A CRPx0 néven ismert, kettős zsarolású zsarolóvírus-csoport közzétette a Hyundai törökországi műveleteit a dark webes adatszivárogtató oldalán, azt állítva, hogy körülbelül 1,5 GB érzékeny adatot szivárogtatott ki az autógyártó személyzeti értékelési és toborzási rendszereihez kapcsolódóan. Az állítás, ha bebizonyosodik, újabb autóipari gyártóval bővítené azon szervezetek egyre hosszabb listáját, amelyeket olyan zsarolóvírusos bandák céloztak meg, akik először adatokat lopnak, majd titkosítják a rendszereket, végül nyilvános közzététellel fenyegetőznek, ha nem fizetnek váltságdíjat.

Cikkünk írásakor a Hyundai nem adott ki nyilvános megerősítést vagy cáfolatot a feltételezett incidenssel kapcsolatban. A zsarolóvírus-csoportok dark webes szivárogtató oldalakon tett állításai valós időben nem ellenőrizhetők függetlenül, és a csoportok néha eltúlozzák a lopott adatok mennyiségét vagy érzékenységét, hogy nyomást gyakoroljanak az áldozatokra a tárgyalások érdekében. Ennek ellenére a feltételezhetően eltulajdonított adatok – toborzási és értékelési nyilvántartások – jellege olyan konkrét aggodalmakat vet fel, amelyek eltérnek a gyakoribb pénzügyi vagy ügyféladat-sértésektől.

Miért értékes célpont a toborzási adat?

Az értékelési és toborzási rendszerek általában más jellegű információkat tartalmaznak, mint a szokványos HR bérszámfejtési adatbázisok. Ezek a platformok gyakran tárolnak önéletrajzokat, elérhetőségi adatokat, pszichometriai tesztek eredményeit, interjúpontszámokat, háttérellenőrzési összefoglalókat, és esetenként viselkedési vagy személyiségprofilozási adatokat, amelyeket a felvételi folyamat során gyűjtenek. Azoknak az álláspályázóknak, akikből sosem lettek munkavállalók, ez lehet az egyetlen nyilvántartás, amit a cég róluk tárol, ami az érintettek számára különösen invazívnak érezheti a kiszivárgást, hiszen nekik nem volt folyamatos kapcsolatuk a szervezettel, hogy figyelhessék a kompromittálódás jeleit.

A zsarolóvírus-csoportok egyre inkább felismerik, hogy a HR- és toborzási rendszerek éppen azért vonzó célpontok, mert az emberek széles köréből – jelenlegi munkatársak, korábbi jelentkezők és munkaerő-közvetítők által biztosított külsős jelöltek – összesítik a személyes adatokat. Ez nem elszigetelt jelenség. Korábban más zsarolóvírus-műveletek is célba vettek toborzás-központú platformokat, ami aláhúzza, hogy a felvételi csatornákat egyre inkább puha, adatgazdag célpontoknak tekintik, nem pedig másodlagos rendszereknek.

Hogyan működik a kettős zsarolású zsarolóvírus?

A CRPx0 azt a forgatókönyvet követi, amely az elmúlt években a nagy zsarolóvírus-családok körében szabvánnyá vált. Ahelyett, hogy egyszerűen titkosítanák a fájlokat, és a visszafejtő kulcsért cserébe fizetést követelnének, a kettős zsarolású csoportok először csendben lemásolják az érzékeny adatokat az áldozat hálózatáról. Csak az adatszivárogtatás befejezése után vetik be a titkosítást, kizárva a szervezetet saját rendszereiből. Ez két külön nyomásgyakorló eszközt ad a támadók kezébe: a titkosított fájlok okozta működési fennakadást, valamint a lopott adatok nyilvánosságra hozatalának fenyegetését, ha az áldozat nem hajlandó fizetni, vagy tárgyalás nélkül próbál helyreállni a biztonsági mentésekből.

Ez a kettős nyomásgyakorlási modell azért bizonyult hatékonynak, mert kiküszöböli azt a biztonsági hálót, amelyet korábban a biztonsági mentések jelentettek. Még a szilárd katasztrófa-helyreállítási tervekkel rendelkező szervezetek is szembesülnek azzal a kockázattal, hogy érzékeny adataik nyilvánosan megjelennek. A CRPx0 kettős zsarolású támadásainak mélyebb technikai áttekintéséért, beleértve a csoport tipikus behatolási és adatszivárogtatási módszereit, olvasóink elolvashatják a csoport taktikájáról szóló korábbi tudósításunkat: hogyan működnek a CRPx0 kettős zsarolásos támadásai.

Mit jelent ez Önnek?

Ha Ön jelentkezett a Hyundai törökországi műveleteihez, vagy jelenlegi/volt munkavállaló, akinek az értékelési nyilvántartásai áthaladhattak az érintett rendszereken, érdemes konkrét lépéseket tennie már most, ahelyett, hogy a hivatalos megerősítésre várna.

Először is, kezeljen kétkedve minden olyan kéretlen kommunikációt, amely az Ön álláspályázatára vagy értékelési eredményeire hivatkozik, különösen, ha az üzenet személyes adatokat, fizetést vagy bejelentkezési adatokat kér. A támadók néha a kiszivárgott adatokat használják fel meggyőző adathalász kísérletek kidolgozásához, amelyek pont azokat az embereket célozzák, akiknek az adatait ellopták.

Másodszor, ha tudja, hogy pszichometriai teszt, viselkedési értékelés vagy háttérellenőrzés része volt a jelentkezési folyamatának, gondoljon arra, hogy ezek az adatok érzékenyebbek lehetnek egy átlagos önéletrajz kiszivárgásánál. Egy jelszóval ellentétben az ilyen profilozási adatokat nem lehet megváltoztatni vagy visszaállítani, ezért érdemes őket szorosan figyelemmel kísérni a visszaélés jelei után, mint például személyazonosság-lopási kísérletek vagy szokatlan fiókhozzáférések az Ön nevével és adataival.

Harmadszor, kísérje figyelemmel a Hyundai hivatalos közleményeit az incidenssel kapcsolatban. Azoknak a vállalatoknak, amelyek igazolt zsarolóvírus-követelésekkel szembesülnek, joghatóságtól függően gyakran kötelező értesíteniük az érintett személyeket. Ha nem kapott közvetlen kommunikációt, az nem feltétlenül jelenti azt, hogy az Ön adatai nem voltak érintettek – a hitelesítési és értesítési folyamatok időbe telhetnek.

A nagyobb kép a vállalatok számára

Ez az incidens, még ha nem is megerősített, aláhúz egy tágabb trendet: a zsarolóvírus-csoportok diverzifikálják tevékenységüket, és a pénzügyi és ügyféladatbázisokon túl kifejezetten a HR- és toborzási infrastruktúrát célozzák meg. Ezek a rendszerek gyakran kevesebb biztonsági figyelmet kapnak, mint az alapvető üzleti alkalmazások, annak ellenére, hogy ugyanolyan érzékeny, ha nem érzékenyebb adatokat tárolnak, tekintettel azok személyes és gyakran visszafordíthatatlan jellegére.

A toborzási adatokat kezelő szervezetek számára ez emlékeztető arra, hogy ugyanolyan hozzáférés-szabályozási, titkosítási és megfigyelési szigort kell alkalmazniuk a HR-platformokon is, mint az ügyfélkapcsolati rendszerekben. E rendszerek leválasztása a tágabb vállalati hálózatokról, valamint az elutasított pályázók adatainak megőrzési idejének korlátozása csökkentheti a károk mértékét egy esetleges jogsértés esetén.

Összefoglalás

Bár a Hyundai nem erősítette meg a CRPx0 állításait, az incidens hasznos figyelmeztetés mindenkinek, aki valaha nyújtott be álláspályázatot vagy vett részt munkahelyi felméréseken, hogy maradjon éber. Figyeljen a pályázati előzményeire hivatkozó adathalász kísérletekre, kerülje a további személyes adatok megosztását kéretlen megkeresésekre válaszul, és kövesse a hivatalos vállalati kommunikációt a frissítésekért. A szervezetek számára a tanulság egyértelmű: a toborzási és értékelési rendszerek ugyanolyan biztonsági befektetést érdemelnek, mint az érzékeny személyes adatok bármely más tárháza.