Een insiderdreiging met een twist

De meeste ransomware-koppen gaan over phishing-e-mails, blootgestelde remote desktop-poorten of ongepatchte software. Het complot tegen Tesla was anders. Volgens berichtgeving over de zaak benaderde een zekere Kriuchkov een medewerker van Tesla's Gigafactory Nevada met een voorstel: help bij het plaatsen van op maat gemaakte malware in het interne netwerk van het bedrijf, en zijn handlangers zouden het vanaf daar overnemen, gevoelige data exfiltreren en vervolgens losgeld eisen onder dreiging van openbaarmaking.

Dit is een schoolvoorbeeld van een double-extortion ransomware-aanval, waarbij aanvallers eerst gegevens stelen voordat ze deze versleutelen of dreigen te lekken, waardoor slachtoffers twee redenen hebben om te betalen in plaats van één. Wat deze zaak ongebruikelijk maakte, was de leveringsmethode. In plaats van malware via een kwaadaardige bijlage, probeerden de aanvallers een mens te rekruteren die al legitieme toegang tot het netwerk had. Rapporten geven aan dat de medewerker aanvankelijk $500.000 kreeg aangeboden voor deelname, een bedrag dat later werd verhoogd tot $1 miljoen, hoog genoeg om te laten zien hoeveel waarde de aanvallers aan Tesla's interne data hechtten.

Waarom de medewerker het rapporteerde in plaats van het geld aan te nemen

Het complot mislukte omdat de beoogde medewerker ervoor koos Tesla en de rechtshandhaving te waarschuwen in plaats van de steekpenning te accepteren. Die beslissing, meer dan welke firewall of antivirus dan ook, heeft deze aanval gestopt. Na de melding raakte de FBI erbij betrokken en werd het complot verstoord voordat enige malware Tesla's systemen bereikte.

Het is de moeite waard daar even bij stil te staan. Elke technische verdediging die een bedrijf opbouwt – netwerksegmentatie, endpointdetectie, versleutelde back-ups – is erop gericht aanvallers te stoppen die al binnen de perimeter zijn of van buitenaf proberen binnen te dringen. Geen van die middelen doet er veel toe als een medewerker met geldige inloggegevens vrijwillig de deur openzet. De enige echte verdediging tegen dat scenario is een werkcultuur waarin medewerkers zich veilig voelen, en zelfs gestimuleerd worden, om verdachte benaderingen onmiddellijk te melden.

Dit herinnert ons er ook aan dat toeleveringsketens en partnerecosystemen het aanvalsoppervlak flink vergroten, tot ver buiten de eigen werknemers van een bedrijf. Het Tata Electronics-datalek waarbij Apple- en Tesla-bestanden op het dark web verschenen laat een verwant patroon zien: gevoelige bedrijfsgegevens hoeven niet rechtstreeks van het doelbedrijf te worden gestolen om gecompromitteerd te raken. Een leverancier, aannemer of toeleverancier met zwakkere beveiliging kan de weg van de minste weerstand worden voor aanvallers die er niet in slagen een insider direct te rekruteren.

De businesscase voor bewustwording van insiderdreigingen

Bedrijven geven enorme budgetten uit aan perimeterbeveiliging, terwijl programma's tegen insiderdreigingen vaak veel minder aandacht krijgen. Toch vereisen insiderwervingspogingen zoals die tegen Tesla helemaal geen technische exploitatie. Ze vertrouwen volledig op menselijke besluitvorming onder financiële druk of verleiding.

Een paar gewoonten maken organisaties weerbaarder tegen dit soort benaderingen:

  • Duidelijke, breed gecommuniceerde meldkanalen, zodat medewerkers precies weten wie ze moeten contacteren als iemand hen geld biedt voor toegang, inloggegevens of hulp bij het omzeilen van beveiligingsmaatregelen.
  • Regelmatige training die specifiek ingaat op social engineering en omkopingspogingen, niet alleen op phishing-e-mails.
  • Een cultuur waarin het melden van een verdacht contact als een positieve daad wordt behandeld, niet als een bekentenis van wangedrag, zodat medewerkers niet bang zijn om naar voren te stappen.
  • Toegangsbeleid op basis van minimale rechten (least-privilege), dat beperkt hoeveel schade een enkel gecompromitteerd account, menselijk of technisch, werkelijk kan aanrichten.

Geen van deze maatregelen is kostbaar vergeleken met de mogelijke kosten van een geslaagde double-extortion-aanval, die kunnen bestaan uit losgeldbetalingen, boetes van toezichthouders, juridische aansprakelijkheid en blijvende reputatieschade.

Wat dit voor u betekent

Of u nu een klein bedrijf runt of in de IT werkt voor een grote onderneming, de Tesla-zaak is een nuttige stresstest voor uw eigen beveiligingshouding. Stel uzelf de vraag of uw medewerkers zouden weten wat ze moeten doen als iemand hen contant geld biedt om een USB-stick te plaatsen, een wachtwoord te delen, of de andere kant op te kijken terwijl een "aannemer" toegang krijgt tot een afgeschermd systeem. Als het antwoord onduidelijk is, is dat een gat dat gedicht moet worden voordat een aanvaller het vindt.

Het onderstreept ook waarom het risico op datalekken niet beperkt blijft tot uw eigen netwerk. Zoals het Tata Electronics-incident liet zien, kunnen gevoelige bestanden van grote bedrijven opduiken via datalekken bij derden, volledig buiten hun directe controle. Het screenen van de beveiligingspraktijken van leveranciers is niet langer optioneel voor organisaties die met waardevol intellectueel eigendom of klantgegevens omgaan.

Concrete actiepunten

  • Zet een eenvoudig, anoniem meldproces op voor medewerkers die benaderd worden met omkopings- of insiderwervingsvoorstellen.
  • Train personeel om social-engineeringtactieken te herkennen die zich op mensen richten, niet alleen op systemen.
  • Pas least-privilege-toegang toe, zodat geen enkele medewerker in zijn eentje kritieke infrastructuur kan compromitteren.
  • Controleer de beveiliging van leveranciers en de toeleveringsketen, omdat derden gevoelige data kunnen lekken, zelfs als uw eigen verdediging standhoudt.

De Tesla-zaak liep goed af omdat één medewerker de juiste keuze maakte. Het bouwen van een werkplek waar die beslissing makkelijk, verwacht en beloond wordt, is een van de meest kosteneffectieve ransomware-verdedigingen die een organisatie kan implementeren.