Un attacco alla catena di fornitura con campagna di estorsione dei dati non ha bisogno di toccare il tuo dispositivo per mettere a rischio le tue informazioni. Deve solo compromettere uno strumento di cui il tuo fornitore si fida già. Questo è il quadro che emerge dal caso TeamPCP, in cui le autorità statunitensi hanno annunciato un'incriminazione e un arresto in Australia ad agosto.

I dettagli disponibili sono limitati, quindi questo post si attiene a quanto è stato riportato. La copertura della fonte, da Virtual Routes, descrive come l'FBI noti esplicitamente che alcuni di questi casi comportano furto di dati ed estorsione senza crittografia ransomware, e indica le voci su TeamPCP come un'altra via all'estorsione.

Come TeamPCP ha trasformato software fidato in una via per il furto di dati

Secondo quanto riportato, un avviso di luglio descriveva compromissioni di strumenti software fidati e il furto di informazioni sensibili. Lo schema vale la pena di essere compreso perché differisce dalla classica storia ransomware. Non c'è nessuna schermata bloccata e nessun file crittografato. Invece, gli attaccanti compromettono software su cui le organizzazioni già fanno affidamento, usano quell'accesso per prelevare dati, e poi chiedono un pagamento.

Ad agosto, le autorità statunitensi hanno annunciato un'incriminazione e un arresto in Australia. Le accuse descrivono software compromesso che consente il furto di dati dai clienti a valle, seguito da richieste di riscatto. In termini semplici, le vittime non erano solo l'azienda il cui strumento è stato compromesso, ma anche i clienti che lo utilizzavano.

Questo è ciò che rende questo tipo di attacco alla catena di fornitura con campagna di estorsione dei dati efficiente per i criminali. Un singolo punto di compromissione può aprire la porta a molte organizzazioni contemporaneamente, e ciascuna di esse può poi essere pressata separatamente.

Cosa cambiano e cosa non cambiano l'incriminazione e l'arresto in Australia

Un'incriminazione e un arresto sono passi significativi. Dimostrano che la cooperazione transfrontaliera tra le autorità statunitensi e australiane può produrre risultati, e inviano un segnale ad altri che gestiscono schemi simili.

Ma in questa fase sono accuse, e il titolo dell'articolo di origine inquadra il problema più ampio: la strada per ritenere responsabili i criminali ransomware è lunga. I casi legali richiedono tempo, mentre il furto di dati avviene rapidamente. Una volta che le informazioni sono state prelevate, un arresto non garantisce che possano essere recuperate o che copie non stiano circolando.

C'è anche un punto più ampio. L'applicazione della legge tende a seguire il danno piuttosto che prevenirlo. I lettori dovrebbero considerare gli arresti come una buona notizia per la deterrenza, non come un motivo per allentare le proprie protezioni.

Perché i clienti a valle sopportano il rischio

I clienti a valle sono spesso la parte meno visibile in questi incidenti. Potrebbero non sapere quali strumenti utilizzino i loro fornitori, quale accesso abbiano quegli strumenti, o quanti dei loro dati si trovino in sistemi di terze parti. Quando uno strumento fidato viene compromesso, i dati che trapelano possono includere tutto ciò che il fornitore o i suoi clienti vi avevano memorizzato.

Questo può includere normali informazioni personali. La copertura correlata mostra come le violazioni guidate dall'estorsione si ripercuotono sugli individui. I resoconti sulle violazioni di Novo Nordisk e OnePoint che espongono 800K file di pazienti illustrano quanto possano essere esposti i dati sanitari, e una recente rivendicazione di 2-3 TB di dati su agenti dell'FBI mostra che persino le organizzazioni con solide reputazioni in materia di sicurezza affrontano la pressione degli estorsori.

Il filo conduttore è che le persone i cui dati vengono rubati raramente hanno avuto voce in capitolo nelle scelte di sicurezza che li hanno esposti.

Cosa significa questo per te

Non puoi verificare ogni fornitore che detiene i tuoi dati, e non puoi impedire che un fornitore venga compromesso. Ciò che puoi controllare è quanto c'è da rubare e quanto danno possono fare i dati rubati.

Meno condividi, meno una squadra di estorsori può usare. E poiché l'estorsione si basa sulla leva, i dati rubati vengono spesso monetizzati in diversi modi. L'analisi di una presunta fuga di notizie da un gruppo di estorsione, trattata nel nostro articolo su Chainalysis che collega i portafogli crypto ai pagamenti di riscatto, offre una visione di come funzionano questi flussi di pagamento.

Modi pratici per limitare la tua esposizione

  • Condividi meno con i fornitori. Fornisci solo le informazioni di cui un servizio ha genuinamente bisogno. Salta i campi opzionali ed elimina gli account che non usi più.
  • Attiva l'autenticazione a più fattori. Se le credenziali vengono esposte in una violazione, l'MFA le rende molto più difficili da usare. Preferisci metodi basati su app o hardware rispetto agli SMS quando possibile.
  • Usa password uniche. Un gestore di password lo rende praticabile, così una fuga di notizie non sblocca altri account.
  • Leggi le notifiche di violazione. Non ignorare email o lettere riguardanti incidenti presso aziende con cui hai a che fare. Spesso includono passaggi e scadenze, come le offerte di monitoraggio del credito.
  • Sii scettico verso i messaggi di estorsione. Se qualcuno ti contatta sostenendo di detenere i tuoi dati, verifica attraverso canali ufficiali prima di rispondere o pagare.
  • Monitora i tuoi account. Tieni d'occhio gli estratti conto finanziari e considera un blocco del credito se sono stati esposti identificatori sensibili.

Il punto chiave

Il caso TeamPCP è un promemoria che un attacco alla catena di fornitura con campagna di estorsione dei dati può raggiungere clienti ordinari attraverso strumenti che non hanno mai scelto. L'incriminazione di agosto e l'arresto in Australia sono incoraggianti, eppure la responsabilità avanza più lentamente del danno. Limita ciò che consegni, abilita l'MFA e presta attenzione agli avvisi di violazione. Per saperne di più su come vengono usati i dati rubati, consulta il nostro riepilogo settimanale sulla violazione McKesson e il caso ransomware di Berlino.