Et løsepengeangrep mot en amerikansk finansinstitusjon
Check Point Researchs trusselrapport for 6. juli åpner med en nøktern oppføring: River Bank & Trust, en amerikansk finansinstitusjon, ble rammet av et løsepengeangrep etter at en uautorisert aktør skaffet seg tilgang til nettverket til morselskapet deres. Ifølge rapporteringen knyttet til avsløringen, skjedde den innledende tilgangen rundt 16. juni, noe som ga angriperen uker på innsiden av nettverket før løsepengevaren ble utløst. Dette tidsrommet mellom det første inntrengningen og den endelige effekten er et gjentakende tema i moderne løsepengekampanjer, og det er akkurat den typen detalj som bør bekymre alle som bruker banktjenester, jobber med eller er avhengige av finansielle tjenesteleverandører.
Det som gjør denne hendelsen spesielt relevant utover banksektoren, er angrepsvektoren som angivelig ble brukt: en utdatert VPN-protokoll. Rapporteringen knyttet til Check Points bulletin peker på at løsepengevareknyttede aktører utnyttet gamle VPN-implementasjoner som organisasjoner har unnlatt å pensjonere eller oppdatere. Dette er ingen ny teknikk. Utdaterte VPN-protokoller har lenge vært et svakt inngangspunkt for angripere, men den fortsatte bruken av dem i høyverdi-miljøer som finanssektoren understreker hvor vanskelig det er for store organisasjoner å modernisere sikkerhetsinfrastrukturen i det tempoet truslene krever.
Hvorfor utdaterte VPN-protokoller stadig dukker opp i rapporter om sikkerhetsbrudd
VPN-er skal være en sikkerhetskontroll, ikke en belastning. Men eldre VPN-protokoller, hvorav noen stammer fra tiden før moderne krypteringsstandarder og autentiseringspraksiser, forblir ofte i produksjonsmiljøer lenge etter at de burde vært avviklet. Gamle systemer blir stående av grunner som ikke har noe med sikkerhet å gjøre: leverandørkontrakter, kompatibilitet med eldre maskinvare, eller rett og slett den operasjonelle risikoen ved å migrere et system som «fortsatt virker».
Problemet er at angripere aktivt skanner etter disse svake punktene. En utdatert VPN-protokoll kan tilby en relativt stillegående vei inn i et bedriftsnettverk, særlig når den mangler moderne beskyttelse som flerfaktorautentisering eller robust sesjonsovervåking. Når angriperen først er inne, slik det ser ut til å ha skjedd i River Bank & Trust-saken, kan vedkommende bruke uker på å bevege seg sideveis, eskalere privilegier og identifisere det mest skadelige stedet å utløse løsepengevaren før det noen gang utløses en alarm.
Hvorfor finansinstitusjoner forblir høyverdi-mål
Banker og finansielle holdingselskaper sitter på store mengder sensitiv data: kontonumre, transaksjonshistorikk, personopplysninger og ofte sammenkoblet tilgang til bredere bedriftsnettverk gjennom mor-datter-forhold. Denne sammenkoblingen er verdt å merke seg i denne saken, ettersom kompromitteringen angivelig oppsto gjennom morselskapets nettverk og ikke direkte mot River Bank & Trusts systemer. Løsepengeaktører forstår at finansinstitusjoner er under sterkt regulatorisk press og omdømmemessig press for å løse hendelser raskt, noe som kan gjøre dem mer tilbøyelige til å betale løsepenger eller inngå forlik raskt fremfor å risikere langvarig nedetid.
Dette mønsteret gjenspeiler også en bredere trend som dekkes i Check Points løpende trusselrapportering: trusselaktører foretrekker i økende grad å rette seg mot infrastruktur og tilgangspunkter som organisasjoner antar er «gode nok», i stedet for å jakte på null-dagerssårbarheter. Gamle VPN-protokoller, uoppdaterte fjernaksessverktøy og forsømte nettverkskanter er gjennomgående mer produktive angrepsflater enn prangende nye utnyttelser.
Hva dette betyr for deg
Hvis du er kunde i en bank eller finansinstitusjon, er denne hendelsen en påminnelse om at datasikkerheten din er sterkt avhengig av infrastrukturbeslutninger som tas bak kulissene – beslutninger du verken har innsyn i eller kontroll over. Det betyr ikke at du er hjelpeløs. Å overvåke kontoene dine for uvanlig aktivitet, bruke sterke og unike passord og aktivere flerfaktorautentisering der banken din tilbyr det, er fortsatt de beste individuelle forsvarsmekanismene dine.
Hvis du administrerer IT eller sikkerhet for en organisasjon, spesielt en som er knyttet til finansielle tjenester via leverandørforhold eller selskapsstruktur, er denne hendelsen et konkret argument for å revidere VPN-infrastrukturen din nå heller enn etter en hendelse. Risikoen er ikke hypotetisk, og tidslinjen i rapporteringen her – der innledende tilgang gikk forut for utløsningen av løsepengevaren med flere uker – viser hvor mye skade som kan hope seg opp i gapet mellom kompromittering og oppdagelse.
De bredere personvernimplikasjonene av slike hendelser henger også sammen med hvordan organisasjoner håndterer sensitive data mer generelt. Slik det er beskrevet i en nylig GAO-rapport om KI-relaterte personvernrisikoer, utvides systemene og verktøyene organisasjoner bruker for å behandle person- og finansdata på måter som ofte overgår sikkerhetskontrollene som skal beskytte dem. Gamle VPN-protokoller er bare én del av et mye større mønster der infrastruktur henger etter risikoen.
Konkrete læringspunkter
For enkeltpersoner: aktiver flerfaktorautentisering på alle finanskontoer, overvåk kontoutskrifter jevnlig, og betrakt uventede kontovarsler som et signal om å verifisere aktivitet direkte med institusjonen din i stedet for å klikke på innebygde lenker.
For organisasjoner: kartlegg og avvikle utdaterte VPN-protokoller, håndhev moderne autentiseringsstandarder på tvers av alle fjernaksesspunkter, og anta at enhver forbindelse mellom mor- og datterselskap bare er så sikker som det svakeste leddet. Løsepengeangrep som det som rammet River Bank & Trust viser at inngangspunktet sjelden er eksotisk. Det er som regel infrastrukturen alle glemte å oppdatere.
