Egy ellátási lánc támadáson alapuló adatzsarolási kampánynak nem kell hozzáérnie az eszközéhez ahhoz, hogy veszélybe sodorja az adatait. Elég, ha olyan eszközt támad meg, amelyben a szállítója már megbízik. Ez az a kép, amely a TeamPCP-ügyből kibontakozik, ahol az amerikai hatóságok augusztusban vádiratot és ausztráliai letartóztatást jelentettek be.
A rendelkezésre álló részletek korlátozottak, ezért ez a bejegyzés ahhoz ragaszkodik, amit jelentettek. A Virtual Routes forrásbeszámolója leírja, hogyan jegyzi meg az FBI kifejezetten, hogy ezen esetek egy része zsarolóvírus-titkosítás nélküli adatlopást és zsarolást foglal magában, és rámutat a TeamPCP-bejegyzésekre mint a zsarolás egy másik útvonalára.
Hogyan változtatta a TeamPCP a megbízható szoftvert adatlopási útvonallá
A beszámoló szerint egy júliusi tanácsadó leírta a megbízható szoftvereszközök kompromittálását és az érzékeny információk ellopását. A minta megértésre érdemes, mert eltér a klasszikus zsarolóvírus-történettől. Nincs zárolt képernyő és nincsenek titkosított fájlok. Ehelyett a támadók olyan szoftvert kompromittálnak, amelyre a szervezetek már támaszkodnak, ezt a hozzáférést adatlopásra használják, majd fizetést követelnek.
Augusztusban az amerikai hatóságok vádiratot és ausztráliai letartóztatást jelentettek be. A vádak szerint a kompromittált szoftver lehetővé tette az adatlopást a downstream ügyfelektől, amit váltságdíjkövetelések követtek. Egyszerűen fogalmazva, az áldozatok nemcsak az a vállalat voltak, amelynek eszközét kompromittálták, hanem az ügyfelek is, akik használták azt.
Ez teszi az ilyen típusú ellátási lánc támadáson alapuló adatzsarolási kampányt hatékonnyá a bűnözők számára. Egy kompromittálási pont egyszerre sok szervezet előtt nyithat ajtót, és mindegyikük külön-külön nyomás alá helyezhető.
Mit változtat és mit nem a vádirat és az ausztráliai letartóztatás
A vádirat és a letartóztatás jelentős lépések. Azt mutatják, hogy az amerikai és ausztrál hatóságok közötti határokon átnyúló együttműködés eredményeket hozhat, és jelzést küldenek másoknak, akik hasonló terveket folytatnak.
De ezek ebben a szakaszban csak vádak, és a forráscikk címe a nagyobb problémát vázolja: a zsarolóvírus-bűnözők felelősségre vonásához vezető út hosszú. A jogi esetek időt vesznek igénybe, míg az adatlopás gyorsan megtörténik. Miután az információt elvitték, egy letartóztatás nem garantálja, hogy visszaszerezhető, vagy hogy másolatok nem keringenek.
Van egy szélesebb szempont is. A jogérvényesítés hajlamos a kárt követni a megelőzés helyett. Az olvasóknak a letartóztatásokat az elrettentés jó híreként kell kezelniük, nem pedig okként saját védelmük lazítására.
Miért a downstream ügyfelek viselik a kockázatot
A downstream ügyfelek gyakran a legkevésbé látható fél ezekben az incidensekben. Lehet, hogy nem tudják, milyen eszközöket használnak a szállítóik, milyen hozzáféréssel rendelkeznek ezek az eszközök, vagy mennyi adatuk található harmadik féltől származó rendszerekben. Amikor egy megbízható eszközt kompromittálnak, a kiszivárgó adatok tartalmazhatják mindazt, amit a szállító vagy annak ügyfelei ott tároltak.
Ez tartalmazhat hétköznapi személyes információkat. A kapcsolódó beszámolók megmutatják, hogyan zajlanak le a zsarolásvezérelt adatvédelmi incidensek az egyének számára. A Novo Nordisk és OnePoint incidensekről szóló jelentések, amelyek 800 ezer betegfájlt érintettek szemléltetik, mennyire kitettek lehetnek az egészségügyi adatok, és egy nemrégiben 2-3 TB FBI-ügynökökről szóló adatra vonatkozó állítás azt mutatja, hogy még a erős biztonsági hírnévvel rendelkező szervezetek is nyomás alatt állnak a zsarolóktól.
A közös szál az, hogy azok az emberek, akiknek az adatait ellopják, ritkán voltak befolyással azokra a biztonsági döntésekre, amelyek kiszolgáltatták azokat.
Mit jelent ez Önnek
Nem tud minden szállítót auditálni, aki az adatait tárolja, és nem tudja megakadályozni, hogy egy beszállítót kompromittáljanak. Amit irányíthat, az az, hogy mennyi van ott ellopni, és mekkora kárt okozhatnak a lopott adatok.
Minél kevesebbet oszt meg, annál kevesebbet tud felhasználni egy zsaroló banda. És mivel a zsarolás befolyásolásra támaszkodik, a lopott adatokat gyakran többféleképpen értékesítik. Egy zsarolócsoport feltételezett szivárgásának elemzése, amelyet a Chainalysis kriptotárcák és váltságdíjfizetések összekapcsolásáról szóló cikkünkben tárgyaltunk, betekintést nyújt abba, hogyan működnek ezek a fizetési folyamatok.
Gyakorlati módok a kitettség korlátozására
- Osszon meg kevesebbet a szállítókkal. Csak azt az információt adja meg, amelyre a szolgáltatásnak valóban szüksége van. Hagyja ki az opcionális mezőket, és törölje a már nem használt fiókokat.
- Kapcsolja be a többtényezős hitelesítést. Ha a hitelesítő adatok egy adatvédelmi incidensben kiszivárognak, az MFA sokkal nehezebbé teszi azok használatát. Lehetőség szerint részesítse előnyben az alkalmazásalapú vagy hardveres módszereket az SMS-sel szemben.
- Használjon egyedi jelszavakat. A jelszókezelő ezt praktikussá teszi, így egy szivárgás nem nyitja fel a többi fiókot.
- Olvassa el az adatvédelmi incidensről szóló értesítéseket. Ne hagyja figyelmen kívül azokat az e-maileket vagy leveleket, amelyek az Önnel kapcsolatban álló vállalatoknál történt incidensekről szólnak. Gyakran tartalmaznak lépéseket és határidőket, például hitelmonitoring-ajánlatokat.
- Legyen szkeptikus a zsaroló üzenetekkel szemben. Ha valaki felveszi Önnel a kapcsolatot, azt állítva, hogy birtokolja az adatait, a válaszadás vagy fizetés előtt hivatalos csatornákon keresztül ellenőrizze.
- Figyelje a fiókjait. Kísérje figyelemmel a pénzügyi kimutatásokat, és fontolja meg a hitelzárolást, ha érzékeny azonosítók szivárogtak ki.
A lényeg
A TeamPCP-ügy emlékeztető arra, hogy egy ellátási lánc támadáson alapuló adatzsarolási kampány elérheti a hétköznapi ügyfeleket olyan eszközökön keresztül, amelyeket soha nem választottak. Az augusztusi vádirat és az ausztráliai letartóztatás biztatónak tűnik, ám az elszámoltathatóság lassabban halad, mint a kár. Korlátozza, mit ad át, engedélyezze az MFA-t, és figyeljen az adatvédelmi incidensekről szóló értesítésekre. Ha többet szeretne megtudni arról, hogyan használják fel a lopott adatokat, olvassa el heti összefoglalónkat a McKesson-incidensről és a berlini zsarolóvírus-esetről.
