Dokumenti FOIA-e otkrivaju da je hakiranje SolarWindsa razotkrilo sve e-pošte Treasury.gov
Dokumenti dobiveni putem tužbe prema Zakonu o slobodi informacija dodali su zabrinjavajuće novo poglavlje priči o hakerskom napadu SolarWinds iz 2020. Prema novootkrivenim zapisima, napadači nisu samo infiltrirali nekoliko računa u Ministarstvu financija SAD-a. Ostvarili su pristup dovoljno dubok da potencijalno razotkriju svaku pojedinu adresu e-pošte koja završava na treasury.gov. Puni opseg izloženosti vladinih podataka uslijed hakiranja SolarWindsa, kako se ispostavilo, bio je čak i širi nego što su dužnosnici javno priznali.
Što su dokumenti FOIA-e zapravo otkrili o pristupu Ministarstvu financija
Kad je povreda SolarWindsa prvi put izašla na vidjelo krajem 2020., vladine izjave priznavale su upad općenitim riječima, ali su izbjegavale detaljno navesti koliko su daleko napadači prodrli u savezne sustave. Novi dokumenti FOIA-e značajno mijenjaju tu sliku.
Zapisi ukazuju na to da su hakeri, koji se naširoko pripisuju ruskoj Obavještajnoj službi za inozemstvo (SVR), postigli razinu pristupa infrastrukturi e-pošte Ministarstva financija koja bi im omogućila pregledavanje ili prikupljanje svih adresa koje djeluju pod domenom treasury.gov. To nadilazi kompromitiranje podskupa sandučića. Sugerira da su napadači imali administratorsku vidljivost u okruženje e-pošte odjela, što znači da su mogli identificirati svaki račun, a vjerojatno i njegov sadržaj, u jednoj od najosjetljivijih agencija američke vlade.
Takva vrsta pristupa ima implikacije koje daleko nadilaze ukradenu korespondenciju. Imenici e-pošte mogu otkriti organizacijske strukture, identificirati ključno osoblje i poslužiti kao karta za naknadne phishing kampanje ili ciljano prikupljanje obavještajnih podataka.
Zašto se napad na lanac opskrbe razlikuje od standardne povrede
Kako bismo razumjeli zašto je ovu povredu bilo tako teško otkriti i zašto je bila toliko štetna po opsegu, pomaže razumjeti metodu napada. Ovo nije bio slučaj da su hakeri pogađali slabe lozinke ili iskorištavali nezakrpani poslužitelj. Napad SolarWindsa bio je školski primjer napada na lanac opskrbe, što znači da su protivnici kompromitirali pouzdanog dobavljača softvera i iskoristili njegov legitimni mehanizam ažuriranja kako bi zlonamjerni kod izravno dostavili korisnicima.
SolarWinds je izrađivao softver za upravljanje mrežom pod nazivom Orion, koji se široko koristio u saveznim agencijama i tvrtkama privatnog sektora. Kad su napadači umetnuli svoj zlonamjerni softver u rutinsko ažuriranje softvera Orion, svaka organizacija koja je instalirala to ažuriranje zapravo je pozvala upad na glavna vrata. Sigurnosni alati koji bi inače označili sumnjivu aktivnost nisu imali razloga za uzbunu jer je zlonamjerni kod stigao umotan u pouzdani, digitalno potpisani softverski paket.
Upravo to čini napade na lanac opskrbe toliko opasnima u usporedbi s konvencionalnim povredama. Upadna točka napadača ne uspostavlja se kroz pukotinu u vlastitoj obrani mete, već kroz pouzdanu treću stranu koju meta nema praktičnog razloga ne vjerovati.
Kako kompromitirani vladini sustavi ugrožavaju podatke građana
Instinktivna reakcija na povredu u Ministarstvu financija mogla bi biti tretirati je kao vladin problem, odvojen od svakodnevne osobne privatnosti. Takvo uokvirivanje podcjenjuje izloženost.
Savezne agencije posjeduju goleme količine podataka o građanima: porezne evidencije, financijska izvješća, podatke o zaposlenju, zahtjeve za naknade i još mnogo toga. Kad napadači steknu administratorski pristup okruženju e-pošte agencije poput Ministarstva financija, u poziciji su presretati internu komunikaciju o revizijama, istragama i političkim odlukama. Mogu identificirati koji dužnosnici nadziru koje programe, informacije koje se mogu iskoristiti za izradu vrlo uvjerljivih spear-phishing poruka usmjerenih na druge agencije ili čak privatne građane povezane s tekućim vladinim poslovima.
Osim ciljanih naknadnih napada, tu je i pitanje obavještajne vrijednosti. Znati tko radi u Ministarstvu financija, koje programe nadzire i tko s kim komunicira istinski je korisno stranoj obavještajnoj službi, a ta vrijednost ne zahtijeva da napadači ikad probiju ijednu šifriranu datoteku.
Što korisnici koji brinu o privatnosti mogu, a što ne mogu učiniti kako bi se zaštitili
Ovdje se izloženost vladinih podataka uslijed hakiranja SolarWindsa suočava s neugodnom stvarnošću za pojedinačne korisnike. Pojedinac zapravo ne može učiniti ništa da spriječi stranu obavještajnu službu da kompromitira unutarnju infrastrukturu e-pošte savezne agencije.
Korištenje VPN-a štiti vaš vlastiti promet. Jake lozinke i dvofaktorska autentifikacija štite vaše osobne račune. End-to-end šifrirano dopisivanje štiti vaše privatne razgovore. Niti jedna od ovih mjera ne utječe na to je li dobavljač softvera kojem savezna vlada vjeruje kompromitiran, ili je li vladina agencija koja čuva zapise o vama infiltrirana kroz kanal za ažuriranje tog dobavljača.
To nije argument za fatalizam. To je argument za jasnoću o tome što su različiti alati zapravo dizajnirani činiti. Alati za osobnu privatnost rješavaju osobne površine napada. Sistemske ranjivosti u vladinoj ili poslovnoj infrastrukturi zahtijevaju sistemske odgovore: rigorozne sigurnosne revizije dobavljača, mrežne arhitekture s nultim povjerenjem, obvezne rokove za otkrivanje povreda i zakonodavni nadzor sa stvarnim ovlastima.
Za pojedince, najkorisniji odgovor je ostati informiran o tome koje podatke vladine agencije posjeduju, obratiti pozornost na obavijesti o povredama kad stignu i biti posebno skeptičan prema neželjenim komunikacijama za koje se čini da dolaze iz vladinih izvora nakon bilo koje prijavljene povrede.
Što to znači za vas
Novootkriveni opseg povrede u Ministarstvu financija podsjetnik je da zaštita osobnih podataka postoji unutar šireg ekosustava koji pojedinci ne kontroliraju. Vaše vlastite sigurnosne prakse su važne. Ali također je važan sigurnosni položaj svake institucije koja čuva podatke o vama.
Hakerski napad SolarWinds nije bio jednokratna anomalija. Razotkrio je strukturnu slabost u tome kako se vjeruje lancima opskrbe softverom i kako se povrede otkrivaju. Razumijevanje tog konteksta ključno je za svakoga tko prati kako se prijetnje na državnoj razini pretvaraju u stvarne rizike po privatnost. Započnite izgradnjom solidnog razumijevanja kako napadi na lanac opskrbe funkcioniraju i zašto se od njih tako teško obraniti na pojedinačnoj razini. To predznanje izoštrit će vaše čitanje svake slične priče koja slijedi.
