Een openbaar dossier op het threat intelligence-platform Darkfield vermeldt RingCentral, Inc. als een geclaimd slachtoffer van de afpersingsgroep Shinyhunters, met de aantekening dat gegevens die aan het bedrijf zijn gekoppeld, zijn gelekt. RingCentral is een van de grootste aanbieders van cloudgebaseerde bedrijfscommunicatie in de Verenigde Staten en biedt telefoon-, berichten- en videodiensten aan organisaties in alle sectoren, waardoor elke geloofwaardige claim tegen het bedrijf nauwlettend in de gaten moet worden gehouden, zelfs voordat alle details zijn geverifieerd.
Wat Shinyhunters beweert te hebben gestolen van RingCentral
Volgens het Darkfield-dossier bevat de vermelding de oorspronkelijke lekpost, een screenshot en contextuele informatie die het incident koppelt aan andere slachtoffers die met dezelfde groep in verband worden gebracht. De vermelding categoriseert RingCentral onder de sector Technologie en markeert de zaak als 'gegevens gelekt', een term die dreigingsinformatietrackers gebruiken om aan te geven dat de groep materiaal heeft gepubliceerd of aangeboden in plaats van er alleen maar mee te dreigen. Zoals gebruikelijk bij dergelijke dossiers, geeft het openbare dossier geen gespecificeerde lijst van elk betrokken bestand of recordtype, en RingCentral heeft op het moment van schrijven nog geen gedetailleerde verklaring afgegeven specifiek over deze claim. Die kloof tussen een claim en een bevestigde, gespecificeerde inbreuk is normaal in de vroege stadia van dergelijke incidenten, en het is verstandig om de claim serieus te nemen terwijl we nog geen oordeel vellen over de volledige omvang ervan.
Wie getroffen is en welke gegevens op het spel staan
Bedrijfscommunicatieplatforms vormen het hart van de dagelijkse activiteiten van een organisatie, precies waarom ze aantrekkelijke doelwitten zijn. Een inbreuk die een bedrijf als RingCentral treft, zou theoretisch de soorten gegevens kunnen blootleggen die deze platforms verwerken: accountgegevens, oproeplogboeken, berichtinhoud, contactpersonenlijsten en administratieve configuratiegegevens die IT-teams gebruiken om de telefoon- en videosystemen van een organisatie te beheren. Omdat RingCentral voornamelijk door bedrijven wordt gebruikt in plaats van door individuele consumenten, zijn de meest direct getroffenen bij dit soort incidenten doorgaans werknemers van klantorganisaties, samen met de klanten en partners met wie die werknemers communiceren. Blootstelling van inloggegevens is vaak het direct gevaarlijkste gevolg, omdat hergebruikte wachtwoorden of uitgelekte inlogtokens aanvallers in staat stellen om nog lang na het oorspronkelijke lek toegang te krijgen tot andere gekoppelde systemen.
Het patroon van Shinyhunters: ransomware, afpersing en eerdere slachtoffers
Deze claim staat niet op zichzelf. Shinyhunters heeft een staat van dienst opgebouwd in het publiekelijk benoemen van slachtoffers in diverse sectoren en het onder druk zetten met gelekte gegevens als pressiemiddel, een patroon dat zichtbaar is in andere recente zaken die de groep heeft opgeëist. De vermeende inbreuk op Baker Distributing, een van de grootste distributeurs van HVAC- en foodserviceapparatuur in het land, zou naar verluidt ongeveer 260.000 records hebben blootgelegd. In een afzonderlijke en agressievere campagne ging de groep verder dan stille gegevensdiefstal en ontsierde de inlogportalen van scholen gekoppeld aan het Canvas-platform met losgeldboodschappen om de druk op slachtoffers te verhogen. Samen genomen suggereren deze gevallen dat de groep een voortdurende campagne voert tegen een reeks organisaties in plaats van één enkel, geïsoleerd doelwit, en de verschijning van RingCentral in het Darkfield-dossier past in dat bredere patroon.
Wat dit voor u betekent
Als uw organisatie RingCentral gebruikt, is de nuttigste reactie op dit moment geen paniek, maar voorbereiding. Een datalek bij RingCentral, bevestigd of beweerd, herinnert ons eraan dat accountbeveiligingsmaatregelen meer tellen dan de infrastructuur van een enkele leverancier. Beheerders moeten de inlogactiviteit controleren op ongebruikelijke zaken, bevestigen dat multi-factor authenticatie is ingeschakeld voor alle accounts en de inloggegevens van gebruikers met verhoogde beheerdersrechten wijzigen. Werknemers die hetzelfde wachtwoord hergebruiken voor RingCentral en andere diensten, moeten dit overal wijzigen, niet alleen op het getroffen platform.
Het is ook de moeite waard om duidelijk te zijn over wat een VPN hier wel en niet kan doen. Een VPN versleutelt uw verbinding en kan helpen om gegevens die onderweg zijn te beschermen of uw browsen te beschermen tegen afluisteren op netwerkniveau, maar het kan niets ongedaan maken aan schade die al binnen de systemen van een bedrijf is ontstaan voordat de gegevens u bereikten. Als inloggegevens, oproeplogboeken of berichtinhoud al zijn gelekt, zal een VPN die daarna op uw apparaat wordt uitgevoerd die informatie niet 'ontlekken' of verwijderen van waar deze is geplaatst. VPN's blijven nuttig als één laag van een breed beveiligingsbeleid, maar ze zijn geen vervanging voor sterke, unieke wachtwoorden, multi-factor authenticatie en snelle actie zodra een datalek bekend wordt.
Vooruitlopen op de volgende claim
De claim van het datalek bij RingCentral onderstreept een bredere waarheid: platforms voor bedrijfscommunicatie bevinden zich nu rechtstreeks in het vizier van afpersingsgroepen zoals Shinyhunters, naast distributeurs, scholen en andere organisaties die de groep eerder heeft getarget. Of RingCentral nu wel of niet de volledige omvang van dit incident bevestigt, gebruikers en IT-beheerders hebben het meeste baat bij nu handelen in plaats van te wachten op officiële bevestiging. Schakel multi-factor authenticatie in overal waar het nog niet actief is, controleer regelmatig de accounttoegang, vermijd wachtwoordhergebruik bij zakelijke tools en houd de officiële communicatie van RingCentral in de gaten voor updates. Het beschouwen van elke geloofwaardige datalekclaim als een aanleiding voor een snelle beveiligingscheck, in plaats van als een losstaand nieuwsbericht, is de betrouwbaarste manier om de schade te beperken wanneer een groep als Shinyhunters de volgende keer een nieuw slachtoffer noemt.
