Teslin insajder osujetio plan podmićivanja od milijun dolara za ransomware

Insajderska prijetnja s obratom

Većina naslova o ransomwareu uključuje phishing e-poštu, izložene portove za udaljenu radnu površinu ili nezakrpani softver. Zavjera protiv Tesle bila je drugačija. Prema izvještajima o slučaju, čovjek po imenu Kriuchkov obratio se zaposleniku Tesline Gigafactory u Nevadi s prijedlogom: pomoći mu da postavi prilagođeni zlonamjerni softver unutar interne mreže tvrtke, a njegovi suradnici bi odatle preuzeli stvar – izvukli osjetljive podatke i potom zatražili otkupninu pod prijetnjom javnog otkrivanja.

Ovo je školski primjer sheme dvostrukog iznuđivanja ransomwareom, one vrste u kojoj napadači najprije ukradu podatke prije nego ih šifriraju ili prijete njihovim objavljivanjem, čime žrtvama daju dva razloga za plaćanje umjesto jednog. Ono što je ovaj slučaj učinilo neobičnim bio je način dostave. Umjesto zlonamjernog softvera poslanog putem zlonamjernog privitka, napadači su pokušali regrutirati ljudsko biće koje je već imalo legitiman pristup mreži. Izvještaji pokazuju da je zaposleniku prvotno ponuđeno 500.000 dolara za sudjelovanje, a kasnije je iznos podignut na milijun dolara – što je dovoljno visoka brojka da signalizira koliku su vrijednost napadači pridavali Teslinim internim podacima.

Zašto je zaposlenik to prijavio umjesto da uzme novac

Shema je propala jer je ciljani zaposlenik odlučio obavijestiti Teslu i policiju umjesto da prihvati mito. Ta odluka, više od bilo kojeg vatrozida ili antivirusnog proizvoda, ono je što je ovaj napad zaustavilo na mjestu. Nakon dojave, uključio se FBI i zavjera je prekinuta prije nego što je ijedan zlonamjerni softver dotaknuo Tesline sustave.

Vrijedi se na trenutak zadržati na tome. Svaka tehnička obrana koju tvrtka izgradi – segmentacija mreže, detekcija krajnjih točaka, šifrirane sigurnosne kopije – postoji da zaustavi napadače koji su već unutar perimetra ili pokušavaju provaliti izvana. Nijedan od tih alata nije od velike koristi ako zaposlenik s valjanim vjerodajnicama dobrovoljno pristane otvoriti vrata. Jedina stvarna obrana od takvog scenarija je kultura radnog mjesta u kojoj se zaposlenici osjećaju sigurno, pa čak i potaknuto, da odmah prijave sumnjive kontakte.

Ovo je ujedno i podsjetnik da lanci opskrbe i partnerski ekosustavi proširuju napadnu površinu daleko izvan vlastitih zaposlenika tvrtke. Proboj u Tata Electronics koji je izložio Appleove i Tesline datoteke na dark webu pokazuje povezani obrazac: osjetljivi korporativni podaci ne moraju biti ukradeni izravno iz ciljane tvrtke da bi bili ugroženi. Dobavljač, izvođač ili partner sa slabijim sigurnosnim kontrolama može postati put manjeg otpora za napadače koji ne mogu izravno regrutirati insajdera.

Poslovni razlozi za svijest o insajderskim prijetnjama

Tvrtke troše goleme proračune na sigurnost perimetra, dok programi za insajderske prijetnje često dobivaju daleko manje pozornosti. No, pokušaji regrutiranja insajdera poput onoga protiv Tesle uopće ne zahtijevaju nikakav tehnički exploit. U potpunosti se oslanjaju na ljudsko donošenje odluka pod financijskim pritiskom ili iskušenjem.

Nekoliko praksi čini organizacije otpornijima na ovakve pristupe:

• Jasni, dobro promovirani kanali za prijavu tako da zaposlenici točno znaju kome se obratiti ako im netko ponudi novac za pristup, vjerodajnice ili pomoć pri zaobilaženju sigurnosnih kontrola.
• Redovita obuka koja posebno obrađuje pokušaje socijalnog inženjeringa i podmićivanja, ne samo phishing e-poštu.
• Kultura u kojoj se prijava sumnjivog kontakta tretira kao pozitivan čin, a ne priznanje krivnje, tako da se zaposlenici ne boje javiti.
• Politike najmanje privilegije koje ograničavaju koliko štete bilo koji kompromitirani račun, ljudski ili tehnički, zapravo može napraviti.

Nijedna od tih mjera nije skupa u usporedbi s potencijalnim troškom uspješnog napada dvostrukim iznuđivanjem, koji može uključivati plaćanje otkupnine, regulatorne kazne, pravnu izloženost i trajnu reputacijsku štetu.

Što to znači za vas

Bez obzira vodite li malu tvrtku ili radite u IT-ju za veliko poduzeće, Teslin slučaj koristan je test otpornosti za vaše vlastito sigurnosno stanje. Zapitajte se bi li vaši zaposlenici znali što učiniti ako im netko ponudi gotovinu da instaliraju USB stick, podijele lozinku ili zažmire dok „izvođač“ pristupa ograničenom sustavu. Ako odgovor nije jasan, to je praznina koju vrijedi zatvoriti prije nego što je napadač pronađe.

To također naglašava zašto rizik izlaganja podataka nije ograničen samo na vlastitu mrežu. Kao što je pokazao incident s Tata Electronicsom, osjetljive datoteke povezane s velikim tvrtkama mogu se pojaviti putem proboja kod trećih strana potpuno izvan njihove izravne kontrole. Provjera sigurnosnih praksi dobavljača više nije opcionalna za organizacije koje rukuju vrijednim intelektualnim vlasništvom ili podacima kupaca.

Provedbeni zaključci

• Uspostavite jednostavan, anoniman postupak prijave za zaposlenike kojima se upućuju ponude za podmićivanje ili regrutiranje insajdera.
• Osposobite osoblje da prepozna taktike socijalnog inženjeringa koje ciljaju ljude, a ne samo sustave.
• Primijenite pristup s najmanjim privilegijama tako da nijedan pojedinačni zaposlenik ne može samostalno ugroziti kritičnu infrastrukturu.
• Revidirajte sigurnost dobavljača i lanca opskrbe, budući da treće strane mogu procuriti osjetljive podatke čak i kad vaše vlastite obrane izdrže.

Teslin slučaj završio je dobro jer je jedan zaposlenik donio ispravnu odluku. Izgradnja radnog mjesta na kojem je ta odluka laka, očekivana i nagrađivana jedna je od najisplativijih obrana od ransomwarea koju svaka organizacija može uspostaviti.