FBI Avertizează că Grupul Silent Ransom Imită Fizic Personalul IT din Firmele de Avocatură
FBI a emis o alertă oficială avertizând că un actor de amenințare cunoscut sub numele de Silent Ransom Group (SRG) vizează firmele de avocatură printr-o combinație de inginerie socială și atacuri prin impersonare fizică. Spre deosebire de majoritatea atacurilor cibernetice care pornesc din locații îndepărtate, agenții SRG se prezintă fizic, dându-se drept personal de suport IT, obțin acces fizic la dispozitivele de birou, fură date sensibile și apoi extorcă organizațiile. Pentru profesioniștii din domeniul juridic care presupun că apărarea lor digitală este suficientă, această alertă este un semnal de alarmă semnificativ.
Cum Obține Grupul Silent Ransom Acces Fizic la Rețelele Firmelor de Avocatură
Mecanismul abordării SRG este simplu, dar extrem de eficient. Atacatorii fac o recunoaștere a firmei de avocatură vizate, identificând personalul, locațiile birourilor și fluxurile de lucru IT. Apoi se prezintă fizic la sediu, impersonând tehnicieni IT sau contractori de suport. Proiectând încredere și familiaritate cu mediul firmei, ei conving personalul să le ofere acces la computere, servere sau alte dispozitive conectate la rețea.
Odată intrați, grupul extrage date direct de pe echipamentele pe care le pot atinge fizic. Acestea pot include dosare ale clienților, documentația cazurilor, înregistrări financiare sau comunicări privilegiate. După exfiltrarea datelor, victimele primesc cereri de extorcare, cu amenințarea publicării sau vânzării informațiilor furate dacă nu se face plata.
Firmele de avocatură reprezintă o țintă deosebit de atractivă în acest model. Ele dețin volume enorme de date sensibile, privilegiate și adesea confidențiale ale clienților. De asemenea, sunt, din punct de vedere istoric, instituții construite pe încredere și relații profesionale, ceea ce face ca personalul să fie mai înclinat să acorde curtoazie cuiva care pare să fie acolo într-o calitate oficială.
De ce VPN-urile și Segmentarea Rețelei Nu Oprești pe Cineva Care Este Deja în Cameră
Cele mai multe discuții despre securitatea cibernetică se concentrează pe amenințările de la distanță: emailuri de phishing, umplerea credențialelor, ransomware livrat prin linkuri malițioase. Instrumentele implementate de obicei ca răspuns, inclusiv VPN-urile, firewall-urile și segmentarea rețelei, sunt concepute să controleze ce trafic intră și iese dintr-un sistem prin internet. Ele sunt în mare parte irelevante când un atacator stă la o stație de lucru din interiorul clădirii.
Atacurile prin impersonare fizică cu care se confruntă firmele de avocatură din partea unor grupuri precum SRG ocolesc fiecare strat de apărare bazat pe rețea. Dacă cuiva i se oferă un loc la un computer deja autentificat, autentificarea multi-factor a fost deja depășită. Dacă acesta introduce o unitate USB sau accesează un folder partajat din rețeaua locală, tunelurile criptate între utilizatorii de la distanță nu înseamnă nimic. Segmentarea rețelei poate limita într-o anumită măsură mișcarea laterală, dar nu împiedică accesul la ceea ce este deja accesibil de pe dispozitivul utilizat.
Aceasta este problema centrală a tratării securității cibernetice ca pe o disciplină pur tehnică. Comportamentul uman și mediile fizice creează suprafețe de atac pe care niciun produs software nu le abordează complet. Același principiu se aplică amenințărilor interne și utilizării abuzive a credențialelor, așa cum s-a văzut în cazurile în care controalele de acces sunt ocolite nu prin hacking sofisticat, ci prin simple erori umane sau neglijență, un tipar explorat în articolul despre un contractor CISA care a expus chei AWS și parole pe un depozit GitHub public.
Arhitectura Zero-Trust și Controalele de Securitate Fizică Care Atenuează Efectiv Această Amenințare
Arhitectura zero-trust este adesea discutată în contextul accesului de la distanță, dar principiul său de bază se aplică direct aici: nu presupune niciodată că o persoană sau un dispozitiv ar trebui să aibă acces doar pentru că pare să fie în locul potrivit. Pentru mediile fizice, acest lucru se transpune în câteva practici concrete.
În primul rând, procesele de verificare a vizitatorilor și a furnizorilor trebuie formalizate și aplicate consecvent. Orice persoană care pretinde că este de la suportul IT ar trebui verificată printr-un canal independent înainte de a i se oferi acces nesupravegheat la orice dispozitiv. Aceasta înseamnă să se sune direct la departamentul IT, nu să se folosească un număr furnizat de vizitator, și să se confirme că vizita a fost programată.
În al doilea rând, stațiile de lucru și dispozitivele ar trebui să solicite re-autentificare după orice perioadă de inactivitate și, în mod ideal, să nu rămână conectate la sisteme sensibile când nu sunt supravegheate. Blocatoarele de porturi fizice sau dispozitivele de blocare USB pot preveni transferurile neautorizate de date de pe echipamentele accesate fără permisiune.
În al treilea rând, jurnalizarea accesului la nivel de dispozitiv contează. Dacă o persoană neautorizată obține acces, urmele criminalistice ajută la identificarea a ceea ce a fost sustras și limitează amploarea unei cereri ulterioare de extorcare.
În cele din urmă, pregătirea personalului trebuie să abordeze în mod explicit scenariile de inginerie socială fizică, nu doar emailurile de phishing. Angajații firmelor de avocatură, în special personalul de la recepție, ar trebui să știe că politețea și deferența față de autoritatea aparentă sunt exact trăsăturile pe care atacatorii le exploatează.
Ce înseamnă Asta pentru Tine: Pași Practici pentru Profesioniștii din Industrii Sensibile
Dacă lucrezi în domeniul juridic, financiar, al sănătății sau în orice alt domeniu care manipulează informații privilegiate sau reglementate, alerta SRG ar trebui să determine o revizuire a posturii tale de securitate atât digitală, cât și fizică. Iată de unde să începi:
- Auditează protocoalele de acces al vizitatorilor. Organizația ta are un proces formal de verificare a vizitelor IT neprogramate? Dacă răspunsul este nu sau neclar, acel gol trebuie închis imediat.
- Revizuiește politicile de blocare a dispozitivelor și de autentificare. Dispozitivele care se blochează automat după inactivitate și care solicită credențiale pentru a fi reluate reduc semnificativ fereastra de oportunitate pentru un atacator fizic.
- Instruiește personalul cu privire la ingineria socială fizică. Rulează scenarii cu echipa ta în care cineva se dă drept furnizor sau contractor IT. Exersează obiceiul verificării înainte de a acorda acces.
- Evaluează modelul de acces la date. Aplică principiile celui mai mic privilegiu astfel încât, chiar dacă o stație de lucru este compromisă, atacatorul să nu poată ajunge la date dincolo de ceea ce contul de utilizator respectiv gestionează în mod normal.
- Verifică și politicile de acces la distanță. Securitatea fizică și controalele de acces digital funcționează împreună. Revizuirea uneia fără cealaltă lasă goluri.
Alerta FBI privind Grupul Silent Ransom reamintește că o securitate eficientă necesită gândirea la amenințări în trei dimensiuni: rețeaua, dispozitivul și camera. Pentru profesioniștii din industriile sensibile, acum este momentul să evaluezi dacă protocoalele tale actuale ar opri pe cineva care intră pe ușa din față părând că este la locul lui.
