Kampania wymuszenia danych poprzez atak na łańcuch dostaw nie musi dotknąć twojego urządzenia, aby narazić twoje informacje na ryzyko. Wystarczy, że naruszy narzędzie, któremu twój dostawca już ufa. To obraz wyłaniający się ze sprawy TeamPCP, w której władze USA ogłosiły akt oskarżenia i aresztowanie w Australii w sierpniu.

Dostępne szczegóły są ograniczone, więc ten artykuł trzyma się tego, co zostało zgłoszone. Źródłowy materiał, z Virtual Routes, opisuje, jak FBI wyraźnie zauważa, że niektóre z tych przypadków dotyczą kradzieży danych i wymuszenia bez szyfrowania ransomware, i wskazuje na wpisy dotyczące TeamPCP jako kolejną drogę do wymuszenia.

Jak TeamPCP zamienił zaufane oprogramowanie w drogę do kradzieży danych

Według doniesień, lipcowy advisory opisywał naruszenia zaufanych narzędzi programowych i kradzież wrażliwych informacji. Warto zrozumieć ten schemat, ponieważ różni się od klasycznej historii ransomware. Nie ma zablokowanego ekranu ani zaszyfrowanych plików. Zamiast tego atakujący naruszają oprogramowanie, na którym organizacje już polegają, wykorzystują ten dostęp do kradzieży danych, a następnie żądają zapłaty.

W sierpniu władze USA ogłosiły akt oskarżenia i aresztowanie w Australii. Zarzuty opisują naruszone oprogramowanie umożliwiające kradzież danych od klientów końcowych, a następnie żądania okupu. Mówiąc wprost, ofiarami były nie tylko firmy, których narzędzie zostało naruszone, ale także klienci, którzy go używali.

To właśnie czyni tego rodzaju kampanię wymuszenia danych poprzez atak na łańcuch dostaw wydajną dla przestępców. Jeden punkt naruszenia może otworzyć drzwi do wielu organizacji jednocześnie, a każda z nich może być następnie naciskana osobno.

Co akt oskarżenia i aresztowanie w Australii zmieniają, a czego nie

Akt oskarżenia i aresztowanie to istotne kroki. Pokazują, że transgraniczna współpraca między władzami USA i Australii może przynieść rezultaty, i wysyłają sygnał do innych prowadzących podobne procedery.

Ale na tym etapie to tylko zarzuty, a tytuł źródłowego artykułu ujmuje szerszy problem: droga do pociągnięcia przestępców ransomware do odpowiedzialności jest długa. Sprawy sądowe wymagają czasu, podczas gdy kradzież danych następuje szybko. Gdy informacje zostaną skradzione, aresztowanie nie gwarantuje, że można je odzyskać ani że kopie nie krążą.

Jest też szerszy punkt. Egzekwowanie prawa zwykle podąża za szkodą, a nie jej zapobiega. Czytelnicy powinni traktować aresztowania jako dobrą wiadomość dla odstraszania, a nie jako powód do rozluźnienia własnych zabezpieczeń.

Dlaczego klienci końcowi ponoszą ryzyko

Klienci końcowi są często najmniej widoczną stroną w takich incydentach. Mogą nie wiedzieć, jakich narzędzi używają ich dostawcy, jaki dostęp mają te narzędzia ani ile ich danych znajduje się w systemach stron trzecich. Gdy zaufane narzędzie zostaje naruszone, wyciekłe dane mogą obejmować wszystko, co dostawca lub jego klienci tam przechowywali.

Może to obejmować zwykłe dane osobowe. Powiązane materiały pokazują, jak naruszenia motywowane wymuszeniem przebiegają dla osób fizycznych. Raporty o naruszeniach Novo Nordisk i OnePoint ujawniających 800 tys. plików pacjentów ilustrują, jak odsłonięte dane medyczne mogą być narażone, a niedawne twierdzenie o 2 do 3 TB danych o agentach FBI pokazuje, że nawet organizacje o silnej reputacji w zakresie bezpieczeństwa są narażone na presję ze strony wymuszających.

Wspólnym wątkiem jest to, że osoby, których dane zostały skradzione, rzadko miały wpływ na wybory dotyczące bezpieczeństwa, które je naraziły.

Co to oznacza dla ciebie

Nie możesz audytować każdego dostawcy, który przechowuje twoje dane, i nie możesz powstrzymać dostawcy przed naruszeniem. To, co możesz kontrolować, to ile jest do ukradzenia i jaką szkodę mogą wyrządzić skradzione dane.

Im mniej udostępniasz, tym mniej grupa wymuszająca może wykorzystać. A ponieważ wymuszenie opiera się na dźwigni, skradzione dane są często monetyzowane na kilka sposobów. Analiza podejrzanego wycieku od grupy wymuszającej, opisana w naszym artykule o Chainalysis wiążącym portfele kryptowalutowe z płatnościami okupu, daje wgląd w to, jak działają te przepływy płatności.

Praktyczne sposoby ograniczenia ekspozycji

  • Udostępniaj mniej dostawcom. Podawaj tylko informacje, których usługa naprawdę wymaga. Pomijaj opcjonalne pola i usuwaj konta, których już nie używasz.
  • Włącz uwierzytelnianie wieloskładnikowe. Jeśli poświadczenia zostaną ujawnione w naruszeniu, MFA znacznie utrudnia ich użycie. Gdzie to możliwe, preferuj metody oparte na aplikacji lub sprzętowe zamiast SMS.
  • Używaj unikalnych haseł. Menedżer haseł czyni to praktycznym, dzięki czemu jeden wyciek nie odblokowuje innych kont.
  • Czytaj powiadomienia o naruszeniach. Nie ignoruj e-maili ani listów o incydentach w firmach, z którymi masz do czynienia. Często zawierają kroki i terminy, takie jak oferty monitorowania kredytu.
  • Bądź sceptyczny wobec wiadomości wymuszających. Jeśli ktoś kontaktuje się z tobą, twierdząc, że ma twoje dane, zweryfikuj to przez oficjalne kanały, zanim odpowiesz lub zapłacisz.
  • Monitoruj swoje konta. Śledź wyciągi finansowe i rozważ zamrożenie kredytu, jeśli wrażliwe identyfikatory zostały ujawnione.

Wnioski

Sprawa TeamPCP przypomina, że kampania wymuszenia danych poprzez atak na łańcuch dostaw może dotrzeć do zwykłych klientów przez narzędzia, których nigdy nie wybrali. Sierpniowy akt oskarżenia i aresztowanie w Australii są zachęcające, jednak odpowiedzialność postępuje wolniej niż szkoda. Ogranicz to, co przekazujesz, włącz MFA i zwracaj uwagę na powiadomienia o naruszeniach. Aby dowiedzieć się więcej o tym, jak wykorzystywane są skradzione dane, zobacz nasze cotygodniowe podsumowanie o naruszeniu McKesson i sprawie ransomware w Berlinie.