Četverodnevni sprint s velikim posljedicama
Prema izvještavanju Cyber Magazina, hakeri povezani s Kinom izgradili su autonomni napadački okvir u samo četiri dana i iskoristili ga za ciljanje tajvanskih vladinih sustava. Kampanja je rezultirala eksfiltracijom više od 2.500 dokumenata, što je razmjer i brzina koji se ističu čak i u krajoliku prijetnji u kojem su upadi povezani s državama protiv Tajvana postali rutina.
Ono što ovaj incident čini značajnim nije samo količina ukradenih podataka, nego i prijavljena brzina sastavljanja. Izgradnja funkcionalnog napadačkog okvira u nekoliko dana, umjesto tjedana ili mjeseci, upućuje na to da su napadači mogli prijeći s planiranja na izvršenje s neuobičajenom učinkovitošću. Za regiju koja je dugo meta uporne, dobro financirane cyber špijunaže, taj skraćeni vremenski okvir otvara nova pitanja o tome koliko brzo vladine mreže mogu biti ispitane, probijene i ispražnjene od osjetljivih informacija nakon što napadači odaberu metu.
Zašto vladine mete nose nerazmjeran rizik za privatnost
Kada hakeri eksfiltriraju dokumente iz vladinih sustava, posljedice rijetko ostaju ograničene na agenciju koja je probijena. Vladine baze podataka često sadrže osobne zapise povezane s građanima, ugovornim suradnicima i javnim službenicima: identifikacijske podatke, korespondenciju, internu komunikaciju i administrativne datoteke koje mogu otkriti daleko više nego što je namjeravano. Povreda ovog razmjera, čak i ako je primarni motiv špijunaža, a ne financijska korist, i dalje stvara naknadnu izloženost privatnosti za svakoga čiji su podaci prošli kroz kompromitirane sustave.
Ovo je dio šireg obrasca aktivnosti povezanih s Kinom koje su ciljale i javne institucije i privatnu infrastrukturu. Ranije izvještavanje opisalo je kako ransomware StormEncryptor povezan s Kinom iskorištava RMM alate kako bi se tiho kretao mrežama koristeći legitimni softver za daljinsko upravljanje kao prikrivanje. Bez obzira na to je li cilj krađa dokumenata, kao u tajvanskom slučaju, ili postavljanje ransomwarea, zajednička nit je ista: napadači sve češće pronalaze načine da se uklope u normalnu mrežnu aktivnost, što otežava otkrivanje i produljuje vrijeme zadržavanja prije nego što netko primijeti da nešto nije u redu.
Problem brzine za obrambene timove
Tradicionalni modeli kibernetičke sigurnosti pretpostavljaju da obrambeni timovi imaju određeno vrijeme prednosti između početnog izviđanja i potpune povrede. Četverodnevni prozor od izgradnje do eksfiltracije značajno smanjuje tu pretpostavku. Vladini IT timovi, koji često rade s naslijeđenim sustavima, ograničenim osobljem i sporijim ciklusima zakrpa nego kolege u privatnom sektoru, posebno su ranjivi na napade koji se kreću brže nego što su standardni postupci odgovora na incidente osmišljeni da ih obrade.
Ta brzina također je važna za način na koji organizacije razmišljaju o nadzoru. Ako se napadački okvir može sastaviti i postaviti u roku od nekoliko dana, sigurnosni timovi trebaju kontinuiranu vidljivost mrežne aktivnosti u stvarnom vremenu, a ne povremene revizije. Čekanje zakazane sigurnosne provjere da bi se otkrili neobični prijenosi podataka više nije dovoljno kada se cijeli životni ciklus upada, od postavljanja do krađe podataka, može dogoditi prije nego što je ta provjera uopće zakazana.
Što to znači za vas
Većina čitatelja nisu vladini zaposlenici s izravnim pristupom sustavima koji su bili meta u ovom incidentu, ali širi učinci povreda povezanih s državama sežu dalje nego što bi se moglo očekivati. Ako koristite vladine usluge, bilo da obnavljate dokumente, podnosite obrasce ili komunicirate s javnim agencijama, vaši podaci mogu prolaziti kroz sustave koji su privlačne mete upravo za ovakvu vrstu operacija. Povrede koje uključuju vladinu infrastrukturu mogu izložiti osobne podatke koji na kraju cirkuliraju daleko izvan izvorne mete, ponekad se kasnije pojavljujući u nepovezanim pokušajima prijevare ili planovima krađe identiteta.
Šira lekcija za pojedince jest da sigurnost institucija na koje se oslanjate nije nešto što možete u potpunosti kontrolirati, ali možete kontrolirati koliko vlastitih podataka izlažete i koliko brzo primijetite da nešto nije u redu. To znači biti na oprezu na obavijesti vladinih agencija o incidentima s podacima, koristiti snažne, jedinstvene vjerodajnice gdje god postoje računi povezani s vladinim uslugama te s dozom sumnje postupati s neočekivanim porukama koje tvrde da dolaze iz službenih izvora, jer se ukradeni podaci često ponovno koriste za naknadne kampanje krađe identiteta.
Praktični zaključci
Ako vas ovakav incident zabrinjava, nekoliko praktičnih koraka može pomoći ograničiti vašu izloženost. Prvo, pratite službene obavijesti svake vladine agencije s kojom imate kontakt radi obavijesti o povredama i brzo reagirajte ako se neka odnosi na vas. Drugo, koristite jedinstvene lozinke za račune povezane s vladom i uključite višefaktorsku autentifikaciju gdje god je dostupna. Treće, budite oprezni s neželjenim e-porukama ili porukama koje se pozivaju na vladine usluge jer se ukradeni dokumenti često koriste za stvaranje uvjerljivih naknadnih prijevara. Na kraju, pratite izvještavanje o kibernetičkim aktivnostima povezanima s Kinom jer kampanje poput ove često signaliziraju šire trendove ciljanja koji bi s vremenom mogli zahvatiti i sektore izvan vlade, uključujući kritičnu infrastrukturu i privatnu industriju.
Incidenti poput ovog autonomnog kibernetičkog napada na Tajvan podsjećaju da se tempo kibernetičkih prijetnji ubrzava i da je informiranost jedan od najjednostavnijih načina da ostanete spremni.
