Shellin operatiiviset järjestelmät olisi lukittu tai että kiristysohjelmasalausta olisi käytetty. Sen sijaan ryhmä näyttää noudattaneen vakiintunutta toimintatapaansa: hiljainen pääsy järjestelmiin, tietojen varastaminen ja sitten julkinen esiintyminen uhkauksen kanssa teknisen häiriön sijaan. Shell ei ole vahvistanut varastettujen tietojen laajuutta tai aitoutta, ja tutkinta on käynnissä.

Miten Cl0p:n kiristysmalli toimii

Toisin kuin monet kiristysohjelmaoperaattorit, jotka salaavat tiedostoja ja vaativat maksua salauksen purkamisesta, Cl0p on yhä enemmän nojautunut puhtaaseen tietokiristykseen. Ryhmä varastaa rakenteellisia tietokantoja ja salaamattomia tiedostoja, käyttäen usein mukautettuja verkkokuoria, jotka on asennettu ohjelmisto-haavoittuvuuden hyödyntämisen jälkeen, ja ottaa sitten yhteyttä uhreihin (tai julkaisee heidän nimensä) vaatien monen miljoonan dollarin maksuja vastineeksi siitä, ettei varastettua materiaalia julkaista.

Tällä lähestymistavalla on useita etuja hyökkääjille. Se ohittaa meluisan ja häiritsevän järjestelmien salaamisvaiheen, joka voi nopeasti paljastaa turvatiimeille ongelman ja käynnistää välittömän tietoturvapoikkeamaan reagoinnin. Se myös siirtää paineen kokonaan maine- ja sääntelyriskiin: uhkaus ei ole "järjestelmänne ovat alhaalla", vaan "asiakas- ja kumppanitietonne julkaistaan, ellette maksa". Tämä ero on merkittävä sen kannalta, miten organisaatiot havaitsevat, reagoivat ja paljastavat nämä tapaukset, koska operatiivista häiriötä, joka merkitsisi ongelmaa, ei välttämättä ole.

Tämä toimintamalli ei ole ainutlaatuinen Shellille. Samanlaisia kiristys-ensiksi -taktiikoita käytettiin Wescon tutkimuksessa ExfilSquad-ryhmän murtoväitteestä, jossa sähkötukkuri vahvisti selvittävänsä väitettyä järjestelmiensä tietomurtoa, sekä jatkoraportissa, jonka mukaan ExfilSquad väitti 2,6 miljoonaa CRM-tietuetta nimenomaan Wescosta. Massakiristysmalli on näkynyt myös laajassa mittakaavassa tapauksissa, kuten ShinyHunters-vishing-kampanjassa Charter Communicationsia vastaan, joka paljasti noin 40 miljoonaa asiakastietuetta. Näissä tapauksissa yhteinen tekijä on ryhmä, joka väittää ensin varastaneensa tietoja ja antaa uhriyrityksen selvittää ja reagoida jälkikäteen.

Kampanja, joka kohdistuu lähes 50 yritykseen

Se, mikä erottaa Shellin tapauksen tyypillisestä yksittäisen yrityksen tietomurrosta, on laajemman kampanjan mittakaava. Cl0p on väitetysti nimennyt lähes 50 organisaatiota useilta toimialoilta, yhdistäen tunkeutumiset PTC Windchill -ohjelmiston haavoittuvuuksien hyödyntämiseen. Jos tämä pitää paikkansa, se viittaa koordinoituun, haavoittuvuusvetoiseen kampanjaan, ei sarjaan toisiinsa liittymättömiä, opportunistisia hyökkäyksiä. Tämä toimintamalli on yhdenmukainen Cl0p:n aiemman toiminnan kanssa: tunnista laajalti käytetty yritysohjelmistotuote, hyödynnä haavoittuvuus ennen kuin päivitykset on laajalti asennettu, ja kerää tietoja mahdollisimman monelta asiakkaalta ennen kuin julkaiset tulokset julkisesti.

Shellin kannalta se, että yritys on nimetty kymmenien muiden suurten, hyvin resursoitujen yritysten joukossa, korostaa laajempaa seikkaa: minkään organisaation koko tai tietoturvabudjetti ei tee siitä immuunia, kun mukana on toimitusketju- tai kolmannen osapuolen ohjelmisto-haavoittuvuus. Tutkinta on vielä alkuvaiheessa, eikä Shell ole vielä vahvistanut täyttä laajuutta siitä, mihin on mahdollisesti päästy käsiksi.

Mitä tämä tarkoittaa sinulle

Jos olet Shellin asiakas, kumppani tai työntekijä, ei ole vielä vahvistettua näyttöä siitä, että henkilötietosi olisivat paljastuneet, mutta on syytä pysyä valppaana. Tämän kaltaisissa kiristyspohjaisissa tietomurroissa on usein kyse liiketoimintatiedoista, toimittajatiedoista tai työntekijätiedoista suorien kuluttajatilien tunnusten sijaan, vaikka tilanne voi muuttua tutkinnan edetessä. Turvallisin tapa on seurata virallisia Shellin tiedotuksia ja suhtautua epäilyksellä ei-toivottuihin sähköposteihin tai puheluihin, joissa viitataan tähän tapaukseen, koska tietomurtouutisia hyödynnetään usein tietojenkalastelussa.

Laajemmin tämä tapaus muistuttaa siitä, että tietomurrot eivät aina näytä siltä, että yritys on "hakkerointiuhri" perinteisessä mielessä. Kun hyökkääjät luottavat kiristykseen salauksen sijaan, ensimmäinen julkinen merkki ongelmasta on usein rikollisryhmän oma ilmoitus, ei uhrin sisäinen hälytys.

Käytännön toimenpiteet

Seuraa virallisia Shellin tiedotuksia äläkä luota kolmannen osapuolen väitteisiin siitä, mitä tietoja tapaus on saattanut koskea. Ole varovainen tietojenkalasteluyritysten suhteen, jotka viittaavat tähän tietomurtoon, koska rikolliset hyödyntävät usein todellisia tapauksia huijatakseen ihmisiä klikkaamaan haitallisia linkkejä. Jos käytät tai työskentelet ohjelmistojen, kuten PTC Windchill, kanssa, tarkista toimittajan päivitykset ja tietoturvatiedotteet viipymättä, koska tämän kaltaiset haavoittuvuusvetoiset kampanjat etenevät nopeasti, kun tiedot tulevat julki. Harkitse lopuksi vahvojen, yksilöllisten salasanojen käyttöä ja valvontapalveluita, jos sinulle ilmoitetaan, että tietosi ovat osa tähän kampanjaan liittyvää tietomurtoa, koska Cl0p:n historia osoittaa, että näitä väitteitä seuraa usein todellisia tietovuotoja, kun lunnaita ei makseta.