Wyciek danych w Klue: Rywalizujący hakerzy ponownie szantażują ofiary grupy Icarus

Naruszenie u dostawcy, które ciągle się pogarszało

Kiedy pojawiły się informacje, że platforma wywiadu rynkowego Klue padła ofiarą naruszenia danych, historia początkowo wyglądała znajomo: przechwycone dane uwierzytelniające, nieautoryzowane logowanie i fala powiązanych organizacji próbujących ocenić zakres narażenia. Atakującym, rzekomo powiązanym z grupą nazywającą siebie Icarus, udało się uzyskać dostęp do środowiska Klue między 11 a 12 czerwca, wykorzystując stare dane uwierzytelniające powiązane z kontem usługi integracyjnej, które najwyraźniej nigdy nie zostało unieważnione po zakończeniu ograniczonego programu pilotażowego. Na przeszkodzie nie stanęło żadne uwierzytelnianie wieloskładnikowe.

To samo w sobie stanowiłoby dość standardową historię dotyczącą bezpieczeństwa łańcucha dostaw. Jednak wyciek w Klue przybrał nieoczekiwany obrót. Druga grupa podobno zdobyła skradzione dane i zaczęła niezależnie szantażować te same poszkodowane organizacje, wyraźnie każąc ofiarom nie ufać Icarusowi. Innymi słowy, sami hakerzy zostali zhakowani, a skradzione dane klientów stały się towarem, o który walczono w podziemiu przestępczym, a nie tylko kartą przetargową w rozgrywce między atakującym a ofiarą.

Dlaczego zmienia to rachunek w przypadku ransomware

Przez lata organizacje stojące w obliczu żądań ransomware lub szantażu rozważały znany zestaw kompromisów: zapłać i miej nadzieję, że atakujący usunie dane, albo odmów i ryzykuj publicznym ujawnieniem. Incydent w Klue znacznie komplikuje tę logikę. Jeśli skradzione dane mogą zostać odsprzedane, skradzione ponownie lub ponownie wykorzystane przez konkurencyjną grupę przestępczą po tym, jak ofiara już zapłaciła lub negocjowała, to założenie, że pojedyncza płatność rozwiązuje zagrożenie, przestaje być aktualne.

Ma to szczególne znaczenie dla prywatności, ponieważ osoby, których informacje znajdują się w tych systemach – klienci, potencjalni klienci i pracownicy wymienieni w danych sprzedażowych lub wywiadowczych – nie mają wglądu w to, ile stron posiada teraz kopie ich danych. Zawiadomienie o naruszeniu opisujące jedną grupę atakujących zaniża rzeczywiste narażenie, jeśli druga, niepowiązana grupa niezależnie monetyzuje ten sam zestaw danych. Dla zwykłych użytkowników wzmacnia to lekcję, która ma również zastosowanie do bezpiecznych komunikatorów i narzędzi komunikacyjnych: atakujący coraz częściej celują w najsłabsze ogniwo w łańcuchu zaufania, a nie w samą technologię. Ten sam schemat jest widoczny w doniesieniach o tym, dlaczego użytkownicy Signala są hakowani, a nie aplikacja, gdzie podstawowa platforma jest solidna, ale ludzkie i proceduralne luki tworzą furtkę.

Prawdziwy punkt awarii: Higiena dostawcy, a nie wyrafinowanie

W przypadku naruszenia w Klue uderzające jest to, jak zwyczajna była początkowa intruzja. Nie było exploita zero-day, żadnego nowatorskiego złośliwego oprogramowania ani technik z podręcznika państw narodowych. Według doniesień, atakujący wykorzystali stare dane uwierzytelniające powiązane z kontem integracyjnym, którego Klue najwyraźniej nie dezaktywowało po zakończeniu programu pilotażowego, a konto to nie było chronione uwierzytelnianiem wieloskładnikowym. To połączenie – osierocone dane uwierzytelniające i brak MFA – jest jednym z najczęstszych i najbardziej możliwych do uniknięcia trybów awarii w bezpieczeństwie przedsiębiorstw.

Ma to znaczenie w kontekście prywatności, ponieważ pokazuje, że ryzyko dla danych osobowych i biznesowych często nie wynika z wyrafinowania atakujących, ale z rutynowych zaniedbań administracyjnych u zewnętrznych dostawców, których klienci mają niewielką możliwość bezpośredniego audytu. Organizacje korzystające z platformy Klue, w tym z jej integracji z Salesforce, zostały narażone nie z powodu czegoś, co zrobiły, ale z powodu tego, jak dostawca zarządzał danymi uwierzytelniającymi na zapleczu.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja korzysta z zewnętrznych dostawców, którzy integrują się z podstawowymi systemami biznesowymi, takimi jak Salesforce, platformy HR lub bazy danych klientów, naruszenie w Klue przypomina, że bezpieczeństwo Twoich danych zależy od praktyk bezpieczeństwa, których nie możesz w pełni zobaczyć ani kontrolować. Pytaj dostawców bezpośrednio, czy stare lub programowe dane uwierzytelniające są audytowane i dezaktywowane oraz czy MFA jest wymuszane w każdym punkcie integracji, a nie tylko przy głównych logowaniach użytkowników.

Dla osób fizycznych, których informacje mogą znajdować się w systemach dostawców jako klienci, leady lub kontakty, warto pamiętać, że zawiadomienie o naruszeniu może opisywać tylko pierwszego znanego aktora, który uzyskał dostęp do danych. Jak pokazuje przypadek Klue, skradzione dane mogą krążyć dalej w sieciach przestępczych, czasami prowadząc do wtórnych prób wymuszenia, które nie mają nic wspólnego z pierwotnym ujawnieniem naruszenia.

Wnioski dotyczące redukcji ryzyka zewnętrznego

Naruszenie w Klue podkreśla, że ryzyko cybernetyczne stron trzecich nie jest hipotetyczną pozycją w raporcie zgodności. To aktywne, ewoluujące zagrożenie, w którym skradzione dane mogą być sprzedawane, ponownie wykradane lub niezależnie monetyzowane długo po początkowym incydencie. Firmy powinny traktować higienę danych uwierzytelniających dostawców, w tym szybką dezaktywację nieużywanych kont integracyjnych i powszechne egzekwowanie MFA, jako wymóg podstawowy, a nie najlepszą praktykę. Osoby fizyczne powinny być wyczulone na nieoczekiwane próby wymuszenia lub phishingu, które odnoszą się do danych osobowych, nawet ze strony podmiotów niepowiązanych z pierwotnym zawiadomieniem o naruszeniu, ponieważ te dane mogą teraz krążyć daleko poza punktem pierwszego kompromitacji.