Gdy grupa ransomware publikuje roszczenie wobec firmy, pierwszym pytaniem jest, czy jest ono prawdziwe. W przypadku FTAPI, dostawcy oprogramowania do bezpiecznego przesyłania plików używanego przez około 2000 firm, odpowiedź brzmi: częściowo tak. Historia naruszenia danych FTAPI przez ransomware zaczęła się, gdy grupa nazywająca się The Gentlemen umieściła firmę na liście ofiar, a FTAPI potwierdziło następnie, że doszło do naruszenia wewnętrznego serwera. Firma twierdzi, że transfery klientów pozostały bezpieczne.

Ta kombinacja — potwierdzona intrusja i zapewnienie o danych klientów — zasługuje na uważną lekturę. Ten artykuł przygląda się temu, co faktycznie wiadomo, a co pozostaje niezweryfikowane.

Co potwierdziło FTAPI, a co twierdzi The Gentlemen

Według relacji Cybernews, FTAPI przyznało, że doszło do naruszenia wewnętrznego serwera po tym, jak grupa ransomware The Gentlemen zgłosiła atak. Stanowisko firmy jest takie, że pliki przesyłane przez klientów za pośrednictwem jej platformy nie zostały naruszone. Inne doniesienia, w tym raport heise online, również podają, że FTAPI potwierdziło naruszenie.

Wpis grupy ransomware to roszczenie, nie ustalenie faktu. Gangi zajmujące się wymuszeniami publikują listy ofiar, aby wywierać presję, a wpisy te mogą wyolbrzymiać to, co zostało skradzione. To, co odróżnia ten przypadek od wielu innych, to fakt, że sama firma potwierdziła, że doszło do intrusji. To, co wciąż pozostaje niejasne na podstawie dostępnych materiałów, to pełny zakres: jakie dane znajdowały się na affected serwerze, ile zostało skradzione i jak napastnicy dostali się do środka.

Dlaczego naruszenie wewnętrznego serwera ma znaczenie dla platform przesyłania plików

Platformy do przesyłania plików zajmują szczególną pozycję zaufania. Firmy korzystają z nich, aby wysyłać umowy, akta osobowe i inne wrażliwe materiały właśnie dlatego, że oczekują, iż dostawca będzie odpowiednio zabezpieczony. Więc nawet gdy naruszony system jest określany jako wewnętrzny, czytelnicy powinni zapytać, co się na nim znajduje.

Serwery wewnętrzne u dostawcy oprogramowania mogą przechowywać różne rzeczy: informacje o pracownikach, dokumentację biznesową, dane wsparcia, szczegóły konfiguracji lub dane kontaktowe klientów. Nic z tego nie musi dotyczyć samych szyfrowanych transferów. Ale może to mieć znaczenie dla klientów. Dane kontaktowe mogą napędzać phishing podszywający się pod dostawcę, a dane operacyjne mogą pomóc napastnikom planować kolejne próby.

Jest też kwestia praktyczna dotycząca zaufania. Zapewnienie dostawcy o transferach klientów to oświadczenie strony, która właśnie została naruszona. Może być całkiem trafne, ale jest najbardziej przekonujące, gdy poparte szczegółami, takimi jak to, które systemy były segmentowane, jak obsługiwane są klucze szyfrujące i co pokazują logi.

Co dowody pokazują, a czego nie pokazują na temat danych klientów

Na podstawie tego, co zostało zaraportowane, dowody wspierają kilka wąskich wniosków:

  • Wewnętrzny serwer FTAPI został naruszony, a firma to potwierdziła.
  • Grupa ransomware The Gentlemen przyznaje się do odpowiedzialności.
  • FTAPI twierdzi, że transfery plików klientów nie zostały naruszone.

To, czego dostępne doniesienia nie ustalają, jest równie ważne. Nie ma niezależnej weryfikacji twierdzenia firmy o transferach klientów ani publicznego potwierdzenia, co dokładnie zabrało The Gentlemen. Ani roszczenie grupy, ani zapewnienie firmy nie powinny być jeszcze traktowane jako pełny obraz sytuacji.

To użyteczny nawyk przy czytaniu każdego roszczenia o wymuszenie. W roszczeniu Qilin wobec ATF gang nie przedstawił żadnego dowodu. W zagrożeniu ShinyHunters wobec Streamlabs roszczenie zostało zaraportowane jako próba wymuszenia z terminem. Przypadek FTAPI różni się, ponieważ istnieje potwierdzenie firmy, ale to samo pytanie się nasuwa: co jest zweryfikowane i przez kogo?

Co to oznacza dla Ciebie

Jeśli Twoja organizacja korzysta z FTAPI, oświadczenie firmy sugeruje, że Twoje przesłane pliki nie zostały ujawnione, ale masz prawo do więcej niż podsumowania. Rozsądne kroki obejmują kontakt z przedstawicielem handlowym, pytanie o to, jakie kategorie danych znajdowały się na affected serwerze, oraz sprawdzenie, czy którekolwiek dane kontaktowe lub kontowe Twojej organizacji zostały uwzględnione.

Jeśli korzystasz z jakiegokolwiek dostawcy przesyłania plików lub udostępniania dokumentów, ten incydent jest zachętą do przeglądu relacji. Pytania warte zadania obejmują:

  • Jakie dane dostawca przechowuje poza pipeline'em transferu i jak są one oddzielone?
  • Kto posiada klucze szyfrujące i czy napastnik z dostępem wewnętrznym mógłby do nich dotrzeć?
  • Jak szybko dostawca powiadamia klientów o incydentach i w jakim szczególe?
  • Czy dostawca publikuje ustalenia po incydencie, czy tylko krótkie oświadczenia?

Osoby, których dane mogą przechodzić przez firmę korzystającą z takiej platformy, powinny zachować czujność wobec nieoczekiwanych e-maili odwołujących się do transferu lub dostawcy, ponieważ phishing często następuje po naruszeniach tego rodzaju.

Wnioski

Przypadek naruszenia danych FTAPI przez ransomware pokazuje, dlaczego obie strony historii o wymuszeniu zasługują na analizę. Firma potwierdziła naruszenie, co nadaje roszczeniu większą wagę niż niepopartemu wpisowi. Ale zapewnienie, że transfery klientów pozostały bezpieczne, to wciąż oświadczenie firmy oczekujące na szczegóły.

Aby wyostrzyć własny osąd, porównaj ten przypadek z roszczeniem Qilin wobec ATF i zagrożeniem ShinyHunters wobec Streamlabs i zwróć uwagę, ile dowodów każde z nich oferuje. Następnie poproś własnych dostawców o jasne, konkretne ujawnienia naruszeń, zanim dojdzie do incydentu, a nie po nim.