Što se dogodilo u Jack Henry proboju
Jack Henry, tvrtka za financijske tehnologije čiji sustavi podržavaju banke i kreditne unije, nedavno je potvrdila ransomware incident koji nije započeo tehničkim iskorištavanjem, već telefonskim pozivom. Prema dostupnim izvješćima, napadači su koristili lažno predstavljanje glasom, poznato i kao vishing, kako bi manipulirali zaposlenikom da im odobri pristup koji je u konačnici omogućio izvlačenje ograničene količine podataka. Tvrtka je od tada pokrenula svoj proces odgovora na incident, iako su puni detalji o opsegu proboja i konkretnim podacima koji su uključeni i dalje ograničeni u javnim izvješćima.
Ono što ovaj incident čini značajnim nije sam ransomware teret. To je ulazna točka. Umjesto da iskorištavaju ranjivost softvera ili nasilno pokušavaju probiti prijavu, napadači su, prema izvješćima, otišli ravno na najslabiju kariku većine sigurnosnih arhitektura: osobu koja se javlja na telefon.
Kako je lažno predstavljanje glasom zaobišlo sigurnosne provjere zaposlenika
Lažno predstavljanje glasom funkcionira tako da se napadač pretvara da je pouzdani izvor, često IT help desk, dobavljač ili interno odjeljenje, te vrši pritisak na zaposlenika da poduzme radnju koju inače ne bi poduzeo. To može značiti resetiranje lozinke, odobravanje upita za prijavu ili dijeljenje jednokratnog koda. U slučaju Jack Henryja, prijavljeno korištenje lažnog predstavljanja glasom za ciljanje "povjerenja zaposlenika" sugerira da su se napadači oslanjali na uvjerljiv društveni inženjering, a ne na bilo kakvu manu u mrežnoj obrani tvrtke.
Ova taktika postaje sve češća jer zaobilazi tehničke kontrole na koje organizacije troše najviše novca. Vatrozid ne može zaustaviti telefonski poziv. Sustav za otkrivanje upada ne označava razgovor. Kada napadač zvuči vjerodostojno, hitno i upoznat s internim procesima, čak i obučeni zaposlenici mogu biti nagovoreni da zaobiđu korake koje bi inače slijedili.
Temeljna mehanika slična je drugim metodama društvenog inženjeringa koje su mučile telekomunikacijski i financijski sektor, poput SIM swappinga, gdje napadači uvjere mobilnog operatera da prebace žrtvin telefonski broj na uređaj koji kontroliraju. U oba slučaja, napadač ne razbija enkripciju niti iskorištava kod. Oni iskorištavaju ljudski proces donošenja odluka, koristeći samopouzdanje i društveni pritisak kako bi natjerali nekoga drugog da obavi posao umjesto njih.
Zašto MFA i VPN-ovi ne zaustavljaju društveni inženjering
Vrijedi biti izravan po ovom pitanju: višefaktorska autentifikacija i VPN-ovi su ključni sigurnosni alati, ali nikada nisu dizajnirani da zaustave odlučnog društvenog inženjera koji uvjeri nekoga da dobrovoljno odobri pristup. MFA provjerava da zahtjev dolazi s legitimnog uređaja ili vjerodajnice. Ne čini ništa da provjeri razumije li osoba koja odobrava push obavijest zapravo što odobrava, posebno ako joj je pozivatelj upravo rekao da je to rutinska IT provjera.
Slično tome, VPN šifrira promet i može ograničiti mrežni pristup ovlaštenim korisnicima, ali ne može razlikovati ovlaštenog zaposlenika od ovlaštenog zaposlenika koji je upravo manipuliran da preda svoje vjerodajnice. Jednom kada napadač ima valjani pristup, bilo putem ukradene lozinke, odobrenog MFA upita ili preusmjerenog telefonskog broja, VPN ga tretira kao legitimnog.
Ovo je ključna lekcija incidenta Jack Henryja: slojevite tehničke obrane su važne, ali ne mogu u potpunosti nadoknaditi prazninu u tome kako su zaposlenici obučeni da provjeravaju neočekivane zahtjeve, posebno one koji stižu telefonom i stvaraju osjećaj hitnosti.
Lekcije za potrošače i financijske institucije o obrani ljudskog sloja
Za financijske institucije i svaku organizaciju koja rukuje osjetljivim podacima, zaključak nije napustiti korištenje MFA-a ili VPN-a. To je tretirati ljudski sloj kao vlastitu sigurnosnu domenu koja zahtijeva stalnu pozornost. To uključuje obuku osoblja da samostalno provjerava pozivatelje putem zasebnog, poznatog kanala prije poduzimanja bilo kakve radnje koja uključuje vjerodajnice, promjene pristupa ili osjetljive podatke. To također znači izgradnju internih procesa koji se ne oslanjaju isključivo na procjenu zaposlenika u trenutku, poput zahtijevanja sekundarnog odobrenja za promjene računa visokog rizika.
Za potrošače, isti princip vrijedi u manjem opsegu. Budite skeptični prema neočekivanim pozivima za koje se tvrdi da dolaze od vaše banke, mobilnog operatera ili bilo kojeg pružatelja usluga, posebno ako traže da pročitate verifikacijski kod ili odobrite prijavu. Legitimne organizacije rijetko trebaju da to radite telefonom.
Što to znači za vas
Ako ste korisnik banke ili kreditne unije koja se oslanja na Jack Henryjevu tehnologiju, u trenutnim izvješćima nema naznaka da su kompromitirane pojedinačne vjerodajnice računa, ali je razuman trenutak da pregledate vlastitu sigurnost računa. Ako radite u organizaciji bilo koje veličine, ovaj incident je korisna studija slučaja zašto obuka o sigurnosnoj svijesti treba posebno adresirati društveni inženjering putem glasa, a ne samo phishing putem e-pošte.
Korisni zaključci
- Provjerite neočekivane telefonske zahtjeve putem zasebnog, poznatog kontakt kanala prije poduzimanja bilo kakve radnje.
- Nikada ne dijelite jednokratne lozinke niti odobravajte MFA upite za prijave koje niste sami pokrenuli.
- Zagovarajte organizacijske politike koje zahtijevaju sekundarnu verifikaciju za osjetljive promjene računa ili pristupa.
- Naučite o povezanim taktikama društvenog inženjeringa poput SIM swappinga kako biste razumjeli kako napadači zaobilaze autentifikaciju bez razbijanja enkripcije.
Ransomware napad na Jack Henry je podsjetnik da napad lažnim predstavljanjem glasom s ransomwareom ne treba pobijediti vaš sigurnosni softver. Treba samo uvjeriti jednu osobu da povjeruje pogrešnom glasu na drugoj strani linije.
