Wspólne ostrzeżenie od CISA, FBI i partnerów wskazuje, że ransomware SafePay uderzył w ponad 600 ofiar, a droga wejścia jest często boleśnie zwyczajna. Według ostrzeżenia grupa wykorzystuje skradzione dane uwierzytelniające VPN, aby po prostu się zalogować, a także wykorzystuje dwie luki z 2024 roku w urządzeniach Veeam i SonicWall. Wniosek jest prosty: brama VPN jest tak bezpieczna, jak jej loginy i oprogramowanie układowe. ## Co mówi ostrzeżenie dotyczące SafePay Ostrzeżenie wydane przez CISA, FBI i agencje partnerskie informuje, że ransomware SafePay zainfekował ponad 600 ofiar. Wyróżniają się dwie drogi początkowego dostępu: ważne dane uwierzytelniające VPN, które atakujący uzyskali gdzie indziej, oraz dwie luki z 2024 roku affecting produkty Veeam i SonicWall. Materiał źródłowy jest zwięzły, więc niektóre szczegóły nie są tu omówione, takie jak konkretne identyfikatory CVE czy pełna lista dotkniętych sektorów. Administratorzy powinni przeczytać oryginalne ostrzeżenie bezpośrednio, aby zapoznać się ze wskaźnikami technicznymi i listą środków zaradczych. Co podsumowanie jasno pokazuje, to wzorzec: atakujący nie polegają na egzotycznych technikach. Wykorzystują dostęp, który został albo ujawniony, albo pozostawiony bez załatek. ## Jak skradzione loginy VPN i luki w urządzeniach brzegowych otwierają drzwi VPN ma być kontrolowanym wejściem do prywatnej sieci. Jeśli atakujący posiada ważną nazwę użytkownika i hasło, to wejście otwiera się dla niego tak samo jak dla pracownika. Dla VPN skradziony login wygląda jak legalna sesja, dlatego ta droga może być trudna do wykrycia bez dodatkowych kontroli. Skradzione dane uwierzytelniające zazwyczaj pochodzą z wcześniejszych naruszeń, phishingu lub ponownego użycia haseł w różnych usługach. Jeśli pracownik używa tego samego hasła do służbowego VPN i prywatnego konta, które później wyciekło, atakujący nie potrzebuje żadnego technicznego exploita. Druga droga to niezaktualizowane urządzenia brzegowe. Zapory ogniowe, urządzenia VPN i oprogramowanie do tworzenia kopii zapasowych znajdują się na granicy lub w sercu sieci, więc luka w nich może dać atakującym silną pozycję. Ostrzeżenie wskazuje na dwie luki z 2024 roku, jedną w Veeam i jedną w urządzeniach SonicWall. Fakt, że luki z 2024 roku są nadal wykorzystywane, ma znaczenie: sugeruje, że poprawki istnieją, ale nie zawsze są stosowane. Razem te drogi pokazują, dlaczego narzędzia obwodowe wymagają takiej samej uwagi jak każdy inny krytyczny system. VPN chroni ruch tylko wtedy, gdy dostęp do niego jest chroniony, a samo urządzenie musi być aktualne. ## Kroki do wzmocnienia dostępu VPN i urządzeń brzegowych Żaden z poniższych kroków nie jest egzotyczny, a większość z nich odpowiada słabościom opisanym w ostrzeżeniu. - **Wymagaj uwierzytelniania wieloskładnikowego przy każdym logowaniu do VPN.** Samo skradzione hasło nie powinno wystarczyć do wejścia. - **Niezwłocznie łataj produkty SonicWall i Veeam.** Sprawdź, czy poprawki z 2024 roku zostały faktycznie zainstalowane, a nie tylko zaplanowane. - **Uważaj na ponowne użycie danych uwierzytelniających.** Porównuj dane pracowników z znanymi wyciekami danych i wymuszaj resetowanie haseł w przypadku wykrycia ekspozycji. - **Przeglądaj logi VPN pod kątem nietypowej aktywności.** Logowania o nietypowych godzinach, z nieoczekiwanych lokalizacji lub z kont, które normalnie są nieaktywne, zasługują na bliższe spojrzenie. - **Usuwaj nieaktywne konta.** Byli pracownicy i nieużywane loginy kontraktorów są łatwym celem. - **Chroń kopie zapasowe.** Veeam to oprogramowanie do tworzenia kopii zapasowych, więc kompromitacja w tym obszarze może podważyć odtwarzanie. Przechowuj kopie w izolacji i testuj przywracanie. ## Co liczba 600 ofiar oznacza dla organizacji i użytkowników Dla organizacji ponad 600 ofiar to przypomnienie, że grupy ransomware skalują się, powtarzając to, co działa. Jeśli pojedynczy słaby login lub stare niezaktualizowane urządzenie wystarczy, to podstawowa higiena jest jedną z najskuteczniejszych dostępnych obron i jedną z najtańszych. Dla indywidualnych użytkowników, w tym osób łączących się ze służbowym VPN lub korzystających z komercyjnej usługi VPN, lekcja dotyczy danych uwierzytelniających. Używaj unikalnego hasła do każdego konta, włączaj uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest oferowane, i szybko zmieniaj hasła, jeśli używana przez Ciebie usługa zgłosi naruszenie. Pracownicy są częścią obrony, ponieważ ich loginy są dokładnie tym, czego szukają atakujący. Warto też pamiętać, co dzieje się po naruszeniu sieci. Operatorzy ransomware często wywierają presję poprzez żądania okupu i groźby ujawnienia danych. [Historia wymuszenia ATB](/en/atb-hit-by-datasuckers-400k-demand-7-9m-affected), w której grupa nazywająca się DataSuckers miała zażądać 400 tys. dolarów, a 7,9 mln osób miało być dotkniętych, pokazuje, jak ta presja przebiega, gdy atakujący uzyskają dostęp. ## Co to oznacza dla Ciebie Jeśli zarządzasz systemami IT, traktuj swoją bramę VPN i oprogramowanie do tworzenia kopii zapasowych jako zasoby o wysokim priorytecie. Przeprowadź audyt, kto może się logować, potwierdź, że uwierzytelnianie wieloskładnikowe jest wymuszone, i zweryfikuj, że aktualizacje SonicWall i Veeam są zainstalowane. Jeśli jesteś codziennym użytkownikiem, zabezpiecz własne konta: unikalne hasła, MFA i szybkie działanie po każdym powiadomieniu o naruszeniu. ## Najważniejsze wnioski Ostrzeżenie o skradzionych danych uwierzytelniających VPN przez ransomware SafePay to wezwanie do naprawy podstaw. Wymuszaj MFA przy wszystkich logowaniach do VPN, niezwłocznie łataj urządzenia SonicWall i Veeam oraz monitoruj ponowne użycie lub wyciek danych uwierzytelniających. Atakujący, którzy mogą po prostu się zalogować, nie muszą się włamywać, więc utrudnij im logowanie znacznie bardziej.