Een campagne voor gegevensafpersing via een aanval op de toeleveringsketen hoeft je apparaat niet eens aan te raken om je informatie in gevaar te brengen. Het hoeft alleen maar een tool te compromitteren die je leverancier al vertrouwt. Dat is het beeld dat naar voren komt uit de TeamPCP-zaak, waarbij Amerikaanse autoriteiten in augustus een aanklacht en een arrestatie in Australië aankondigden.

De beschikbare details zijn beperkt, dus deze post blijft bij wat er is gerapporteerd. De bronverslaggeving, van Virtual Routes, beschrijft hoe de FBI expliciet opmerkt dat sommige van deze zaken gegevensdiefstal en afpersing betreffen zonder ransomware-versleuteling, en wijst op de TeamPCP-vermeldingen als een andere route naar afpersing.

Hoe TeamPCP vertrouwde software omvormde tot een route voor gegevensdiefstal

Volgens de verslaggeving beschreef een advies uit juli compromitteringen van vertrouwde softwaretools en de diefstal van gevoelige informatie. Het patroon is het begrijpen waard, omdat het afwijkt van het klassieke ransomware-verhaal. Er is geen vergrendeld scherm en geen versleutelde bestanden. In plaats daarvan compromitteren aanvallers software waarop organisaties al vertrouwen, gebruiken die toegang om gegevens te stelen en eisen vervolgens betaling.

In augustus kondigden Amerikaanse autoriteiten een aanklacht en een arrestatie in Australië aan. De beschuldigingen beschrijven gecompromitteerde software die gegevensdiefstal bij downstream-klanten mogelijk maakte, gevolgd door losgeld-eisen. In gewone taal: de slachtoffers waren niet alleen het bedrijf wiens tool was gecompromitteerd, maar ook de klanten die het gebruikten.

Dat is wat dit soort campagne voor gegevensafpersing via de toeleveringsketen efficiënt maakt voor criminelen. Eén compromitteringspunt kan de deur openen naar veel organisaties tegelijk, en elk van hen kan vervolgens afzonderlijk onder druk worden gezet.

Wat de aanklacht en de Australische arrestatie wel en niet veranderen

Een aanklacht en een arrestatie zijn betekenisvolle stappen. Ze tonen aan dat grensoverschrijdende samenwerking tussen Amerikaanse en Australische autoriteiten resultaten kan opleveren, en ze sturen een signaal naar anderen die vergelijkbare praktijken uitvoeren.

Maar het zijn in dit stadium beschuldigingen, en de titel van het bronartikel vat het grotere probleem samen: de weg naar het ter verantwoording roepen van ransomware-criminelen is lang. Juridische zaken kosten tijd, terwijl gegevensdiefstal snel gebeurt. Zodra informatie is gestolen, garandeert een arrestatie niet dat deze kan worden teruggehaald of dat er geen kopieën circuleren.

Er is ook een breder punt. Handhaving volgt doorgaans de schade in plaats van deze te voorkomen. Lezers moeten arrestaties zien als goed nieuws voor afschrikking, niet als reden om hun eigen bescherming te laten verslappen.

Waarom downstream-klanten het risico dragen

Downstream-klanten zijn vaak de minst zichtbare partij in dit soort incidenten. Ze weten mogelijk niet welke tools hun leveranciers gebruiken, welke toegang die tools hebben, of hoeveel van hun gegevens zich in systemen van derden bevindt. Wanneer een vertrouwde tool wordt gecompromitteerd, kunnen de gegevens die lekken alles omvatten wat de leverancier of diens klanten daar hadden opgeslagen.

Dat kan gewone persoonlijke informatie omvatten. Gerelateerde verslaggeving toont hoe afpersingsgerelateerde datalekken uitpakken voor individuen. Rapporten over Novo Nordisk en OnePoint-datalekken waarbij 800K patiëntbestanden werden blootgesteld illustreren hoe kwetsbaar blootgestelde zorggegevens kunnen zijn, en een recente claim van 2 tot 3 TB aan gegevens over FBI-agenten toont aan dat zelfs organisaties met een sterke beveiligingsreputatie onder druk komen te staan van afpersers.

De gemeenschappelijke factor is dat de mensen wier gegevens worden gestolen zelden iets te zeggen hadden over de beveiligingskeuzes die hen hebben blootgesteld.

Wat dit voor jou betekent

Je kunt niet elke leverancier die jouw gegevens beheert controleren, en je kunt niet voorkomen dat een leverancier wordt gecompromitteerd. Wat je wel kunt beheersen, is hoeveel er te stelen valt en hoeveel schade gestolen gegevens kunnen aanrichten.

Hoe minder je deelt, hoe minder een afpersingsgroep kan gebruiken. En omdat afpersing afhankelijk is van hefboomwerking, worden gestolen gegevens vaak op meerdere manieren te gelde gemaakt. Een analyse van een vermoedelijk lek van een afpersingsgroep, behandeld in ons stuk over Chainalysis die crypto-wallets koppelt aan losgeldbetalingen, geeft inzicht in hoe die betalingsstromen werken.

Praktische manieren om je blootstelling te beperken

  • Deel minder met leveranciers. Verstrek alleen de informatie die een dienst echt nodig heeft. Sla optionele velden over en verwijder accounts die je niet meer gebruikt.
  • Schakel multi-factor-authenticatie in. Als inloggegevens bij een datalek worden blootgesteld, maakt MFA ze veel moeilijker te gebruiken. Geef waar mogelijk de voorkeur aan app-gebaseerde of hardwaremethoden boven sms.
  • Gebruik unieke wachtwoorden. Een wachtwoordmanager maakt dit praktisch, zodat één lek niet andere accounts ontgrendelt.
  • Lees datalek-meldingen. Negeer e-mails of brieven over incidenten bij bedrijven waar je zaken mee doet niet. Ze bevatten vaak stappen en deadlines, zoals aanbiedingen voor kredietmonitoring.
  • Wees sceptisch over afpersingsberichten. Als iemand contact met je opneemt en beweert je gegevens te hebben, verifieer dit dan via officiële kanalen voordat je reageert of betaalt.
  • Houd je accounts in de gaten. Let op financiële overzichten en overweeg een kredietblokkade als gevoelige identificatiegegevens zijn blootgesteld.

De conclusie

De TeamPCP-zaak is een herinnering dat een campagne voor gegevensafpersing via de toeleveringsketen gewone klanten kan bereiken via tools die ze nooit hebben gekozen. De aanklacht van augustus en de Australische arrestatie zijn bemoedigend, toch beweegt verantwoording zich langzamer dan de schade. Beperk wat je overdraagt, schakel MFA in en let op datalek-meldingen. Voor meer over hoe gestolen gegevens worden gebruikt, zie onze wekelijkse samenvatting over het McKesson-datalek en de Berlijnse ransomware-zaak.