Kampanja iznude podacima putem napada na opskrbni lanac ne mora dotaknuti vaš uređaj da bi ugrozila vaše podatke. Dovoljno je da kompromitira alat kojemu vaš dobavljač već vjeruje. To je slika koja se nazire iz slučaja TeamPCP, u kojem su američke vlasti u kolovozu objavile optužnicu i uhićenje u Australiji.

Dostupni detalji su ograničeni, pa se ovaj članak drži onoga što je objavljeno. Izvorno izvješće, od Virtual Routesa, opisuje kako FBI izričito napominje da neki od tih slučajeva uključuju krađu podataka i iznudu bez ransomware enkripcije, te upućuje na unose o TeamPCP-u kao još jedan put do iznude.

Kako je TeamPCP pretvorio pouzdani softver u put za krađu podataka

Prema izvješću, srpanjska je preporuka opisala kompromitacije pouzdanih softverskih alata i krađu osjetljivih informacija. Taj obrazac vrijedi razumjeti jer se razlikuje od klasične priče o ransomwareu. Nema zaključanog zaslona ni šifriranih datoteka. Umjesto toga, napadači kompromitiraju softver na koji se organizacije već oslanjaju, koriste taj pristup za krađu podataka, a zatim zahtijevaju plaćanje.

U kolovozu su američke vlasti objavile optužnicu i uhićenje u Australiji. Navodi opisuju kompromitirani softver koji omogućuje krađu podataka od nizvodnih kupaca, nakon čega slijede zahtjevi za otkupninu. Jednostavno rečeno, žrtve nije bila samo tvrtka čiji je alat kompromitiran, nego i kupci koji su ga koristili.

To je ono što ovakvu kampanju iznude podacima putem napada na opskrbni lanac čini učinkovitom za kriminalce. Jedna točka kompromitacije može otvoriti vrata mnogim organizacijama odjednom, a svaka se od njih zatim može zasebno pritiskati.

Što optužnica i uhićenje u Australiji mijenjaju, a što ne

Optužnica i uhićenje značajni su koraci. Pokazuju da prekogranična suradnja američkih i australskih vlasti može dati rezultate i šalju signal drugima koji provode slične sheme.

No, u ovoj su fazi to još samo navodi, a naslov izvornog članka ocrtava širi problem: put do pozivanja kriminalaca koji se bave ransomwareom na odgovornost je dug. Pravni postupci traju, dok se krađa podataka događa brzo. Nakon što su informacije ukradene, uhićenje ne jamči da se mogu vratiti niti da kopije ne kruže.

Postoji i šira poanta. Provedba zakona obično slijedi štetu umjesto da je spriječi. Čitatelji bi uhićenja trebali promatrati kao dobru vijest za odvraćanje, a ne kao razlog da opuste vlastite zaštite.

Zašto nizvodni kupci nose rizik

Nizvodni su kupci često najmanje vidljiva strana u tim incidentima. Možda ne znaju koje alate njihovi dobavljači koriste, kakav pristup ti alati imaju ili koliko njihovih podataka leži u sustavima trećih strana. Kada se pouzdani alat kompromitira, podaci koji procure mogu uključivati sve što je dobavljač ili njegovi kupci tamo pohranili.

To može uključivati obične osobne podatke. Povezana izvješća pokazuju kako se proboji potaknuti iznudom odražavaju na pojedince. Izvješća o probojima Novo Nordisk i OnePoint koji su izložili 800 tisuća pacijentovih datoteka ilustriraju koliko izloženi zdravstveni podaci mogu biti, a nedavna tvrdnja o 2 do 3 TB podataka o FBI agentima pokazuje da se čak i organizacije s jakom sigurnosnom reputacijom suočavaju s pritiskom iznuđivača.

Zajednička nit je da ljudi čiji su podaci ukradeni rijetko imaju ikakav utjecaj na sigurnosne odluke koje su ih izložile.

Što to znači za vas

Ne možete revidirati svakog dobavljača koji drži vaše podatke i ne možete spriječiti kompromitaciju dobavljača. Ono što možete kontrolirati jest koliko se toga može ukrasti i koliku štetu ukradeni podaci mogu nanijeti.

Što manje dijelite, to iznudnička ekipa može manje iskoristiti. A budući da se iznuda oslanja na polugu, ukradeni se podaci često unovčuju na više načina. Analiza sumnjivog curenja iz iznudničke skupine, obrađena u našem članku o Chainalysisu koji povezuje kripto novčanike s plaćanjem otkupnine, daje uvid u to kako ti tokovi plaćanja funkcioniraju.

Praktični načini da ograničite svoju izloženost

  • Dijelite manje s dobavljačima. Pružite samo informacije koje usluga doista zahtijeva. Preskočite neobavezna polja i izbrišite račune koje više ne koristite.
  • Uključite višefaktorsku autentifikaciju. Ako su vjerodajnice izložene u proboju, MFA ih čini znatno težima za korištenje. Gdje je moguće, preferirajte aplikacijske ili hardverske metode umjesto SMS-a.
  • Koristite jedinstvene lozinke. Upravitelj lozinkama to čini praktičnim, pa jedno curenje ne otključava druge račune.
  • Čitajte obavijesti o probojima. Ne ignorirajte e-poruke ni pisma o incidentima u tvrtkama s kojima poslujete. Često sadrže korake i rokove, poput ponuda za praćenje kreditne aktivnosti.
  • Budite skeptični prema iznudničkim porukama. Ako vas netko kontaktira tvrdeći da drži vaše podatke, provjerite kroz službene kanale prije nego što odgovorite ili platite.
  • Pratite svoje račune. Pregledavajte financijske izvatke i razmislite o zamrzavanju kredita ako su osjetljivi identifikatori bili izloženi.

Zaključak

Slučaj TeamPCP podsjetnik je da kampanja iznude podacima putem napada na opskrbni lanac može dosegnuti obične kupce preko alata koje nikada nisu odabrali. Kolovoška optužnica i uhićenje u Australiji ohrabruju, no odgovornost se kreće sporije od štete. Ograničite što predajete, omogućite MFA i obraćajte pozornost na obavijesti o probojima. Za više o tome kako se ukradeni podaci koriste, pogledajte naš tjedni pregled o proboju McKesson i slučaju ransomwarea u Berlinu.