Naruszenie danych Everest Brenner w tunelu Brenner przypomina, że atakujący nie muszą dotknąć ani jednej maszyny na placu budowy, aby wyrządzić poważne szkody. Według raportu firma budowlana stojąca za alpejskim megaprojektem potwierdziła próbę wymuszenia po kradzieży 812 GB danych. Konsorcjum odmówiło zapłaty i twierdzi, że incydent nie wpłynął na budowę ani systemy sterowania.

Ta kombinacja — skradzione dane plus odmowa zapłaty — to obecnie dobrze znany schemat. Oto co wiemy, czego zapewnienia dotyczą, a czego nie obejmują, oraz co czytelnicy mogą z tym zrobić.

Co Everest zabrał konsorcjum tunelu Brenner

Potwierdzone fakty są ograniczone. Firma budowlana przyznała, że grupa Everest zażądała okupu po kradzieży 812 GB danych. Firma odmówiła zapłaty. Oświadczyła również, że systemy budowy i sterowania nie zostały dotknięte.

Artykuł źródłowy nie opisuje, co znajduje się w 812 GB, w jaki sposób atakujący weszli do systemu ani jakiej kwoty okupu zażądano. Nie będziemy zgadywać w tych kwestiach. Na razie liczy się model działania: atakujący zabrali dane, a następnie wykorzystali groźbę publikacji jako narzędzie nacisku. Często nazywa się to wymuszeniem opartym na kradzieży danych i nie wymaga ono szyfrowania systemów ani wstrzymywania operacji.

Everest pojawiał się już w naszych publikacjach. Był powiązany z żądaniem 12,3 mln dolarów wobec Stadler Rail, które również zakończyło się publiczną odmową zapłaty, oraz z umieszczeniem Capgemini Engineering na jego stronie wycieków, które w tamtym czasie pozostało niezweryfikowane.

Co oznacza „brak wpływu na systemy sterowania", a czego nie oznacza

Oświadczenie, że systemy budowy i sterowania nie zostały dotknięte, jest istotne i warte potraktowania poważnie. Sugeruje ono, że technologia operacyjna — systemy obsługujące maszyny i procesy na placu budowy — nie została zakłócona. Dla projektu tej skali to wynik, którego wszyscy pragną.

Odpowiada ono jednak na wąskie pytanie. Nic nie mówi o poufności informacji, którymi dysponowała firma. Ciągłość operacyjna i bezpieczeństwo danych to odrębne kwestie. Firma może normalnie pracować, podczas gdy duże archiwum jej dokumentów znajduje się w rękach grupy wymuszającej okup.

Nie mówi nam również, jak daleko atakujący dotarli w sieci. Kradzież 812 GB oznacza, że ktoś miał dostęp do znacznej ilości danych, a śledztwa zazwyczaj koncentrują się na tym, jak uzyskano ten dostęp i czy został on w pełni zamknięty. Dopóki firma nie udostępni więcej informacji, czytelnicy powinni traktować zapewnienie jako prawdziwe, ale niepełne.

Co ujawnione dane mogą wyeksponować i wobec kogo

Artykuł nie precyzuje zawartości, więc ta sekcja opisuje ogólne ryzyko, a nie potwierdzone ujawnienie. Duże konsorcja budowlane zazwyczaj przechowują informacje o wielu stronach: pracownikach, podwykonawcach, dostawcach i firmach partnerskich. Jeśli skradzione archiwum zawiera tego rodzaju materiały, osoby, których to dotyczy, mogą obejmować:

  • Pracowników: dane osobowe, umowy lub komunikację wewnętrzną.
  • Partnerów i wykonawców: warunki handlowe, dokumenty projektowe lub korespondencję.
  • Samo konsorcjum: wewnętrzne materiały planistyczne, które mogłyby skompromitować firmę lub być przydatne dla konkurentów.

Nawet gdy dane nie są oczywiście wrażliwe, mogą być użyteczne dla przestępców. Imiona i nazwiska, adresy e-mail i szczegóły projektów sprawiają, że wiadomości phishingowe są bardziej przekonujące. Każdy, kto współpracował z dużą organizacją, która doświadczyła wycieku, może później otrzymywać wiadomości, które wydają się odnosić do rzeczywistych projektów lub współpracowników.

Odmowa zapłaty to obronny wybór, ponieważ zapłata nie gwarantuje usunięcia danych i finansuje kolejne ataki. Kompromisem jest to, że skradzione pliki mogą zostać opublikowane. Grupy wymuszające okup próbowały też wywierać presję w inny sposób, jak w przypadku gdy gang CMD wystawił na aukcję skradzione dane i zażądał 1,9 mln dolarów.

Jak organizacje i osoby prywatne zmniejszają ekspozycję na wymuszenie

Dla organizacji:

  • Ograniczaj ilość przechowywanych danych i czas ich przechowywania. Dane, które już nie istnieją, nie mogą zostać skradzione.
  • Segmentuj sieci tak, aby systemy biurowe i dokumentowe były oddzielone od systemów operacyjnych. Oświadczenie firmy z Brenner sugeruje, że tego rodzaju separacja mogła pomóc.
  • Monitoruj nietypowe transfery wychodzące. Przesłanie 812 GB to duże zdarzenie, które można wykryć.
  • Przygotuj plan reagowania obejmujący komunikację z pracownikami i partnerami, nie tylko odzyskiwanie techniczne.

Dla osób prywatnych:

  • Używaj unikalnych haseł do każdego konta i menedżera haseł do ich przechowywania.
  • Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest oferowane.
  • Zachowaj ostrożność wobec nieoczekiwanych e-maili, które wspominają rzeczywiste projekty, pracodawców lub partnerów biznesowych, szczególnie jeśli proszą o kliknięcie linku lub otwarcie załącznika.
  • Udostępniaj tylko to, co konieczne, kontaktując się z dużymi organizacjami, i pytaj, jak chronią i przechowują Twoje informacje.

Co to oznacza dla Ciebie

Jeśli pracujesz dla dużej organizacji, dostarczasz jej towary lub usługi albo masz z nią umowę, zakładaj, że część Twoich informacji znajduje się w jej systemach i że nie możesz kontrolować, jak dobrze są chronione. Nie możesz zapobiec naruszeniu u strony trzeciej, ale możesz ograniczyć szkody. Silne, unikalne poświadczenia i uwierzytelnianie wieloskładnikowe zmniejszają wartość wszelkich ujawnionych danych logowania, a sceptyczne spojrzenie na spersonalizowany phishing zmniejsza wartość ujawnionych informacji kontaktowych.

Jeśli jesteś w jakikolwiek sposób związany z projektem Brenner, uważaj na oficjalną komunikację ze strony konsorcjum i podchodź ostrożnie do nieoczekiwanych wiadomości dotyczących incydentu.

Najważniejsze wnioski

Naruszenie danych Everest Brenner w tunelu Brenner pokazuje, że wymuszenie może skutecznie wywierać presję, nawet gdy operacje trwają bez zakłóceń. Konsorcjum oświadczyło, że systemy budowy i sterowania nie zostały dotknięte i że nie zapłaci, ale 812 GB skradzionych danych pozostaje centralnym otwartym pytaniem.

  • Przejrzyj swoje hasła i włącz uwierzytelnianie wieloskładnikowe na ważnych kontach.
  • Zastanów się, jakie dane osobowe i biznesowe przekazujesz dużym organizacjom, i udostępniaj minimum.
  • Spodziewaj się bardziej przekonującego phishingu, jeśli naruszenie dotknie Twojego pracodawcę lub partnerów.

Aby poznać równoległy przypadek wymuszenia przez Everest i odmowy zapłaty, przeczytaj naszą publikację o tym, jak Stadler Rail odrzucił żądanie okupu Everest.