Pracownik Tesli udaremnia wartą milion dolarów próbę przekupienia w ataku ransomware

Zagrożenie wewnętrzne z zaskakującą pułapką

Większość nagłówków o ransomware dotyczy e-maili phishingowych, odsłoniętych portów zdalnego pulpitu lub niezałatanego oprogramowania. Spisek przeciwko Tesli był inny. Według doniesień o sprawie, mężczyzna o nazwisku Kriuczkow zwrócił się do pracownika Gigafabryki Tesli w Nevadzie z propozycją: pomoc w zainstalowaniu niestandardowego złośliwego oprogramowania wewnątrz wewnętrznej sieci firmy, a jego wspólnicy zajmą się resztą – wyciekiem wrażliwych danych, a następnie zażądaniem okupu pod groźbą ich publicznego ujawnienia.

To klasyczny schemat podwójnego wymuszenia ransomware – rodzaj ataku, w którym przestępcy najpierw kradną dane, a dopiero potem szyfrują lub grożą ich wyciekiem, dając ofiarom dwa powody do zapłaty zamiast jednego. Niezwykły w tej sprawie był sposób dostarczenia. Zamiast złośliwego oprogramowania przesłanego przez zainfekowany załącznik, atakujący próbowali zwerbować człowieka, który już miał legalny dostęp do sieci. Doniesienia wskazują, że pracownikowi zaoferowano początkowo 500 000 dolarów za udział, a kwotę tę później podniesiono do 1 miliona dolarów – suma na tyle wysoka, że pokazuje, jak wielką wartość atakujący przypisywali wewnętrznym danym Tesli.

Dlaczego pracownik zgłosił to, zamiast przyjąć pieniądze

Spisek upadł, ponieważ wytypowany pracownik postanowił zaalarmować Teslę i organy ścigania, zamiast przyjąć łapówkę. Ta decyzja – bardziej niż jakikolwiek zapora sieciowa czy program antywirusowy – powstrzymała atak w zarodku. Po powiadomieniu w sprawę zaangażowało się FBI i spisek został udaremniony, zanim jakiekolwiek złośliwe oprogramowanie dotknęło systemów Tesli.

Warto zatrzymać się przy tym na chwilę. Każde techniczne zabezpieczenie, które firma buduje – segmentacja sieci, wykrywanie na punktach końcowych, szyfrowane kopie zapasowe – istnieje po to, by powstrzymać atakujących, którzy już są wewnątrz lub próbują włamać się z zewnątrz. Żadne z tych narzędzi nie ma większego znaczenia, jeśli pracownik z ważnymi danymi uwierzytelniającymi dobrowolnie otworzy drzwi. Jedyną realną obroną przed takim scenariuszem jest kultura miejsca pracy, w której pracownicy czują się bezpiecznie i są wręcz zachęcani do natychmiastowego zgłaszania podejrzanych propozycji.

Jest to również przypomnienie, że łańcuchy dostaw i ekosystemy partnerów poszerzają powierzchnię ataku daleko poza własnych pracowników firmy. Naruszenie w Tata Electronics, które ujawniło pliki Apple i Tesli na ciemnej sieci, pokazuje pokrewny wzorzec: wrażliwe dane firmowe nie muszą zostać skradzione bezpośrednio od docelowego przedsiębiorstwa, aby trafić w niepowołane ręce. Dostawca, wykonawca czy podwykonawca z słabszymi zabezpieczeniami może stać się drogą najmniejszego oporu dla atakujących, którzy nie mogą zwerbować pracownika wewnętrznego.

Biznesowe uzasadnienie dla świadomości zagrożeń wewnętrznych

Firmy wydają ogromne budżety na zabezpieczenia perymetryczne, podczas gdy programy przeciwdziałania zagrożeniom wewnętrznym często otrzymują znacznie mniej uwagi. A przecież próby rekrutacji insiderskiej, takie jak ta przeciwko Tesli, nie wymagają żadnego technicznego exploita. Opierają się one wyłącznie na ludzkich decyzjach podejmowanych pod presją finansową lub w obliczu pokusy.

Kilka praktyk sprawia, że organizacje są bardziej odporne na tego rodzaju ataki:

• Jasne, dobrze nagłośnione kanały zgłaszania, aby pracownicy dokładnie wiedzieli, z kim się skontaktować, jeśli ktoś zaoferuje im pieniądze za dostęp, dane uwierzytelniające lub pomoc w obejściu zabezpieczeń.
• Regularne szkolenia obejmujące konkretnie socjotechnikę i próby przekupstwa, a nie tylko e-maile phishingowe.
• Kultura, w której zgłoszenie podejrzanego kontaktu jest traktowane jako pozytywne działanie, a nie przyznanie się do winy, dzięki czemu pracownicy nie boją się zgłaszać.
• Polityka dostępu z najmniejszymi uprawnieniami, która ogranicza zakres szkód, jakie może wyrządzić pojedyncze skompromitowane konto – ludzkie czy techniczne.

Żadne z tych środków nie jest drogie w porównaniu z potencjalnymi kosztami udanego ataku z podwójnym wymuszeniem, które mogą obejmować zapłatę okupu, kary regulacyjne, odpowiedzialność prawną i trwałą utratę reputacji.

Co to oznacza dla Ciebie

Niezależnie od tego, czy prowadzisz małą firmę, czy pracujesz w dziale IT dużego przedsiębiorstwa, sprawa Tesli jest użytecznym testem warunków skrajnych dla Twojej własnej postawy bezpieczeństwa. Zapytaj, czy Twoi pracownicy wiedzieliby, co zrobić, gdyby ktoś zaoferował im gotówkę za zainstalowanie pendrive'a, udostępnienie hasła lub przymknięcie oka, gdy „kontrahent” uzyskuje dostęp do zastrzeżonego systemu. Jeśli odpowiedź jest niejasna, to luka, którą warto załatać, zanim znajdzie ją atakujący.

Wzmacnia to również argument, że ryzyko wycieku danych nie ogranicza się do Twojej własnej sieci. Jak pokazał incydent w Tata Electronics, wrażliwe pliki związane z dużymi firmami mogą wypłynąć poprzez naruszenia w firmach trzecich, całkowicie poza ich bezpośrednią kontrolą. Weryfikacja praktyk bezpieczeństwa dostawców nie jest już opcjonalna dla organizacji, które przetwarzają cenną własność intelektualną lub dane klientów.

Praktyczne wskazówki

• Ustanów prosty, anonimowy proces zgłaszania dla pracowników, którym złożono ofertę łapówki lub próby rekrutacji wewnętrznej.
• Przeszkol personel w rozpoznawaniu taktyk socjotechnicznych, które celują w ludzi, a nie tylko w systemy.
• Zastosuj dostęp z najmniejszymi uprawnieniami, aby żaden pojedynczy pracownik nie mógł samodzielnie skompromitować krytycznej infrastruktury.
• Audytuj bezpieczeństwo dostawców i łańcucha dostaw, ponieważ podmioty trzecie mogą wyciekać wrażliwe dane, nawet gdy Twoje własne zabezpieczenia działają.

Sprawa Tesli zakończyła się dobrze, ponieważ jeden pracownik podjął właściwą decyzję. Budowanie miejsca pracy, w którym ta decyzja jest łatwa, oczekiwana i nagradzana, to jedna z najbardziej opłacalnych form obrony przed ransomware, jaką każda organizacja może wdrożyć.