Shell bada zgłoszenie Cl0p o naruszeniu danych o wielkości 89 GB

Shell potwierdza dochodzenie w sprawie zgłoszenia o kradzieży danych przez Cl0p

Energetyczny gigant Shell potwierdził, że prowadzi dochodzenie w sprawie potencjalnego incydentu bezpieczeństwa po tym, jak grupa ransomware Cl0p oświadczyła, że ukradła około 89 GB danych z firmy. Zgłoszenie jest częścią znacznie większej kampanii, w ramach której Cl0p twierdzi, że wykradł dane z blisko 50 międzynarodowych organizacji, w tym podobno z Philips, GE Aerospace i Fiserv, wykorzystując luki w zabezpieczeniach platformy PTC Windchill, powszechnie używanego systemu zarządzania cyklem życia produktu.

Podobnie jak w przypadku większości incydentów z udziałem Cl0p, nie ma żadnych oznak, że systemy operacyjne Shella zostały zablokowane lub że wdrożono szyfrowanie ransomware. Zamiast tego grupa najwyraźniej postępowała zgodnie ze swoim ugruntowanym schematem działania: cicho uzyskiwała dostęp do systemów, wykradała dane, a następnie ujawniała się publicznie z groźbą, a nie z technologicznym zakłóceniem. Shell nie potwierdził zakresu ani autentyczności skradzionych danych, a dochodzenie wciąż trwa.

Jak działa model wymuszeń Cl0p

W przeciwieństwie do wielu operatorów ransomware, którzy szyfrują pliki i żądają zapłaty za klucz deszyfrujący, Cl0p coraz częściej opiera się wyłącznie na wymuszeniach danych. Grupa wykrada ustrukturyzowane bazy danych i nieszyfrowane pliki, często używając niestandardowych webshelli zainstalowanych po wykorzystaniu luki w oprogramowaniu, a następnie kontaktuje się z ofiarami (lub publikuje ich nazwy), żądając wielomilionowych płatności w zamian za nieujawnianie skradzionych materiałów.

Takie podejście ma kilka zalet dla atakujących. Pomija hałaśliwy i zakłócający etap szyfrowania systemów, który może szybko zaalarmować zespoły bezpieczeństwa i natychmiast uruchomić reakcję na incydent. Przenosi też całą presję na ryzyko reputacyjne i regulacyjne: groźba nie brzmi „twoje systemy nie działają", tylko „dane Twoich klientów i partnerów zostaną opublikowane, jeśli nie zapłacisz". Ta różnica ma znaczenie dla sposobu, w jaki organizacje wykrywają, reagują i ujawniają takie incydenty, ponieważ może nie być żadnej widocznej awarii operacyjnej, która sygnalizowałaby, że coś poszło nie tak.

Ten schemat nie jest unikalny dla Shella. Podobne taktyki wymuszeń stosowano w dochodzeniu Wesco w sprawie zgłoszenia o naruszeniu przez ExfilSquad, gdzie dystrybutor artykułów elektrycznych potwierdził, że bada zgłoszone naruszenie swoich systemów, oraz w późniejszych raportach, że ExfilSquad twierdził, że zdobył 2,6 mln rekordów CRM od Wesco. Model masowych wymuszeń pojawiał się również na dużą skalę w incydentach takich jak kampania vishingowa ShinyHunters przeciwko Charter Communications, która ujawniła około 40 milionów rekordów klientów. We wszystkich tych przypadkach wspólnym mianownikiem jest grupa, która najpierw zgłasza kradzież, a następnie pozostawia firmie-ofierze gorączkowe weryfikowanie i reagowanie.

Kampania wymierzona w blisko 50 firm

Tym, co odróżnia incydent w Shellu od typowego naruszenia w pojedynczej firmie, jest skala szerszej kampanii. Cl0p podobno wymienił blisko 50 organizacji z wielu branż, wiążąc włamania z wykorzystaniem luk w oprogramowaniu PTC Windchill. Jeśli to prawda, sugeruje to skoordynowaną, napędzaną lukami akcję, a nie serię niezwiązanych, oportunistycznych ataków. Ten wzorzec jest zgodny z tym, jak Cl0p działał w przeszłości: identyfikuje powszechnie wdrażane oprogramowanie korporacyjne, wykorzystuje wadę, zanim poprawki zostaną szeroko zastosowane, i gromadzi dane od jak największej liczby klientów, zanim ujawni wyniki publicznie.

Dla Shella bycie wymienionym obok kilkudziesięciu innych dużych, dobrze finansowanych firm podkreśla szerszy punkt: wielkość organizacji ani jej budżet na bezpieczeństwo nie czynią jej odporną, gdy w grę wchodzi luka w łańcuchu dostaw lub oprogramowaniu strony trzeciej. Dochodzenie jest wciąż na wczesnym etapie, a Shell nie potwierdził jeszcze pełnego zakresu tego, do czego, jeśli w ogóle, uzyskano dostęp.

Co to oznacza dla Ciebie

Jeśli jesteś klientem, partnerem lub pracownikiem Shella, nie ma jeszcze potwierdzonych dowodów na to, że dane osobowe zostały ujawnione, ale warto zachować czujność. Naruszenia oparte na wymuszeniach, takie jak to, często obejmują rekordy biznesowe, dane dostawców lub informacje o pracownikach, a nie bezpośrednie dane uwierzytelniające kont klientów, choć może się to zmienić w miarę rozwoju dochodzenia. Najbezpieczniejsze podejście to śledzenie oficjalnych komunikatów Shella i traktowanie nieproszonych wiadomości e-mail lub telefonów odnoszących się do tego incydentu z podejrzeniem, ponieważ wiadomości o naruszeniach są często wykorzystywane do phishingu.

Mówiąc szerzej, ten incydent przypomina, że naruszenia danych nie zawsze wyglądają jak firma „zhakowana" w tradycyjnym sensie. Gdy atakujący polegają na wymuszeniach, a nie na szyfrowaniu, pierwszym publicznym sygnałem problemu jest często ogłoszenie samej grupy przestępczej, a nie wewnętrzny alert ofiary.

Praktyczne wnioski

Monitoruj oficjalne komunikaty Shella zamiast polegać na informacjach od stron trzecich dotyczących tego, jakie dane mogły zostać naruszone. Zachowaj ostrożność wobec prób phishingu odnoszących się do tego naruszenia, ponieważ przestępcy często wykorzystują prawdziwe incydenty, aby nakłonić ludzi do klikania złośliwych linków. Jeśli pracujesz z oprogramowaniem takim jak PTC Windchill lub go używasz, niezwłocznie sprawdzaj poprawki dostawcy i alerty bezpieczeństwa, ponieważ kampanie napędzane lukami, takie jak ta, zwykle działają szybko, gdy szczegóły staną się publiczne. Na koniec rozważ stosowanie silnych, unikalnych haseł i usług monitorujących, jeśli otrzymasz powiadomienie, że Twoje dane były częścią jakiegokolwiek naruszenia związanego z tą kampanią, ponieważ historia Cl0p pokazuje, że za tymi zgłoszeniami często idą prawdziwe wycieki danych, gdy okupy nie zostaną zapłacone.