Sisäpiiriuhat, jossa on käänne

Useimmat kiristyshaittaohjelmauutiset liittyvät tietojenkalasteluviesteihin, paljaisiin etätyöpöytäportteihin tai päivittämättömiin ohjelmistoihin. Teslaan kohdistunut juoni oli erilainen. Tapauksesta kertovien tietojen mukaan Kriuchkov-niminen mies otti yhteyttä Teslan Nevadan Gigafactoryn työntekijään esittäen tarjouksen: auta asentamaan räätälöity haittaohjelma yrityksen sisäiseen verkkoon, ja hänen kumppaninsa hoitaisivat loput – varastaisivat arkaluonteisia tietoja ja vaatisivat sitten lunnaita uhkaamalla julkistamisella.

Tämä on oppikirjan mukainen kaksinkertaisen kiristyksen haittaohjelmamalli, jossa hyökkääjät varastavat tiedot ennen niiden salaamista tai vuotamisella uhkaamista, antaen uhreille kaksi syytä maksaa yhden sijaan. Mikä teki tästä tapauksesta poikkeuksellisen, oli toimintatapa. Sen sijaan, että haittaohjelma olisi lähetetty haitallisena liitteenä, hyökkääjät yrittivät värvätä ihmisen, jolla jo oli laillinen pääsy verkkoon. Raporttien mukaan työntekijälle tarjottiin aluksi 500 000 dollaria osallistumisesta, ja summa nostettiin myöhemmin miljoonaan dollariin, mikä on sen verran korkea, että se kertoo hyökkääjien arvostaneen Teslan sisäisiä tietoja erittäin paljon.

Miksi työntekijä ilmoitti asiasta rahojen ottamisen sijaan

Juoni kaatui, koska kohteeksi joutunut työntekijä päätti hälyttää Teslan ja viranomaiset lahjuksen hyväksymisen sijaan. Tämä päätös, enemmän kuin mikään palomuuri tai virustorjuntatuote, on se mikä pysäytti hyökkäyksen välittömästi. Kun asiasta ilmoitettiin, FBI tuli mukaan, ja juoni keskeytyi ennen kuin yhtään haittaohjelmaa kosketti Teslan järjestelmiä.

Tätä kannattaa pysähtyä miettimään hetkeksi. Kaikki tekniset suojaukset, joita yritys rakentaa – verkon segmentointi, päätelaitteiden valvonta, salatut varmuuskopiot – ovat olemassa pysäyttääkseen hyökkääjät, jotka ovat jo kehän sisällä tai yrittävät murtautua ulkopuolelta. Millään näistä työkaluista ei ole paljon merkitystä, jos työntekijä, jolla on voimassaolevat valtuustiedot, suostuu avaamaan oven vapaaehtoisesti. Ainoa todellinen suoja tätä skenaariota vastaan on työpaikkakulttuuri, jossa työntekijät kokevat olonsa turvalliseksi ja jopa palkituksi ilmoittaessaan epäilyttävistä lähestymisistä välittömästi.

Tämä on myös muistutus siitä, että toimitusketjut ja kumppaniekosysteemit laajentavat hyökkäyspinta-alaa huomattavasti pelkkien omien työntekijöiden ulkopuolelle. Tata Electronicsin tietomurto, joka paljasti Applen ja Teslan tiedostoja pimeässä verkossa osoittaa samankaltaisen kaavan: arkaluonteisia yritystietoja ei tarvitse varastaa suoraan kohdeyritykseltä päätyäkseen vaarannetuksi. Toimittaja, alihankkija tai tavarantoimittaja, jolla on heikommat turvatoimet, voi muodostua helpoimmaksi reitiksi hyökkääjille, jotka eivät pysty värväämään sisäpiiriläistä suoraan.

Liiketoiminnalliset perusteet sisäpiiriuhkatietoisuudelle

Yritykset käyttävät valtavia budjetteja kehäturvallisuuteen, kun taas sisäpiiriuhkaohjelmat saavat usein paljon vähemmän huomiota. Kuitenkaan Teslan kaltaiset sisäpiiriläisten värväysyritykset eivät vaadi lainkaan teknistä hyväksikäyttöä. Ne perustuvat täysin inhimilliseen päätöksentekoon taloudellisen paineen tai houkutuksen alla.

Muutama käytäntö tekee organisaatioista vastustuskykyisempiä tällaiselle lähestymiselle:

  • Selkeät, hyvin tiedotetut ilmoituskanavat, jotta työntekijät tietävät tarkalleen, keneen ottaa yhteyttä, jos joku tarjoaa heille rahaa pääsystä, valtuustiedoista tai avusta turvatoimien ohittamisessa.
  • Säännöllinen koulutus, joka kattaa erityisesti sosiaalisen manipuloinnin ja lahjontayritykset, ei pelkästään tietojenkalasteluviestejä.
  • Kulttuuri, jossa epäilyttävän kontaktin ilmoittamista käsitellään myönteisenä tekona, ei tunnustuksena väärinkäytöksestä, jotta työntekijät eivät pelkää tulla esiin.
  • Vähimpien oikeuksien käyttövaltuuskäytännöt, jotka rajoittavat sitä, kuinka paljon vahinkoa yksittäinen vaarantunut tili – inhimillinen tai tekninen – voi todellisuudessa aiheuttaa.

Mikään näistä toimenpiteistä ei ole kallis verrattuna onnistuneen kaksinkertaisen kiristyksen hyökkäyksen mahdollisiin kustannuksiin, joihin voi sisältyä lunnaiden maksu, viranomaissakot, oikeudellinen vastuu ja pitkäaikainen maineen vahingoittuminen.

Mitä tämä tarkoittaa sinulle

Olitpa sitten pienen yrityksen pyörittäjä tai IT-alalla suuressa yrityksessä, Teslan tapaus on hyödyllinen stressitesti omalle turvallisuustilanteellesi. Kysy, tietäisivätkö työntekijäsi mitä tehdä, jos joku tarjoaisi heille rahaa USB-aseman asentamisesta, salasanan jakamisesta tai poissaolevaksi kääntymisestä ”urakoitsijan” käyttäessä rajoitettua järjestelmää. Jos vastaus on epäselvä, se on aukko, joka kannattaa sulkea ennen kuin hyökkääjä löytää sen.

Se myös vahvistaa, miksi tietojen paljastumisen riski ei rajoitu pelkästään omaan verkkoosi. Kuten Tata Electronicsin tapaus osoitti, suuriin yrityksiin liittyviä arkaluonteisia tiedostoja voi nousta esiin kolmannen osapuolen tietomurtojen kautta täysin niiden suoran hallinnan ulkopuolella. Toimittajien turvallisuuskäytäntöjen tarkastaminen ei ole enää valinnaista organisaatioille, jotka käsittelevät arvokasta immateriaaliomaisuutta tai asiakastietoja.

Käytännön opit

  • Luo yksinkertainen, anonyymi ilmoitusprosessi työntekijöille, joihin otetaan yhteyttä lahjonta- tai sisäpiiriläisten värväystarjouksilla.
  • Kouluta henkilökunta tunnistamaan sosiaalisen manipuloinnin tekniikat, jotka kohdistuvat ihmisiin, eivät vain järjestelmiin.
  • Sovella vähimpien oikeuksien pääsyä, jotta yksittäinen työntekijä ei voi yksin vaarantaa kriittistä infrastruktuuria.
  • Tarkasta toimittajien ja toimitusketjun turvallisuus, sillä kolmannet osapuolet voivat vuotaa arkaluonteisia tietoja, vaikka omat suojauksesi pitäisivät.

Teslan tapaus päättyi hyvin, koska yksi työntekijä teki oikean valinnan. Sellaisen työpaikan rakentaminen, jossa tuo päätös on helppo, odotettu ja palkittu, on yksi kustannustehokkaimmista kiristyshaittaohjelmilta puolustautumisen keinoista, jonka mikä tahansa organisaatio voi ottaa käyttöön.