Egy belső fenyegetés, csavarral

A legtöbb zsarolóvírusos hír adathalász e-mailekről, nyitott távoli asztali portokról vagy javítatlan szoftverekről szól. A Tesla elleni terv más volt. Az ügyről szóló beszámolók szerint egy Kriuchkov nevű férfi azzal kereste meg a Tesla nevadai Gigafactory egyik alkalmazottját: segítsen egyedi kártevőt telepíteni a vállalat belső hálózatára, a többit pedig társai intézik – érzékeny adatokat szivárogtatnak ki, majd váltságdíjat követelnek a nyilvánosságra hozatal fenyegetésével.

Ez egy tankönyvi példa a kettős zsarolásos zsarolóvírus-támadásra, amikor a támadók először ellopják az adatokat, mielőtt titkosítanák vagy kiszivárogtatással fenyegetőznének, így az áldozatoknak két okuk is van fizetni egy helyett. Ami ezt az esetet szokatlanná tette, az a végrehajtás módja volt. Rosszindulatú csatolmányon keresztül érkező kártevő helyett a támadók egy olyan embert próbáltak beszervezni, akinek már eleve jogosult hozzáférése volt a hálózathoz. A jelentések szerint az alkalmazottnak kezdetben 500 000 dollárt ajánlottak a részvételért, amit később 1 millió dollárra emeltek – ez az összeg jól mutatja, milyen nagy értéket tulajdonítottak a támadók a Tesla belső adatainak.

Miért jelentette az alkalmazott ahelyett, hogy elfogadta volna a pénzt

A terv azért omlott össze, mert a kiszemelt alkalmazott úgy döntött, hogy értesíti a Teslát és a hatóságokat, ahelyett hogy elfogadta volna a vesztegetést. Ez a döntés – nem pedig valamilyen tűzfal vagy vírusirtó termék – állította meg a támadást. Amint értesítették őket, az FBI is bekapcsolódott, és a tervet meghiúsították, mielőtt bármilyen kártevő érinthette volna a Tesla rendszereit.

Érdemes egy pillanatra elidőzni ennél. Egy vállalat összes technikai védelme – hálózati szegmentálás, végpont-észlelés, titkosított biztonsági mentések – arra szolgál, hogy megállítsa a már a határon belül lévő, vagy kívülről betörni próbáló támadókat. Ezen eszközök egyike sem sokat ér, ha egy érvényes hozzáféréssel rendelkező alkalmazott önként ajtót nyit. Az egyetlen valódi védelem ezzel a forgatókönyvvel szemben az a munkahelyi kultúra, ahol az alkalmazottak biztonságban érzik magukat, sőt ösztönözve vannak arra, hogy azonnal jelentsék a gyanús megkereséseket.

Ez arra is emlékeztet, hogy az ellátási láncok és a partneri ökoszisztémák messze a vállalat saját alkalmazottain túlra tágítják a támadási felületet. A Tata Electronics adatvédelmi incidense, amely Apple- és Tesla-aktákat tárt fel a dark weben, hasonló mintát mutat: az érzékeny vállalati adatokat nem kell közvetlenül a célpont cégtől ellopni ahhoz, hogy illetéktelen kezekbe kerüljenek. Egy gyengébb biztonsági védelemmel rendelkező beszállító, alvállalkozó vagy szolgáltató válhat a legkisebb ellenállás útjává azoknak a támadóknak, akik nem tudnak közvetlenül belső munkatársat beszervezni.

A belső fenyegetés tudatosításának üzleti indokai

A vállalatok hatalmas összegeket költenek a határvédelemre, miközben a belső fenyegetés kezelésére irányuló programok gyakran jóval kevesebb figyelmet kapnak. Pedig az olyan belső beszervezési kísérletek, mint a Tesla elleni, egyáltalán nem igényelnek technikai sebezhetőséget. Teljes mértékben az anyagi nyomás vagy kísértés alatt hozott emberi döntésekre építenek.

Néhány gyakorlat segít a szervezeteknek ellenállóbbá válni az ilyen típusú megkeresésekkel szemben:

  • Világos, jól kommunikált jelentési csatornák, hogy az alkalmazottak pontosan tudják, kihez forduljanak, ha valaki pénzt ajánl hozzáférésért, hitelesítő adatokért vagy a biztonsági ellenőrzések kijátszásában nyújtott segítségért.
  • Rendszeres képzés, amely kifejezetten a social engineeringre és a vesztegetési kísérletekre is kitér, nem csak az adathalász e-mailekre.
  • Olyan kultúra, ahol a gyanús megkeresés jelentését pozitív tettként kezelik, nem pedig valamilyen jogsértés beismeréseként, így az alkalmazottak nem félnek előlépni.
  • A legkisebb jogosultság elvének alkalmazása, amely korlátozza, hogy egyetlen feltört fiók – akár emberi, akár technikai – valójában mekkora kárt okozhat.

Egyik intézkedés sem költséges egy sikeres kettős zsarolásos támadás lehetséges költségeihez képest, amely magában foglalhatja a váltságdíj megfizetését, szabályozói bírságokat, jogi következményeket és maradandó hírnévkockázatot.

Mit jelent ez az Ön számára?

Akár egy kisvállalkozást vezet, akár egy nagyvállalat IT-részlegén dolgozik, a Tesla esete hasznos stressztesztként szolgál a saját biztonsági helyzetére nézve. Kérdezze meg, vajon az alkalmazottai tudnák-e, mit kell tenniük, ha valaki készpénzt ajánlana egy USB-meghajtó telepítéséért, egy jelszó megosztásáért, vagy azért, hogy szemet hunyjanak, amíg egy „külsős” egy korlátozott rendszerhez fér hozzá. Ha a válasz bizonytalan, akkor ezt a rést be kell tömni, mielőtt egy támadó megtalálná.

Ez azt is megerősíti, hogy az adatkiszivárgás kockázata miért nem korlátozódik a saját hálózatunkra. Ahogy a Tata Electronics incidense is mutatta, a nagyvállalatokhoz köthető érzékeny fájlok teljesen a közvetlen ellenőrzésükön kívül eső, harmadik féltől származó adatvédelmi incidensek révén is felszínre kerülhetnek. A beszállítói biztonsági gyakorlatok ellenőrzése már nem választható lehetőség az értékes szellemi tulajdont vagy ügyféladatokat kezelő szervezetek számára.

Gyakorlati teendők

  • Hozzon létre egy egyszerű, névtelen jelentési folyamatot a vesztegetési vagy belső beszervezési ajánlattal megkeresett alkalmazottak számára.
  • Képezze ki a munkatársakat, hogy felismerjék a social engineering taktikákat, amelyek embereket céloznak, nem csak rendszereket.
  • Alkalmazza a legkisebb jogosultság elvét, hogy egyetlen alkalmazott se tudjon egymaga kritikus infrastruktúrát kompromittálni.
  • Vizsgálja át a beszállítói és ellátási lánc biztonságát, mivel a harmadik felek akkor is kiszivárogtathatnak érzékeny adatokat, ha a saját védelmek kitartanak.

A Tesla esete jól végződött, mert egy alkalmazott a helyes döntést hozta meg. Egy olyan munkahely kialakítása, ahol ez a döntés könnyű, elvárt és jutalmazott, a legköltséghatékonyabb zsarolóvírus elleni védekezés egyike, amit bármely szervezet bevezethet.