Uma campanha de extorsão de dados por meio de ataque à cadeia de suprimentos não precisa tocar no seu dispositivo para colocar suas informações em risco. Ela só precisa comprometer uma ferramenta em que seu fornecedor já confia. Esse é o quadro que emerge do caso TeamPCP, no qual as autoridades dos EUA anunciaram uma acusação formal e uma prisão na Austrália em agosto.

Os detalhes disponíveis são limitados, então este post se atém ao que foi noticiado. A cobertura da fonte, da Virtual Routes, descreve como o FBI observa explicitamente que alguns desses casos envolvem roubo de dados e extorsão sem criptografia de ransomware, e aponta para os registros do TeamPCP como outra rota para a extorsão.

Como o TeamPCP transformou software confiável em uma rota para roubo de dados

De acordo com a reportagem, um alerta de julho descreveu comprometimentos de ferramentas de software confiáveis e o roubo de informações sensíveis. Vale a pena entender esse padrão porque ele difere da história clássica do ransomware. Não há tela bloqueada nem arquivos criptografados. Em vez disso, os atacantes comprometem software no qual as organizações já confiam, usam esse acesso para obter dados e então exigem pagamento.

Em agosto, as autoridades dos EUA anunciaram uma acusação formal e uma prisão na Austrália. As alegações descrevem software comprometido possibilitando o roubo de dados de clientes downstream, seguido de exigências de resgate. Em termos simples, as vítimas não foram apenas a empresa cuja ferramenta foi comprometida, mas também os clientes que a usavam.

É isso que torna esse tipo de campanha de extorsão de dados por ataque à cadeia de suprimentos eficiente para os criminosos. Um único ponto de comprometimento pode abrir a porta para muitas organizações de uma só vez, e cada uma delas pode então ser pressionada separadamente.

O que a acusação e a prisão na Austrália mudam e o que não mudam

Uma acusação formal e uma prisão são passos significativos. Elas mostram que a cooperação transfronteiriça entre autoridades dos EUA e da Austrália pode produzir resultados, e enviam um sinal a outros que operam esquemas semelhantes.

Mas são alegações neste estágio, e o título do artigo da fonte enquadra o problema maior: o caminho para responsabilizar criminosos de ransomware é longo. Casos jurídicos levam tempo, enquanto o roubo de dados acontece rapidamente. Uma vez que as informações foram obtidas, uma prisão não garante que possam ser recuperadas ou que cópias não estejam circulando.

Há também um ponto mais amplo. A aplicação da lei tende a seguir o dano em vez de preveni-lo. Os leitores devem tratar as prisões como boas notícias para a dissuasão, não como motivo para relaxar suas próprias proteções.

Por que os clientes downstream arcam com o risco

Os clientes downstream costumam ser a parte menos visível nesses incidentes. Eles podem não saber quais ferramentas seus fornecedores usam, que acesso essas ferramentas têm ou quanto de seus dados está em sistemas de terceiros. Quando uma ferramenta confiável é comprometida, os dados que vazam podem incluir tudo o que o fornecedor ou seus clientes armazenaram ali.

Isso pode incluir informações pessoais comuns. A cobertura relacionada mostra como violações motivadas por extorsão afetam os indivíduos. Reportagens sobre violações da Novo Nordisk e da OnePoint expondo 800 mil arquivos de pacientes ilustram quão expostos podem estar os dados de saúde, e uma recente alegação de 2 a 3 TB de dados sobre agentes do FBI mostra que até organizações com fortes reputações de segurança enfrentam pressão de extorsionários.

O ponto em comum é que as pessoas cujos dados são roubados raramente tiveram voz nas decisões de segurança que os expuseram.

O que isso significa para você

Você não pode auditar todos os fornecedores que guardam seus dados, e não pode impedir que um fornecedor seja comprometido. O que você pode controlar é quanto há para roubar e quanto dano os dados roubados podem causar.

Quanto menos você compartilha, menos uma equipe de extorsão pode usar. E, como a extorsão depende de alavancagem, os dados roubados costumam ser monetizados de várias maneiras. A análise de um suposto vazamento de um grupo de extorsão, abordada em nosso artigo sobre Chainalysis ligando carteiras de criptomoedas a pagamentos de resgate, oferece uma visão de como esses fluxos de pagamento funcionam.

Maneiras práticas de limitar sua exposição

  • Compartilhe menos com fornecedores. Forneça apenas as informações que um serviço realmente exige. Pule campos opcionais e exclua contas que você não usa mais.
  • Ative a autenticação multifator. Se as credenciais forem expostas em uma violação, a MFA as torna muito mais difíceis de usar. Prefira métodos baseados em aplicativo ou hardware em vez de SMS quando possível.
  • Use senhas únicas. Um gerenciador de senhas torna isso prático, para que um vazamento não desbloqueie outras contas.
  • Leia as notificações de violação. Não ignore e-mails ou cartas sobre incidentes em empresas com as quais você lida. Eles frequentemente incluem etapas e prazos, como ofertas de monitoramento de crédito.
  • Desconfie de mensagens de extorsão. Se alguém entrar em contato alegando ter seus dados, verifique pelos canais oficiais antes de responder ou pagar.
  • Monitore suas contas. Acompanhe extratos financeiros e considere um bloqueio de crédito se identificadores sensíveis foram expostos.

A conclusão

O caso TeamPCP é um lembrete de que uma campanha de extorsão de dados por ataque à cadeia de suprimentos pode alcançar clientes comuns por meio de ferramentas que eles nunca escolheram. A acusação de agosto e a prisão na Austrália são encorajadoras, mas a responsabilização avança mais lentamente que o dano. Limite o que você entrega, ative a MFA e preste atenção aos avisos de violação. Para saber mais sobre como os dados roubados são usados, veja nosso resumo semanal sobre a violação da McKesson e o caso de ransomware de Berlim.