A svájci vonatgyártó Stadler Rail megerősítette, hogy visszautasította a 12,3 millió dolláros (10 000 000 ₣) váltságdíj kifizetését, amelyet az Everest zsarolóbanda követelt, miután a támadók egy beszállító fájlmegosztó platformján keresztül műszaki adatokat loptak el. A bejelentés egyidejűleg egy különálló, mégis kapcsolódó fejleménnyel került a hírekbe: az orosz államhoz köthető Laundry Bear csoport javítatlan Zimbra levelezőszervereket vett célba. A két történet együtt jól szemlélteti, hogy az orosz érdekeltségű fenyegető szereplők párhuzamos műveleteket folytatnak – egyik az ipari ellátási láncok, a másik a vállalati levelezési infrastruktúra ellen –, és hogy miért kell minden méretű szervezetnek mindkettőt komolyan vennie.

A Stadler Rail elutasítása mögötti zsarolóvírus-támadás

A Record beszámolója szerint az Everest zsarolóvírus-banda magára vállalta a Stadler Railhez tartozó műszaki adatok ellopását, ám ezt nem a vonatgyártó saját hálózatának közvetlen feltörésével, hanem az egyik beszállítója által üzemeltetett fájlmegosztó platform kompromittálásával érték el. Az Everest ezt követően nagyjából 12,3 millió dollárt követelt azért cserébe, hogy a lopott fájlokat ne szivárogtassák ki és ne adják el. A Stadler Rail visszautasította a fizetést.

Ez sokatmondó döntés. A váltságdíj megtagadását gyakran pusztán dacos lépésként állítják be, ám valós működési kockázatot hordoz: ha a banda végrehajtja a fenyegetését, a lopott műszaki adatok (mérnöki rajzok, szállítói részletek, belső dokumentáció) nyilvánosságra kerülhetnek, vagy eladhatják azokat versenytársaknak és más bűnözői csoportoknak. A Stadler Rail döntése, hogy nem fizet, egy szélesebb körű elmozdulást tükröz a nagy ipari vállalatok körében, amelyek közül sokan ma már úgy tekintenek a váltságdíjfizetésre, mint a bűnözői üzleti modellek jutalmazására, nem pedig az alapul szolgáló kitettség megszüntetésére.

Miért számít ugyanannyira egy beszállítói adatszivárgás, mint egy közvetlen támadás?

Ez az eset azért különösen tanulságos, mert a kompromittálódás kiindulópontja nem a Stadler Rail saját infrastruktúrája, hanem egy beszállító fájlmegosztó rendszere volt. Ez gyakori minta a modern zsarolóvírus-támadásokban: a bűnözői csoportok egyre inkább az ellátási lánc leggyengébb láncszemét keresik, ahelyett hogy egy jól védett elsődleges célt támadnának közvetlenül. Egyetlen laza hozzáférés-kezeléssel vagy javítatlan szoftverrel rendelkező beszállító is belépési ponttá válhat egy sokkal nagyobb adatlopási művelethez.

Ez a dinamika nem kizárólag a vasútiparra jellemző. Az ellátási láncot érintő kompromittálódások korábban már megbízható harmadik féltől származó szoftvereken keresztül is érzékeny kormányzati és vállalati adatokat tettek ki, amint azt a SolarWinds incidens utóhatásai mutatták, mely során az összes Treasury.gov e-mail hozzáférhetővé vált. A tanulság következetes: egy szervezet biztonsági helyzete csak olyan erős, mint azok a beszállítók és partnerek, akikkel adatokat oszt meg.

Az orosz kapcsolatokkal bíró Laundry Bear fokozza a nyomást a Zimbra szervereken

A Stadler Rail történetével párhuzamosan a jelentések szerint a Laundry Bear, egy orosz kapcsolatokkal rendelkező fenyegető csoport, javítatlan Zimbra levelezőszervereket vett célba. A javítatlan kollaborációs és webmail szoftverek régóta kedvelt belépési pontot jelentenek az állami szereplők számára, akik hitelesítő adatokat akarnak gyűjteni, vagy tartós hozzáférést kívánnak fenntartani egy szervezet kommunikációjához.

Ez a kampány illeszkedik abba a mintába, amelyre a biztonsági ügynökségek már többször figyelmeztettek. A GCHQ igazgatója nemrégiben az elmúlt idők egyik legközvetlenebb figyelmeztetését adta ki a kritikus infrastruktúrák és demokratikus intézmények elleni könyörtelen orosz kiberműveletekről. Ezzel párhuzamosan az amerikai hatóságok felszámoltak egy olyan, kompromittált routerekből álló hálózatot, amely Oroszország katonai hírszerzéséhez, a GRU-hoz kötődött. Akár egy vonatgyártó beszállítója a célpont, akár egy javítatlan levelezőszerver, a közös szál ugyanaz: az orosz érdekeltségű csoportok széles körben elérhető, gyakran figyelmen kívül hagyott infrastruktúrákat vizsgálnak hozzáférésért, nem csupán a címlapokra kerülő kormányzati hálózatokat.

Mit jelent ez Önnek?

A legtöbb olvasó nem üzemeltet Zimbra szervereket és nem gyárt vonatokat, ám a történet hátterében rejlő kockázatok széles körben érvényesek. Ha bármilyen olyan szolgáltatást használ – legyen az utazásfoglalási platform vagy hűségprogram –, amely megosztja az Ön adatait harmadik fél beszállítókkal, akkor ezek az adatok csak annyira biztonságosak, mint a beszállító saját védelme. Egy olyan beszállítónál bekövetkező adatszivárgás, amelyről Ön még soha nem is hallott, továbbra is felfedheti az Önhöz kötődő információkat, legyen szó vállalati fiókról, megosztott fájlról vagy az Ön nevében kezelt személyes adatokról.

A vállalkozások számára a tanulság ugyanilyen egyértelmű: a hibajavítás-kezelés és a beszállítói ellenőrzés nem opcionális tételek. A javítatlan szoftver – legyen az levelezőszerver vagy fájlmegosztó eszköz – továbbra is az egyik leggyakoribb módja annak, hogy a támadók megvessék a lábukat, és a váltságdíj megtagadása csak akkor működik hosszú távú elrettentésként, ha a támadók bejutását lehetővé tevő mögöttes sebezhetőségeket ténylegesen kijavítják.

Gyakorlati teendők

  • Ha beszállítókkal vagy partnerekkel dolgozik, kérdezzen rá, hogyan kezelik a hibajavítást és a hozzáférés-szabályozást a közös fájlrendszerek esetében, ne csak a saját hálózatát.
  • Bármilyen beszállítói adatszivárgásról szóló értesítést kezeljen komolyan, még akkor is, ha az Ön szervezetét közvetlenül nem törték fel; az adatok harmadik félen keresztül is napvilágra kerülhetnek.
  • Tartsa naprakészen a kollaborációs és levelezőszerver szoftvereket; a javítatlan rendszerek továbbra is a zsarolóvírus-támadások és az állami kötődésű behatolások elsődleges belépési pontjai közé tartoznak.
  • Ahol lehetséges, támogassa a váltságdíjak kifizetésének elutasítását, mivel a fizetés további támadásokat finanszírozhat anélkül, hogy garantálná az adatok nyilvánosságra kerülésének elkerülését.
  • Kövesse figyelemmel a kritikus infrastruktúrát és a vállalati szoftvereket érintő orosz kibertevékenységeket, mivel ezek a kampányok gyakran széles körben használt eszközöket vesznek célba, nem pedig elszigetelt áldozatokat.