TeamPCP-tiltale og pågripelse i Australia: Extortion i forsyningskjeden

En datautpressingskampanje via forsyningskjedeangrep trenger ikke å berøre enheten din for å sette informasjonen din i fare. Den trenger bare å kompromittere et verktøy som leverandøren din allerede stoler på. Det er bildet som tegnes av TeamPCP-saken, der amerikanske myndigheter kunngjorde en tiltale og en pågripelse i Australia i august.

Detaljene som er tilgjengelige er begrensede, så dette innlegget holder seg til det som er rapportert. Kildedekningen, fra Virtual Routes, beskriver hvordan FBI eksplisitt påpeker at noen av disse sakene involverer datatyveri og utpressing uten ransomware-kryptering, og den peker på TeamPCP-oppføringene som en annen vei til utpressing.

Hvordan TeamPCP gjorde klarert programvare om til en rute for datatyveri

Ifølge rapporteringen beskrev et råd fra juli kompromitteringer av klarerte programvareverktøy og tyveri av sensitiv informasjon. Mønsteret er verdt å forstå fordi det skiller seg fra den klassiske ransomware-fortellingen. Det er ingen låst skjerm og ingen krypterte filer. I stedet kompromitterer angripere programvare som organisasjoner allerede er avhengige av, bruker den tilgangen til å hente data, og krever deretter betaling.

I august kunngjorde amerikanske myndigheter en tiltale og en pågripelse i Australia. Påstandene beskriver kompromittert programvare som muliggjorde datatyveri fra nedstrømskunder, etterfulgt av løsepengekrav. I klare ord: ofrene var ikke bare selskapet hvis verktøy ble kompromittert, men kundene som brukte det.

Det er det som gjør denne typen datautpressingskampanje via forsyningskjeden effektiv for kriminelle. Ett kompromitteringspunkt kan åpne døren til mange organisasjoner samtidig, og hver av dem kan deretter presses separat.

Hva tiltalen og pågripelsen i Australia endrer og ikke endrer

En tiltale og en pågripelse er betydningsfulle skritt. De viser at grenseoverskridende samarbeid mellom amerikanske og australske myndigheter kan gi resultater, og de sender et signal til andre som driver lignende ordninger.

Men de er påstander på dette stadiet, og tittelen på kildeartikkelen rammer inn det større problemet: veien til å holde ransomware-kriminelle ansvarlige er lang. Rettslige saker tar tid, mens datatyveri skjer raskt. Når informasjon først er tatt, garanterer ikke en pågripelse at den kan gjenopprettes, eller at kopier ikke sirkulerer.

Det er også et bredere poeng. Håndhevelse har en tendens til å følge skaden i stedet for å forhindre den. Lesere bør behandle pågripelser som gode nyheter for avskrekking, ikke som en grunn til å slappe av med sine egne beskyttelser.

Hvorfor nedstrømskunder bærer risikoen

Nedstrømskunder er ofte den minst synlige parten i slike hendelser. De vet kanskje ikke hvilke verktøy leverandørene deres bruker, hvilken tilgang disse verktøyene har, eller hvor mye av dataene deres som ligger i tredjepartssystemer. Når et klarert verktøy kompromitteres, kan dataene som lekker, inkludere alt leverandøren eller kundene lagret der.

Det kan inkludere vanlig personopplysninger. Relatert dekning viser hvordan utpressingsdrevne brudd utspiller seg for enkeltpersoner. Rapporter om Novo Nordisk og OnePoint-brudd som eksponerer 800K pasientfiler illustrerer hvor eksponert helsedata kan være, og en nylig påstand om 2 til 3 TB data om FBI-agenter viser at selv organisasjoner med sterkt sikkerhetsomdømme møter press fra utpressere.

Den felles tråden er at personene hvis data blir stjålet, sjelden hadde noe de skulle ha sagt om sikkerhetsvalgene som eksponerte dem.

Hva dette betyr for deg

Du kan ikke revidere enhver leverandør som oppbevarer dataene dine, og du kan ikke hindre en leverandør i å bli kompromittert. Det du kan kontrollere, er hvor mye det er å stjele, og hvor mye skade stjålne data kan gjøre.

Jo mindre du deler, jo mindre kan en utpressingsgjeng bruke. Og fordi utpressing er avhengig av pressmiddel, blir stjålne data ofte tjent penger på på flere måter. Analyse av en mistenkt lekkasje fra en utpressingsgruppe, dekket i vår artikkel om Chainalysis som knytter kryptolommebøker til løsepengeinnbetalinger, gir innsikt i hvordan disse betalingsstrømmene fungerer.

Praktiske måter å begrense eksponeringen din på

Del mindre med leverandører. Oppgi bare informasjonen en tjeneste virkelig trenger. Hopp over valgfrie felt, og slett kontoer du ikke lenger bruker.
Slå på flerfaktorautentisering. Hvis påloggingsinformasjon eksponeres i et brudd, gjør MFA dem langt vanskeligere å bruke. Foretrekk app-baserte eller maskinvarebaserte metoder fremfor SMS der det er mulig.
Bruk unike passord. En passordbehandler gjør dette praktisk, slik at én lekkasje ikke låser opp andre kontoer.
Les varsler om brudd. Ikke ignorer e-poster eller brev om hendelser hos selskaper du forholder deg til. De inneholder ofte trinn og frister, som tilbud om kredittovervåking.
Vær skeptisk til utpressingsmeldinger. Hvis noen kontakter deg og hevder å ha dataene dine, verifiser gjennom offisielle kanaler før du svarer eller betaler.
Overvåk kontoene dine. Følg med på kontoutskrifter, og vurder en kredittsperre hvis sensitive identifikatorer ble eksponert.

Konklusjonen

TeamPCP-saken er en påminnelse om at en datautpressingskampanje via forsyningskjeden kan nå vanlige kunder gjennom verktøy de aldri valgte. Tiltalen i august og pågripelsen i Australia er oppmuntrende, men ansvarlighet beveger seg langsommere enn skaden. Begrens hva du overlater, aktiver MFA, og følg med på bruddvarsler. For mer om hvordan stjålne data blir brukt, se vår ukentlige oppsummering om McKesson-bruddet og Berlin-ransomwaresaken.

// FAQ

Hva er TeamPCP anklaget for å ha gjort?

Ifølge påstandene kompromitterte TeamPCP klarerte programvareverktøy for å stjele data fra nedstrømskunder og krevde deretter løsepenger. Amerikanske myndigheter kunngjorde en tiltale og en pågripelse i Australia i august i forbindelse med saken.

Hvordan skiller dette forsyningskjedeangrepet seg fra klassisk ransomware?

I motsetning til klassisk ransomware er det ingen låst skjerm eller krypterte filer. I stedet kompromitterer angripere programvare organisasjoner allerede er avhengige av, bruker den tilgangen til å stjele data, og krever deretter betaling.

Hvem er ofrene i denne typen angrep?

Ofrene inkluderer ikke bare selskapet hvis verktøy ble kompromittert, men også nedstrømskundene som brukte det verktøyet. Hver berørte organisasjon kan deretter presses separat for løsepenger.

Betyr pågripelsen at de stjålne dataene er gjenopprettet?

Nei, en pågripelse garanterer ikke at dataene kan gjenopprettes, eller at kopier ikke fortsatt sirkulerer. Når informasjon først er tatt, har datatyveriet allerede skjedd, og rettslige saker tar tid.

Bør organisasjoner slappe av med beskyttelsen sin på grunn av disse pågripelsene?

Nei, lesere bør behandle pågripelser som gode nyheter for avskrekking, ikke som en grunn til å slappe av med sine egne beskyttelser. Håndhevelse har en tendens til å følge skaden i stedet for å forhindre den.