Stadler Rail odrzuca żądanie okupu w wysokości 12,3 mln dolarów od ransomware Medusa

Co się stało ze Stadler Rail

Stadler Rail, szwajcarski producent pociągów, których pojazdy kursują na sieciach kolejowych w całej Europie i poza nią, odmówił zapłaty okupu w wysokości 12,3 mln dolarów po incydencie ransomware związanym z grupą Medusa. Atak przebiegał według wzorca, który stał się dobrze znany w ostatnich kampaniach ransomware: atakujący uzyskali punkt zaczepienia, eskalowali swój dostęp, a następnie grozili ujawnieniem skradzionych danych, jeśli firma nie zapłaci.

Operatorzy ransomware coraz częściej atakują systemy kontrolujące, kto może się logować i do czego ma dostęp w sieci. Platformy tożsamości i narzędzia zdalnego zarządzania są atrakcyjne, ponieważ działają jak klucze uniwersalne. Gdy atakujący je skompromituje, mogą poruszać się po sieci ze znacznie mniejszym oporem, niż gdyby musieli włamywać się do poszczególnych systemów jeden po drugim. To wzorzec, który specjaliści od bezpieczeństwa określają jako „etap ransomware", rozpoczynający się po tym, gdy kontrola tożsamości i zdalnego dostępu już zawiodła.

Dlaczego Stadler odmówił zapłaty

Decyzja Stadlera o niezapłaceniu żądanego okupu w wysokości 12,3 mln dolarów odzwierciedla stanowisko, które przyjmuje coraz więcej organizacji wobec grup ransomware. Zapłata okupu nie gwarantuje, że skradzione dane zostaną usunięte, że systemy zostaną w pełni przywrócone ani że ci sami atakujący nie wrócą. Bezpośrednio finansuje również przestępczą infrastrukturę stojącą za przyszłymi atakami.

Dla firmy, która buduje i utrzymuje infrastrukturę transportową, stawka długotrwałego przestoju lub nieudanego odzyskiwania danych jest inna niż dla typowego przedsiębiorstwa. Odmowa zapłaty sygnalizuje zaufanie do procesów tworzenia kopii zapasowych i odzyskiwania danych, ale zwiększa też prawdopodobieństwo, że skradzione dane zostaną opublikowane lub sprzedane. Firmy, które dokonują takiego wyboru, w praktyce stawiają na to, że koszt operacyjny i wizerunkowy wycieku jest bardziej do opanowania niż precedens stworzony przez zapłatę grupie przestępczej.

Jak awarie tożsamości i zdalnego dostępu otwierają drzwi

Grupy ransomware takie jak Medusa zbudowały swoją reputację, wykorzystując dokładnie tego rodzaju słabości. Według raportu opisanego w artykule Medusa Ransomware Tops 500 Victims After Hospital Attack, grupa została powiązana z ponad 500 atakami od czasu pojawienia się w 2021 roku, stosując model podwójnego wymuszenia, w którym dane są kradzione przed zaszyfrowaniem systemów. Takie podejście wywiera presję na ofiary dwukrotnie: raz, aby przywrócić operacje, i drugi raz, aby zapobiec opublikowaniu wrażliwych informacji.

Wspólnym mianownikiem tych incydentów rzadko jest pojedyncza spektakularna podatność. Częściej jest to kombinacja słabych lub ponownie używanych danych uwierzytelniających, narzędzi zdalnego dostępu pozostawionych odsłoniętych w internecie oraz systemów tożsamości, które nie egzekwują silnego uwierzytelniania wieloskładnikowego ani ściśle ograniczonych uprawnień. Gdy atakujący skompromituje jeden zestaw danych uwierzytelniających z szerokim dostępem, często może poruszać się bocznie po sieci niewykryty przez dni lub tygodnie, zanim wdroży ransomware. Dla producentów i operatorów infrastruktury jest to szczególnie niepokojące, ponieważ systemy przemysłowe są często połączone z tymi samymi sieciami co firmowe IT, co oznacza, że naruszenie rozpoczynające się w systemie biurowym może ostatecznie dotrzeć do systemów związanych z operacjami fizycznymi.

Co to oznacza dla Ciebie

Większość czytelników nie prowadzi producenta pociągów, ale incydenty tego typu dotyczą znacznie szerszego kręgu ludzi niż tylko firma wymieniona w nagłówku. Pracownicy, kontrahenci, dostawcy, a nawet klienci, których dane osobowe lub finansowe znajdują się w systemach naruszonej firmy, mogą być narażeni, gdy grupa ransomware skutecznie wyeksfiltruje dane. Jeśli masz kontakt z firmą, która później ujawnia naruszenie — jako pracownik, dostawca lub klient — Twoje informacje mogą być częścią tego, co zostanie opublikowane, jeśli okup nie zostanie zapłacony.

Praktyczna reakcja jest taka sama niezależnie od Twojej roli: ogranicz, do czego może uzyskać dostęp pojedyncze skompromitowane konto, i utrudnij atakującemu wejście z zewnątrz. Oznacza to używanie unikalnych, silnych haseł do każdego konta, włączanie uwierzytelniania wieloskładnikowego wszędzie tam, gdzie jest oferowane, oraz ostrożność co do tego, ile danych osobowych udostępniasz pojedynczemu dostawcy lub platformie, ponieważ nie masz kontroli nad tym, jak dobrze ta organizacja zabezpiecza swoje własne systemy tożsamości i zdalnego dostępu.

Praktyczne wnioski

Kilka kroków może znacząco ograniczyć Twoje narażenie, gdy firma, na której polegasz, zostanie zaatakowana przez grupę taką jak Medusa:

• Korzystaj z menedżera haseł i unikalnych danych uwierzytelniających do każdego konta, aby pojedyncze naruszenie nie pociągało za sobą kolejnych.
• Włącz uwierzytelnianie wieloskładnikowe dla każdego konta, które je oferuje, zwłaszcza poczty e-mail, usług finansowych i loginów związanych z pracą.
• Monitoruj powiadomienia o naruszeniach od dostawców i operatorów infrastruktury, z których korzystasz, i szybko reaguj na zalecane zmiany haseł.
• Jeśli zarządzasz systemami IT, traktuj narzędzia zdalnego dostępu i platformy tożsamości jako cele o wysokiej wartości i regularnie audytuj, kto ma uprawnienia administracyjne.

Atak ransomware Medusa na Stadler Rail jest przypomnieniem, że grupy ransomware nie tylko gonią za nagłówkami; wykorzystują przewidywalne luki w bezpieczeństwie tożsamości i zdalnego dostępu. Pozostawanie poinformowanym o tym, jak działają te grupy, oraz zaostrzenie podstaw uwierzytelniania i kontroli dostępu pozostaje najbardziej niezawodną obroną dostępną zarówno dla organizacji, jak i osób prywatnych.