Breșa Klue: Hackerii rivali extorc din nou victimele grupului Icarus

O breșă la un furnizor care a continuat să se agraveze

Când a apărut știrea că platforma de informații de piață Klue a suferit o breșă de date, povestea părea inițial familiară: o credențială compromisă, o autentificare neautorizată și un val de organizații din aval care se străduiau să evalueze expunerea. Atacatorii, despre care s-a raportat că sunt legați de un grup care se autointitulează Icarus, au obținut acces la mediul Klue între 11 și 12 iunie, exploatând o credențială veche legată de un cont de serviciu de integrare care, aparent, nu fusese niciodată revocată după încheierea unui program pilot limitat. Nicio autentificare multi-factor nu le-a stat în cale.

Doar atât ar fi fost suficient pentru o poveste destul de standard despre securitatea lanțului de aprovizionare. Dar breșa Klue a luat o întorsătură neobișnuită. Un al doilea grup ar fi obținut datele furate și a început să extorcheze independent aceleași organizații afectate, spunându-le explicit victimelor să nu aibă încredere în Icarus. Cu alte cuvinte, hackerii înșiși au fost piratați, iar datele clienților furate au devenit o marfă disputată în lumea interlopă a criminalității, nu doar o monedă de schimb între atacator și victimă.

De ce schimbă acest lucru calculul ransomware-ului

De ani de zile, organizațiile care se confruntă cu o cerere de răscumpărare sau de extorcare au cântărit un set familiar de compromisuri: plătesc și speră că atacatorul șterge datele, sau refuză și riscă expunerea publică. Incidentul Klue complică considerabil această logică. Dacă datele furate pot fi revândute, furate din nou sau reutilizate de un grup infracțional concurent după ce o victimă a plătit deja sau a negociat, atunci presupunerea că o singură plată rezolvă amenințarea nu mai este valabilă.

Acest lucru contează în special pentru confidențialitate, deoarece persoanele ale căror informații se află în aceste sisteme – clienți, potențiali clienți și angajați menționați în datele de vânzări sau de informații – nu au nicio vizibilitate cu privire la câte părți dețin acum copii ale înregistrărilor lor. O notificare de breșă care descrie un singur grup de atacatori subestimează expunerea reală dacă un al doilea grup, fără legătură, monetizează independent același set de date. Pentru utilizatorii obișnuiți, acest lucru întărește o lecție care se aplică și instrumentelor de mesagerie și comunicare securizată: atacatorii vizează din ce în ce mai mult veriga cea mai slabă dintr-un lanț de încredere, mai degrabă decât tehnologia în sine. Același tipar apare în relatările despre de ce utilizatorii Signal sunt piratați, nu aplicația, unde platforma de bază este solidă, dar lacunele umane și procedurale creează deschiderea.

Adevăratul punct de eșec: igiena furnizorului, nu sofisticarea

Ceea ce iese în evidență la breșa Klue este cât de obișnuită a fost intruziunea inițială. Nu a existat niciun exploit de tip zero-day, niciun malware nou și nicio tehnică specifică unui stat național. Conform raportărilor, atacatorii au folosit o credențială veche asociată cu un cont de integrare pe care Klue, aparent, nu a reușit să îl dezactiveze după încheierea unui program pilot, iar acel cont nu era protejat prin autentificare multi-factor. Această combinație – o credențială orfană și lipsa MFA – este unul dintre cele mai comune și mai ușor de prevenit moduri de eșec în securitatea întreprinderilor.

Acest lucru contează pentru discuția despre confidențialitate, deoarece arată că riscul pentru datele personale și de afaceri adesea nu provine din sofisticarea atacatorilor, ci din neglijențe administrative de rutină la furnizorii terți, pe care clienții nu au cum să le auditeze direct. Organizațiile care folosesc platforma Klue, inclusiv integrarea sa cu Salesforce, s-au trezit expuse nu din cauza a ceva ce au făcut ele, ci din cauza modului în care un furnizor a gestionat credențialele de acces pe partea de backend.

Ce înseamnă asta pentru tine

Dacă organizația ta folosește furnizori terți care se integrează cu sisteme de afaceri esențiale precum Salesforce, platformele de HR sau bazele de date cu clienți, breșa Klue este un memento că siguranța datelor tale depinde de practicile de securitate pe care nu le poți vedea sau controla pe deplin. Întreabă direct furnizorii dacă credențialele vechi sau cele din programele pilot sunt auditate și dezactivate și dacă MFA este impusă la fiecare punct de integrare, nu doar la autentificările principale ale utilizatorilor.

Pentru persoanele fizice ale căror informații s-ar putea afla în sistemele furnizorilor ca și clienți, clienți potențiali sau contacte, merită să rețină că o notificare de breșă poate descrie doar primul actor cunoscut care a accesat datele lor. Așa cum arată cazul Klue, înregistrările furate pot circula mai departe în rețelele infracționale, ducând uneori la tentative de extorcare secundară care nu au nicio legătură cu divulgarea inițială a breșei.

Concluzii pentru reducerea riscului terț

Breșa Klue subliniază că riscul cibernetic al terților nu este un element ipotetic într-un raport de conformitate. Este o amenințare activă, în evoluție, în care datele furate pot fi vândute, furate din nou sau monetizate independent mult timp după incidentul inițial. Companiile ar trebui să trateze igiena credențialelor furnizorilor, inclusiv dezactivarea promptă a conturilor de integrare neutilizate și impunerea universală a MFA, ca pe o cerință de bază, mai degrabă decât o bună practică. Persoanele fizice ar trebui să rămână vigilente la tentativele neașteptate de extorcare sau phishing care fac referire la detalii personale, chiar și din partea unor părți fără legătură cu o notificare inițială de breșă, deoarece acele date pot circula acum cu mult dincolo de primul punct de compromitere.