Szwajcarski producent pociągów Stadler Rail potwierdził, że odmówił zapłaty okupu w wysokości 12,3 mln dolarów (₣10 000 000) zażądanego przez gang wymuszeń Everest po tym, jak atakujący wykradli dane techniczne za pośrednictwem platformy wymiany plików jednego ze swoich dostawców. Informacja ta pojawiła się w tym samym czasie, co osobne, lecz powiązane wydarzenie: powiązana z rosyjskim państwem grupa Laundry Bear atakowała niezałatane serwery poczty Zimbra. Razem te dwie historie pokazują, jak aktorzy zagrożeń powiązani z Rosją prowadzą równoległe operacje – jedną wymierzoną w łańcuchy dostaw przemysłowych, drugą w firmową infrastrukturę poczty elektronicznej – i dlaczego organizacje każdej wielkości muszą traktować obie te kwestie poważnie.

Atak ransomware stojący za odmową Stadler Rail

Zgodnie z doniesieniami The Record, gang ransomware Everest przyznał się do kradzieży danych technicznych należących do Stadler Rail, nie poprzez bezpośrednie włamanie do sieci producenta pociągów, ale poprzez skompromitowanie platformy wymiany plików obsługiwanej przez jednego z jego dostawców. Everest zażądał następnie około 12,3 miliona dolarów w zamian za nieujawnianie ani niesprzedawanie skradzionych plików. Stadler Rail odmówił zapłaty.

To znacząca decyzja. Odmowy zapłaty okupu często przedstawiane są wyłącznie jako akt sprzeciwu, ale niosą ze sobą realne ryzyko operacyjne: jeśli gang spełni swoją groźbę, skradzione dane techniczne (schematy inżynieryjne, dane dostawców, dokumentacja wewnętrzna) mogą zostać opublikowane lub sprzedane konkurentom i innym grupom przestępczym. Wybór Stadler Rail, by nie płacić, odzwierciedla szerszą zmianę wśród dużych firm przemysłowych, z których wiele traktuje obecnie płacenie okupów jako nagradzanie przestępczych modeli biznesowych, a nie rozwiązanie leżącego u podstaw problemu narażenia.

Dlaczego naruszenie u dostawcy ma znaczenie tak samo jak bezpośredni atak

To, co czyni ten przypadek szczególnie pouczającym, to fakt, że początkowym punktem kompromitacji nie była infrastruktura własna Stadler Rail, lecz system wymiany plików dostawcy. Jest to powszechny schemat we współczesnych atakach ransomware: grupy przestępcze coraz częściej szukają najsłabszego ogniwa w łańcuchu dostaw, zamiast atakować bezpośrednio dobrze broniony główny cel. Pojedynczy dostawca z niedbałą kontrolą dostępu lub niezałatanym oprogramowaniem może stać się punktem wejścia dla znacznie większej operacji kradzieży danych.

Ta dynamika nie dotyczy wyłącznie branży kolejowej. Kompromitacje łańcucha dostaw ujawniły już wcześniej wrażliwe dane rządowe i korporacyjne za pośrednictwem zaufanego oprogramowania stron trzecich, jak pokazały konsekwencje włamania SolarWinds, które ujawniło wszystkie e-maile domeny Treasury.gov. Wniosek jest spójny: poziom bezpieczeństwa organizacji jest tylko tak silny, jak poziom bezpieczeństwa dostawców i partnerów, z którymi dzieli się danymi.

Powiązany z Rosją Laundry Bear zwiększa presję na serwery Zimbra

Równolegle do historii Stadler Rail doniesienia wskazują, że Laundry Bear, grupa zagrożeń powiązana z Rosją, atakuje niezałatane serwery poczty Zimbra. Niezałatane oprogramowanie do współpracy i poczty internetowej od dawna jest preferowanym punktem wejścia dla aktorów powiązanych z państwem, którzy chcą przechwytywać dane uwierzytelniające lub utrzymywać trwały dostęp do komunikacji organizacji.

Ta kampania wpisuje się we wzorzec, przed którym agencje bezpieczeństwa wielokrotnie ostrzegały. Dyrektor GCHQ wydał niedawno jedno z najbardziej bezpośrednich ostrzeżeń w ostatnim czasie o nieustannych rosyjskich operacjach cybernetycznych wymierzonych w infrastrukturę krytyczną i instytucje demokratyczne. Oddzielnie amerykańskie służby rozbiły sieć skompromitowanych routerów powiązaną z rosyjskim wywiadem wojskowym GRU. Niezależnie od tego, czy celem jest dostawca producenta pociągów, czy niezałatany serwer poczty, myśl przewodnia pozostaje ta sama: grupy powiązane z Rosją sondują szeroko dostępną, często pomijaną infrastrukturę w poszukiwaniu dostępu, a nie tylko trafiające na pierwsze strony gazet sieci rządowe.

Co to oznacza dla Ciebie

Większość czytelników nie zarządza serwerami Zimbra ani nie produkuje pociągów, ale leżące u podstaw tych historii ryzyka mają szerokie zastosowanie. Jeśli korzystasz z jakiejkolwiek usługi – od platformy rezerwacji podróży po program lojalnościowy – która udostępnia Twoje dane zewnętrznym dostawcom, dane te są tylko tak bezpieczne, jak zabezpieczenia tych dostawców. Naruszenie u dostawcy, o którym nigdy nie słyszałeś, może i tak ujawnić informacje z Tobą związane, czy to konto firmowe, współdzielony plik, czy dane osobowe przetwarzane w Twoim imieniu.

Dla firm wniosek jest równie bezpośredni: zarządzanie poprawkami i nadzór nad dostawcami nie są opcjonalnymi pozycjami. Niezałatane oprogramowanie, czy to serwer poczty, czy narzędzie do wymiany plików, pozostaje jednym z najczęstszych sposobów, w jaki atakujący zdobywają przyczółek, a odmowy płacenia okupu działają jako długoterminowy środek odstraszający tylko wtedy, gdy podstawowe luki, które umożliwiły atak, zostaną faktycznie usunięte.

Konkretne wnioski do wdrożenia

  • Jeśli współpracujesz z dostawcami, pytaj, jak radzą sobie z aktualizacjami i kontrolą dostępu do współdzielonych systemów plików, nie tylko w swojej sieci.
  • Traktuj poważnie każde powiadomienie o naruszeniu u dostawcy, nawet jeśli Twoja organizacja nie została bezpośrednio zaatakowana; dane nadal mogą zostać ujawnione za pośrednictwem strony trzeciej.
  • Aktualizuj niezwłocznie oprogramowanie serwerów współpracy i poczty elektronicznej; niezałatane systemy pozostają głównym punktem wejścia zarówno dla ataków ransomware, jak i włamań powiązanych z państwem.
  • Wspieraj politykę niepłacenia okupów tam, gdzie to możliwe, ponieważ zapłata może finansować dalsze ataki, nie gwarantując, że dane i tak nie wyciekną.
  • Bądź na bieżąco z aktywnością cybernetyczną powiązaną z Rosją, która wpływa na infrastrukturę krytyczną i oprogramowanie firmowe, ponieważ kampanie te często celują w szeroko stosowane narzędzia, a nie w pojedyncze ofiary.