A svájci vasútijármű-gyártó megtagadta a 12,3 millió dolláros váltságdíj kifizetését

A svájci vasúti járműgyártó Stadler Rail megerősítette, hogy visszautasította az Everest zsarolóbanda nagyjából 12,3 millió dolláros (mintegy 10 millió svájci frank) váltságdíj-követelését, miután egy olyan incidens történt, amely nem a Stadler belső hálózatából, hanem egy beszállító adatcsere-platformján keresztül indult. A vállalat közölte, hogy belső IT-rendszerei érintetlenek maradtak. A támadók ehelyett egy olyan külső felet használtak ki, amelyre a Stadler a beszállítókkal és partnerekkel folytatott műszaki adatcseréhez támaszkodik.

Az eset egyértelműen emlékeztet arra, hogy egy vállalat kiberbiztonsági védettsége csak annyira erős, mint az ellátási lánc leggyengébb láncszeme. A Stadler saját rendszerei kitartottak; a támadás a vállalat határain kívülről, egy általa nem teljes mértékben ellenőrzött platformon keresztül érkezett.

Hogyan jutottak be a támadók

Az incidens részletei szerint az Everest a közös beszállítói platformhoz tartozó, ellopott bejelentkezési adatok felhasználásával szerzett hozzáférést. A nyomozók a gyenge, harmadik fél általi biztonsági ellenőrzéseket jelölik meg kiváltó okként, nem pedig a Stadler belső védelmének hibáját. Ez a modern ellátásilánc-támadások gyakori mintázata: ahelyett, hogy közvetlenül egy jól védett célpontot törnének fel, a bűnözők a beszállítókat, alvállalkozókat és azokat a közös platformokat veszik célba, amelyek épp a fő vállalat biztonsági határán kívül helyezkednek el, mégis érzékeny adatokat tárolnak.

Miután bejutottak, a támadók a Stadler működéséhez kapcsolódó műszaki adatokat szivárogtattak ki. Figyelemre méltó, hogy ez nem hagyományos zsarolóvírus-támadás volt a fájlok titkosítása és a rendszerek lezárása értelmében. Az incidens utáni elemzés tiszta adatlopásos zsarolásként írja le: titkosítás nem történt, de az adatokat ellopták és nyomásgyakorlásra használták fel. A motiváció – mint a legtöbb Everest-művelet esetében – egyértelműen a váltságdíj-követelésen keresztüli pénzszerzés volt.

Amint arról korábban beszámoltunk, a Stadler nyilvánosan megerősítette az incidenst és a tárgyalás megtagadását, ezt az álláspontot akkor is fenntartva, amikor a követelés dollárban kifejezett összegét a későbbi tudósítások pontosították.

Miért válik az adatlopásos zsarolás alapértelmezett forgatókönyvvé

Érdemes odafigyelni arra az elmozdulásra, amely a fájlokat titkosító zsarolóvírusoktól a tiszta adatlopásos zsarolás felé tart. A titkosításalapú támadások során a támadóknak rosszindulatú szoftvert kell telepíteniük a hálózaton, ami növeli a lebukás esélyét, és esélyt ad a védőknek a rendszerek elkülönítésére és helyreállítására. Ezzel szemben az adatlopás csendben, jogszerűnek tűnő hozzáféréssel is végrehajtható, különösen akkor, ha a támadó érvényes, ellopott hitelesítő adatokat használ egy olyan platformon, amelyet nem ellenőriznek szigorúan.

Ez a megközelítés az áldozatok számára is megváltoztatja a számítást. Nincs kapkodás a titkosított fájlok visszaállításáért vagy az infrastruktúra újjáépítéséért. A nyomás ehelyett teljes egészében az ellopott adatok nyilvános közzétételének vagy értékesítésének fenyegetéséből ered. A Stadler döntése, hogy megtagadta a fizetést és büntetőfeljelentést tett a rendőrségen, egy szélesebb körű trendet tükröz a célba vett szervezetek körében: a váltságdíj kifizetése nem garantálja, hogy az ellopott adatokat nem szivárogtatják ki, a zsarolócsoportok anyagi jutalmazása pedig csak a jövőbeli támadásokat szítja.

A külső felek biztonsági rése

Úgy tűnik, a Stadler alapvető hálózatbiztonsága az elvártaknak megfelelően működött. A támadás azért következett be, mert egy beszállító műszaki adatcserére használt platformja gyengébb hozzáférés-ellenőrzéssel rendelkezett, amit a támadók ellopott hitelesítő adatokkal ki tudtak használni. Pontosan ez az a fajta rés, amelyet a hagyományos perimétervédelem nem tud megszüntetni, hiszen a sebezhető rendszer egy üzleti partneré, nem pedig magáé a vállalaté.

A gyártók, infrastruktúra-üzemeltetők és minden olyan szervezet számára, amely érzékeny műszaki adatokat oszt meg beszállítókkal, ez az incidens rávilágít egy állandó kihívásra: a harmadik felektől származó szerződéses és technikai biztosítékok gyakran elmaradnak attól a valóságtól, ahogyan ezeket a rendszereket ténylegesen biztosítják és felügyelik.

Mit jelent ez önnek

Ha Ön egy olyan vállalat alkalmazottja, partnere vagy ügyfele, mint a Stadler Rail, vagy bármely olyan szervezeté, amely közös beszállítói platformokra támaszkodik, ez az incidens emlékeztet arra, hogy adatai biztonsága olyan biztonsági döntésektől függ, amelyek jócskán a fő vállalat falain kívül születnek. Néhány gyakorlati szempont, amit érdemes szem előtt tartani:

  • A hitelesítő adatok újrafelhasználása és a gyenge jelszóhigiénia a külső platformokon továbbra is az egyik fő belépési pont a támadók számára, még akkor is, ha az elsődleges szervezet erős védelemmel rendelkezik.
  • A titkosítás nélküli adatlopásos zsarolást nehezebb lehet gyorsan észlelni, mivel nem zavarja meg a normál működést úgy, ahogy a hagyományos zsarolóvírusok teszik.
  • Azok a szervezetek, amelyek megtagadják a fizetést és jelentik az incidenseket a bűnüldöző hatóságoknak – ahogyan a Stadler is tette –, segítenek csökkenteni az ilyen támadásokat iparági szinten hajtó pénzügyi ösztönzőt.

Gyakorlati tanulságok

A saját kitettségüket értékelő vállalkozások számára ez az incidens néhány konkrét tanulságot kínál. Ellenőrizze a harmadik féltől származó, érzékeny adatok cseréjére használt platformok hozzáférés-ellenőrzését és hitelesítőadat-szabályait, ne csak a saját belső rendszereit. Vezessen be többtényezős hitelesítést mindenhol, ahol hitelesítő adatokat használnak, különösen a közös beszállítói platformokon. És kezelje az adatlopásos zsarolási követeléseket ugyanolyan komolysággal, mint a titkosításalapú zsarolóvírusokat, hiszen az ellopott adatok akkor is maradandó hírnévbeli és szabályozási károkat okozhatnak, ha egyetlen fájlt sem zároltak.

A Stadler Rail azon döntése, hogy nem fizeti ki a 12,3 millió dolláros váltságdíjat, egyértelmű jelzést küld arról, hogy a zsarolásnak való behódolás nem az alapértelmezett válasz, ám a mögöttes tanulság valójában az ellátási lánc elszámoltathatóságáról szól. Mivel a támadók egyre inkább a jól védett vállalatokhoz kapcsolódó gyengébb láncszemeket célozzák, a harmadik felek biztonsága nem lehet utólagos gondolat.