Egy beszállítói adatszivárgás, ami egyre rosszabb lett
Amikor nyilvánosságra került, hogy a Klue piaci információs platform adatszivárgást szenvedett, a történet elsőre ismerősnek tűnt: kompromittált hitelesítő adat, illetéktelen bejelentkezés, és sorban álló partnerek, akik a kitettségüket próbálták felmérni. A támadók – akiket az Icarus néven fellépő csoporthoz kötnek – június 11. és 12. között fértek hozzá a Klue környezetéhez, egy olyan régi hitelesítő adatot használva, amely egy integrációs szolgáltatási fiókhoz tartozott, és amelyet egy korlátozott pilot program lezárása után láthatóan soha nem vontak vissza. Többfaktoros hitelesítés nem állta útjukat.
Ez önmagában is egy meglehetősen szokványos ellátásilánc-biztonsági történetet adott volna. A Klue-ügy azonban szokatlan fordulatot vett. Egy második csoport állítólag megszerezte a lopott adatokat, és önállóan kezdte zsarolni ugyanazokat az érintett szervezeteket, kifejezetten arra utasítva az áldozatokat, hogy ne bízzanak az Icarusban. Más szóval, a hackereket magukat is meghackelték, és a lopott ügyféladatok a bűnözői alvilágon belül egymás közti harc tárgyává váltak, nem csupán alku tárgyát képezték a támadó és az áldozat között.
Miért változtatja meg ez a zsarolóvírus-kalkulációt
Az évek során a zsarolóvírusos vagy zsarolásos követeléssel szembesülő szervezetek egy ismerős kompromisszumhalmazt mérlegeltek: fizess, és reménykedj, hogy a támadó törli az adatokat, vagy utasítsd el, és kockáztasd a nyilvános kitettséget. A Klue-incidens ezt a logikát jelentősen bonyolultabbá teszi. Ha a lopott adatokat tovább lehet adni, újra ellopni, vagy egy rivális bűnözői csoport újrahasznosíthatja azután, hogy az áldozat már fizetett vagy tárgyalt, akkor az a feltételezés, hogy egyetlen kifizetés megoldja a fenyegetést, már nem állja meg a helyét.
Ez különösen az adatvédelem szempontjából fontos, mert azok az emberek, akiknek az adatai ezekben a rendszerekben vannak – ügyfelek, potenciális vevők és az értékesítési vagy információs adatokban szereplő alkalmazottak –, egyáltalán nem látják át, hogy hány fél birtokolja már az adataik másolatát. Az az adatszivárgási értesítés, amely egyetlen támadói csoportot ír le, alábecsüli a valós kitettséget, ha egy másik, független csoport önállóan pénzzé teszi ugyanazt az adatkészletet. A hétköznapi felhasználók számára ez megerősíti azt a tanulságot, amely a biztonságos üzenetküldő és kommunikációs eszközökre is érvényes: a támadók egyre gyakrabban a bizalmi lánc leggyengébb láncszemét támadják, nem pedig magát a technológiát. Ugyanez a minta figyelhető meg a miért a Signal-felhasználókat hackelik, nem az alkalmazást kapcsolatos beszámolókban is, ahol az alapul szolgáló platform hibátlan, de emberi és eljárási hiányosságok teremtik meg a rést.
A valódi hibapont: a beszállítói higiénia, nem a kifinomultság
Ami a Klue-incidensből kiemelkedik, az az, hogy mennyire hétköznapi volt a kezdeti behatolás. Sem nulladik napi exploit, sem újszerű kártevő, sem nemzetállami eszköztár nem volt. A beszámolók szerint a támadók egy régi hitelesítő adatot használtak, amely egy olyan integrációs fiókhoz tartozott, melyet a Klue láthatóan elmulasztott inaktiválni egy pilot program befejezése után, és ezt a fiókot nem védte többfaktoros hitelesítés. Ez a kombináció – egy árva hitelesítő adat és a többfaktoros hitelesítés hiánya – a vállalati biztonság egyik leggyakoribb és legkönnyebben megelőzhető hibamódja.
Ez azért fontos az adatvédelmi diskurzus számára, mert megmutatja, hogy a személyes és üzleti adatokat fenyegető kockázat gyakran nem a támadók kifinomultságából fakad, hanem olyan rutinszerű adminisztratív mulasztásokból külső beszállítóknál, amelyeket az ügyfelek alig tudnak közvetlenül ellenőrizni. A Klue platformját használó szervezetek – beleértve a Salesforce-integrációját is – nem a saját tetteik miatt találták magukat kitett helyzetben, hanem azért, mert a beszállító hogyan kezelte a hozzáférési adatokat a háttérben.
Mit jelent ez Önnek
Ha az Ön szervezete olyan külső beszállítókat használ, amelyek alapvető üzleti rendszerekkel – például Salesforce-szal, HR-platformokkal vagy ügyféladatbázisokkal – integrálódnak, a Klue-adatszivárgás emlékeztető arra, hogy az adatai biztonsága olyan biztonsági gyakorlatoktól függ, amelyeket nem tud teljesen átlátni vagy irányítani. Kérdezzen rá közvetlenül a beszállítóknál, hogy auditálják-e és inaktiválják-e a régi vagy pilot programokhoz tartozó hitelesítő adatokat, és hogy a többfaktoros hitelesítés minden integrációs ponton érvényesítve van-e, ne csak az elsődleges felhasználói bejelentkezéseknél.
Azon magánszemélyek számára, akiknek adatai ügyfélként, leadként vagy kapcsolattartóként beszállítói rendszerekben lehetnek, érdemes észben tartani, hogy egy adatszivárgási értesítő csak az első ismert szereplőt írhatja le, aki hozzáfért az adataikhoz. Ahogy a Klue-eset is mutatja, a lopott rekordok tovább terjedhetnek a bűnözői hálózatokon belül, néha olyan másodlagos zsarolási kísérletekhez vezetve, amelyeknek semmi közük az eredeti adatszivárgási bejelentéshez.
Tanulságok a harmadik felek kockázatának csökkentésére
A Klue-adatszivárgás aláhúzza, hogy a harmadik felek jelentette kiberkockázat nem egy hipotetikus sor egy megfelelőségi jelentésben. Ez egy aktív, változó fenyegetés, ahol a lopott adatokat el lehet adni, újra el lehet lopni, vagy önállóan pénzzé lehet tenni jóval a kezdeti incidens után. A vállalkozásoknak a beszállítói hitelesítési higiéniát – beleértve a nem használt integrációs fiókok azonnali inaktiválását és az egyetemes többfaktoros hitelesítés kikényszerítését – alapkövetelményként kell kezelniük, nem pusztán legjobb gyakorlatként. A magánszemélyek maradjanak éberek a váratlan zsarolási vagy adathalász kísérletekkel szemben, amelyek személyes adatokra hivatkoznak, még akkor is, ha olyan felektől érkeznek, akik nem kapcsolódnak egy eredeti adatszivárgási értesítéshez, mivel ezek az adatok most már jóval az első kompromittálódási ponton túl is keringhetnek.
