Wyciek danych kancelarii Mayer Brown przez oszustwo podszywające się pod Luna Moth

Co się stało w przypadku wycieku danych Mayer Brown

Kancelaria prawna Mayer Brown potwierdziła, że dokumenty wewnętrzne zostały opublikowane na stronie do wycieków prowadzonej przez grupę wymuszającą Luna Moth, ale firma twierdzi, że jej systemy nigdy nie zostały przełamane. Według Mayer Brown pracownik omyłkowo wysłał dokumenty do osoby trzeciej, która podała się za kogoś innego. Innymi słowy, nie był to atak hakerski w tradycyjnym znaczeniu wykorzystujący podatności w oprogramowaniu lub skradzione dane uwierzytelniające. Było to ukierunkowane oszustwo, które skłoniło członka personelu do dobrowolnego przekazania wrażliwych plików.

Następnie Luna Moth umieściła te dokumenty na swojej stronie do wycieków wykorzystywanej do wymuszeń – jest to taktyka, którą grupa powszechnie stosuje, aby wywierać presję na ofiary zapłacenia okupu, zamiast pozwolić na publiczne ujawnienie skradzionych danych. Oświadczenie Mayer Brown, że systemy nie zostały naruszone, jest znaczące. Wyraźnie oddziela ono włamanie do sieci, które zazwyczaj uruchamia znacznie szerszą reakcję techniczną, od ukierunkowanego incydentu socjotechnicznego, który wykorzystał zaufanie ludzkie, a nie lukę techniczną.

Jak taktyka podszywania się Luna Moth ominęła zabezpieczenia techniczne

Luna Moth, śledzona również pod nazwami Silent Ransom Group, Chatty Spider i UNC3753, zbudowała sobie reputację dzięki atakom wymierzonym szczególnie w kancelarie prawne, po części dlatego, że dokumenty prawne są zazwyczaj wrażliwe, poufne i stanowią cenną kartę przetargową do wymuszeń. Zamiast wdrażać złośliwe oprogramowanie lub ransomware, aby wedrzeć się do sieci, grupa coraz częściej polega na przekonującym podszywaniu się: udawanie zaufanego dostawcy, kontaktu z działu IT lub innej uprawnionej strony, aby skłonić pracownika do dobrowolnego przesłania plików lub udzielenia dostępu.

Takie podejście jest skuteczne właśnie dlatego, że omija zabezpieczenia, na które organizacje wydają najwięcej pieniędzy. Zapory sieciowe, wykrywanie na punktach końcowych i narzędzia monitorowania sieci są zaprojektowane do wychwytywania prób nieautoryzowanego dostępu. Są one znacznie mniej przydatne, gdy uprawniony pracownik, działając w dobrej wierze, wysyła dokumenty do osoby, którą uważa za upoważnioną do ich odbioru. Incydent w Mayer Brown idealnie pasuje do tego schematu: wyciek nie wymagał od Luna Moth przełamania żadnego perymetru, ponieważ celem nigdy nie był perymetr. Celem był pracownik.

Dlaczego socjotechnika pozostaje najsłabszym ogniwem

Nawet organizacje o dużych zasobach i dojrzałych programach cyberbezpieczeństwa pozostają podatne na ten styl ataku, ponieważ wymierzony jest on w osąd, a nie w infrastrukturę. Firma może dużo inwestować w szyfrowanie, kontrolę dostępu i wykrywanie włamań, a mimo to okazać się narażoną, jeśli ktoś przekonująco podszyje się pod znany kontakt, klienta lub wewnętrznego współpracownika. To nie tyle porażka technologii, co dowód na to, że zdeterminowani napastnicy zawsze będą szukać ścieżki najmniejszego oporu, a coraz częściej ścieżka ta wiedzie przez ludzi, a nie przez kod.

Szersza kampania Luna Moth przeciwko kancelariom prawnym podkreśla tę prawidłowość. Grupy takie jak ta prosperują dzięki skali operacyjnej, a część ich trwałości wynika z infrastruktury, która wspiera ich działania za kulisami, w tym z usług hostingowych umożliwiających utrzymanie stron do wycieków i operacji wymuszeniowych w sieci. Organy ścigania również zwróciły uwagę na tę warstwę infrastruktury. Przejęcie 800 serwerów powiązanych z hostingiem kuloodpornym przez holenderskie władze pokazuje, że zakłócanie dostawców hostingu chroniących grupy wymuszające może być równie ważne, jak podnoszenie świadomości poszczególnych pracowników. Oba fronty – egzekwowanie prawa na poziomie technicznym i czujność ludzka – wymagają uwagi, jeśli chcemy, by incydenty takie jak wyciek w Mayer Brown stawały się rzadsze.

Co to oznacza dla Ciebie

Jeśli pracujesz w kancelarii prawnej, firmie świadczącej usługi finansowe lub jakiejkolwiek organizacji, która obraca wrażliwymi dokumentami klientów, ten incydent przypomina, że Twoim największym zagrożeniem może wcale nie być wyrafinowane narzędzie hakerskie. Może nim być dobrze przygotowany e-mail lub rozmowa telefoniczna, która wygląda i brzmi wiarygodnie. Napastnicy, badając konkretnego pracownika, relację z dostawcą lub trwającą sprawę, mogą dostosować swoje podszywanie się na tyle przekonująco, że nawet uważny personel da się nabrać.

Dla klientów i osób fizycznych, których informacje przechodzą przez kancelarie prawne lub firmy świadczące profesjonalne usługi, warto zrozumieć, że „wyciek” nie zawsze oznacza, że serwery firmy zostały przełamane. Czasami oznacza to, że pojedyncze, ukierunkowane oszustwo zakończyło się sukcesem. To rozróżnienie ma znaczenie dla sposobu, w jaki organizacje reagują, i dla tego, jak duże zaufanie społeczeństwo powinno pokładać w ogólnych zapewnieniach, że „systemy są bezpieczne”.

Konkretne wnioski do wdrożenia

• Przed wysłaniem poufnych dokumentów zweryfikuj tożsamość nadawcy za pośrednictwem drugiego kanału, zwłaszcza gdy prośba wydaje się pilna lub nietypowa.
• Przeszkol personel, aby rozpoznawał konkretnie taktyki podszywania się, a nie tylko e-maile phishingowe z oczywistymi sygnałami ostrzegawczymi.
• Ustanów jasne wewnętrzne procedury weryfikowania próśb od dostawców, działu IT i klientów dotyczących przekazywania dokumentów.
• Zrozum, że wyciek danych bez naruszenia sieci nadal niesie ze sobą realne konsekwencje i wymaga poważnej reakcji.

Incydent w Mayer Brown pokazuje, że taktyki socjotechniczne wycieku danych Luna Moth nie muszą przełamywać zapór sieciowych, by odnieść sukces – wystarczy, że jedna osoba uwierzy w przekonujące kłamstwo. W miarę jak kancelarie prawne i inne cele o wysokiej wartości nadal mierzą się z tą presją, likwidacja luki ludzkiej jest równie pilna, co wzmacnianie sieci.