TeamPCP起訴とオーストラリアでの逮捕：サプライチェーン恐喝

サプライチェーン攻撃によるデータ恐喝キャンペーンは、あなたのデバイスに触れることなくあなたの情報を危険にさらすことができる。ベンダーがすでに信頼しているツールを侵害するだけで十分なのだ。これがTeamPCP事件から見えてくる構図であり、米国当局は8月に起訴とオーストラリアでの逮捕を発表した。

入手可能な詳細は限られているため、本記事は報道された内容にとどめる。情報源であるVirtual Routesの報道によれば、FBIはこれらの事例の一部がランサムウェアによる暗号化を伴わないデータ窃取と恐喝を含むと明示しており、TeamPCPの項目を恐喝への別の経路として指摘している。

TeamPCPはいかにして信頼されたソフトウェアをデータ窃取の経路に変えたか

報道によれば、7月の勧告は信頼されたソフトウェアツールの侵害と機密情報の窃取について記述していた。このパターンは古典的なランサムウェアの話とは異なるため、理解する価値がある。ロックされた画面もなく、暗号化されたファイルもない。代わりに、攻撃者は組織がすでに依存しているソフトウェアを侵害し、そのアクセスを利用してデータを奪い、その後支払いを要求する。

8月、米国当局は起訴とオーストラリアでの逮捕を発表した。容疑によれば、侵害されたソフトウェアが下流の顧客からのデータ窃取を可能にし、その後身代金要求が続いた。平たく言えば、被害者はツールが侵害された企業だけでなく、そのツールを使用していた顧客でもあった。

これがこの種のサプライチェーン攻撃によるデータ恐喝キャンペーンを犯罪者にとって効率的なものにしている。一つの侵害ポイントが一度に多くの組織への扉を開き、それぞれが個別に圧力をかけられる可能性がある。

起訴とオーストラリアでの逮捕が変えるものと変えないもの

起訴と逮捕は意義のある一歩である。米国とオーストラリアの当局間の国境を越えた協力が成果を生み出せることを示しており、同様の計画を実行している他の者たちにシグナルを送るものである。

しかし、これらは現段階では容疑にすぎず、情報源記事のタイトルはより大きな問題を提示している。ランサムウェア犯罪者に責任を負わせる道のりは長い。法的手続きには時間がかかる一方、データ窃取は瞬時に起こる。情報が一度奪われれば、逮捕によってそれが回復できることや、コピーが出回っていないことを保証することはできない。

さらに広い視点もある。執行は損害を防止するのではなく、損害を追う傾向がある。読者は逮捕を抑止力にとっての良いニュースとして受け止めるべきであり、自身の保護を緩める理由とすべきではない。

なぜ下流の顧客がリスクを負うのか

下流の顧客は、こうしたインシデントにおいてしばしば最も見えにくい当事者である。彼らはベンダーがどのツールを使用しているか、それらのツールがどのようなアクセス権を持っているか、あるいは自分たちのデータのどれだけが第三者システムに置かれているかを知らないかもしれない。信頼されたツールが侵害されると、漏洩するデータにはベンダーやその顧客がそこに保存していたものが含まれ得る。

そこには通常の個人情報も含まれ得る。関連報道は、恐喝主導の侵害が個人にとってどのように展開するかを示している。80万件の患者ファイルを暴露したNovo NordiskとOnePointの侵害に関する報道は、医療データがいかに露出し得るかを示しており、最近のFBI捜査官に関する2〜3TBのデータという主張は、強固なセキュリティ評判を持つ組織でさえ恐喝者からの圧力に直面することを示している。

共通する糸は、データを盗まれた人々が、それを暴露したセキュリティ上の選択にほとんど発言権を持たなかったということである。

これがあなたにとって意味すること

あなたは自分のデータを保持するすべてのベンダーを監査することはできず、サプライヤーが侵害されるのを止めることもできない。コントロールできるのは、盗まれるものがどれだけあるか、そして盗まれたデータがどれだけの損害をもたらし得るかである。

共有するものが少なければ少ないほど、恐喝グループが利用できるものも少なくなる。そして恐喝は leverage に依存するため、盗まれたデータはしばしば複数の方法で金銭化される。恐喝グループからの漏洩疑惑の分析は、Chainalysisが暗号資産ウォレットを身代金支払いと結びつけるという記事で扱っており、これらの支払いフローがどのように機能するかについての見方を提供している。

露出を限定する実践的な方法

• ベンダーと共有する情報を減らす。 サービスが本当に必要とする情報のみを提供する。任意項目はスキップし、使用しなくなったアカウントは削除する。
• 多要素認証を有効にする。 侵害で認証情報が露出した場合、MFAはそれらの使用をはるかに困難にする。可能であればSMSよりもアプリベースまたはハードウェア方式を優先する。
• 固有のパスワードを使用する。 パスワードマネージャーを使えばこれが実用的になり、一つの漏洩が他のアカウントを解錠することはなくなる。
• 侵害通知を読む。 取引先企業でのインシデントに関するメールや手紙を無視しない。それらにはしばしば、クレジット監視サービスの提供など、手順や期限が含まれている。
• 恐喝メッセージを疑う。 あなたのデータを保持していると主張する人物から連絡があった場合、応答したり支払ったりする前に公式チャネルを通じて確認する。
• アカウントを監視する。 財務明細を注視し、機密性の高い識別情報が露出した場合はクレジットフリーズを検討する。

結論

TeamPCP事件は、サプライチェーン攻撃によるデータ恐喝キャンペーンが、人々が決して選ばなかったツールを通じて一般の顧客にまで到達し得ることを思い起こさせる。8月の起訴とオーストラリアでの逮捕は心強いものの、説明責任は害よりも遅く進む。渡す情報を限定し、MFAを有効にし、侵害通知に注意を払おう。盗まれたデータがどのように使用されるかについてさらに知りたい場合は、McKessonの侵害とベルリンのランサムウェア事件に関する週次まとめを参照されたい。