Wesco megerősítette a felhőalapú CRM-hez köthető kiberbiztonsági incidenst

Az elektromos termékek forgalmazója, a Wesco megerősítette, hogy vizsgál egy kiberbiztonsági incidenst, miután egy adatzsaroló csoport azt állította, feltörte a vállalat rendszereit. Az SC Media beszámolója szerint a Wesco közölte, hogy az incidens a felhőalapú ügyfélkapcsolat-kezelő (CRM) környezetét érinti, és a vállalat együttműködik a szállítójával, hogy felmérje a történtek hatókörét.

A zsaroló csoportot más források ExfilSquad néven azonosították; ez a szereplő nyilvánosan azt állította, hogy a Wesco tulajdonában álló adatokat lopott el és szivárogtatott ki. Az ilyen helyzetekre jellemző módon a cég megerősítése csupán az incidens elismerésére és az érintett rendszerkategória (felhőalapú CRM) megnevezésére szorítkozik, miközben a zsaroló csoportnak a lopott adatok mennyiségére vagy érzékenységére vonatkozó állításait maga a Wesco nem hitelesítette.

Ez a minta – amikor egy hacker- vagy zsarolócsoport még azelőtt nyilvánosságra hozza a behatolást, hogy az érintett cég befejezné a vizsgálatot – egyre gyakoribbá válik. Ez kellemetlen helyzetbe hozza az ügyfeleket és az üzleti partnereket: az adataik potenciális kompromittálódásáról egy bűnszervezet állításaiból értesülnek, jóval azelőtt, hogy hivatalos tájékoztatást kapnának attól a vállalattól, amely ténylegesen tárolta azokat.

Miért fontosak a felhőalapú CRM-adatvédelmi incidensek?

A CRM-platformok pontosan azért vonzó célpontok, mert mit tárolnak: ügyfelek neveit, elérhetőségeit, üzleti kapcsolatokat, kommunikációs előzményeket, és néha számlázási vagy fiókadatokat. Egy olyan vállalat esetében, mint a Wesco, amely nagy forgalmazóként szolgál ki vállalkozásokat és intézményeket, egy CRM-incidens nem csupán fogyasztói jellegű személyes adatokat fedhet fel, hanem részleteket a vállalati ügyfelekről, beszállítói kapcsolatokról és belső értékesítési műveletekről is.

Amikor egy zsaroló csoport azt állítja, hogy titkosítás vagy zsarolóvírus bevetése előtt adatokat szivárogtatott ki, a cél általában nem a rendszerek zárolása. Sokkal inkább az, hogy nyomást gyakoroljanak az áldozat szervezetre, és a lopott információk kiszivárogtatásával vagy eladásával fenyegessenek. Függetlenül attól, hogy fizetnek-e váltságdíjat, a hálózatot már elhagyott lopott adatok a tárgyalások kimenetelétől függetlenül nyilvánosságra kerülhetnek, eladhatják vagy egyszerűen bedobhatják őket. Láttunk már ilyen dinamikát a nagyszabású adatdömpingeknél, amelyek a kezdeti behatolás után jóval később bukkannak fel bűnözői fórumokon vagy üzenetküldő platformokon, ahogy azt olyan esetek is dokumentálták, ahol 918 adatbázis szivárgott ki a Telegramon hosszú idővel az eredeti lopás után.

Ez a múlt hasznos emlékeztető arra, hogy egy vállalat vizsgálati ütemterve és egy bűnözői csoport közzétételi menetrendje nem mindig esik egybe. A zsaroló bejegyzésben ellopottként állított adatok hetekig vagy hónapokig is szunnyadhatnak, mielőtt egy sokkal károsabb, nyilvánosan kereshető formában újra felbukkannának.

Mit erősített meg a Wesco és mit nem

Jelenleg a megerősített tények köre szűk. A Wesco elismerte az incidenst, a felhőalapú CRM-környezetet azonosította az érintett rendszerként, és közölte, hogy a szállítójával együttműködve reagál az esetre. A vállalat – az elérhető beszámolók alapján – nem erősítette meg az érintett adatok konkrét típusát, az érintett személyek vagy szervezetek számát, illetve hogy a zsaroló csoportnak az incidens mértékére vonatkozó állításai pontosak-e.

Ez egy gyakori és ésszerű korai szakaszbeli hozzáállás egy olyan vállalat részéről, amely még mindig igazságügyi vizsgálatot folytat. Az idő előtti vagy pontatlan tájékoztatás zavart vagy jogi kitettséget okozhat, ezért a szervezetek általában kivárnak, amíg a külső szállítókkal vagy incidenskezelő cégekkel végzett vizsgálat elég előrehaladottá válik, mielőtt részletes nyilatkozatot adnának ki. Az olvasóknak a zsaroló csoportok nem hitelesített állításait megfelelő szkepticizmussal kell kezelniük, még akkor is, ha komolyan veszik a kompromittálódás alapvető lehetőségét.

Mit jelent ez Önnek

Ha Ön a Wesco ügyfele, szállítója vagy alkalmazottja, még nincs megerősített lista arról, milyen adatok kerülhettek nyilvánosságra, ezért a proaktív óvatosság a legésszerűbb válasz. Figyelje a Wesco közvetlen, hivatalos kommunikációját, ahelyett hogy kizárólag a zsaroló csoport vagy harmadik fél aggregátorok állításaira hagyatkozna. A zsaroló csoportoknak érdekük fűződik ahhoz, hogy eltúlozzák a lopott adatok hatókörét vagy érzékenységét, hogy növeljék a nyomást a célpontra, ezért kezelje a kezdeti állításokat bizonyos kétkedéssel, amíg a cég meg nem erősíti a konkrétumokat.

Tágabb értelemben ez az incidens emlékeztető arra, hogy a CRM-rendszerek – melyeket gyakran alacsonyabb prioritásúnak tekintenek a pénzügyi vagy egészségügyi nyilvántartó rendszereknél – elegendő személyes és üzleti adatot tárolnak ahhoz, hogy valóban értékesek legyenek a támadók számára. Ha üzleti kapcsolatban állt a Wesco-val, vagy bármilyen, felhőalapú CRM-eszközöket használó szállítóval megosztja az elérhetőségeit, érdemes időről időre áttekintenie, hol élnek az adatai, és hogyan védhetők.

Gyakorlati teendők

  • Kövesse nyomon a Wesco hivatalos frissítéseit, ahelyett hogy kizárólag a zsaroló csoport állításaira hagyatkozna.
  • Ha Ön a Wesco ügyfele vagy partnere, figyelje e-mailjeit és fiókjait az incidensre hivatkozó adathalász kísérletek miatt.
  • Fontolja meg a többfaktoros hitelesítés engedélyezését minden olyan fiókon, amely a Wesco-val való üzleti kapcsolathoz kötődik.
  • Legyen szkeptikus a nem hitelesített állításokkal szemben az adatok mennyiségét vagy érzékenységét illetően, amíg a vállalat hivatalos adatvédelmi incidensről szóló értesítésben meg nem erősíti a részleteket.

Ahogy a vizsgálat folytatódik, valószínűleg további részletek derülnek ki az incidens valódi hatóköréről. Addig az a legészszerűbb út, ha mind a vállalat óvatos nyilatkozatait, mind a zsaroló csoport állításait mértéktartó szkepticizmussal kezeljük.