Un atac ransomware asupra unei instituții financiare din SUA

Raportul de informații despre amenințări din 6 iulie al Check Point Research începe cu o intrare sumbră: River Bank & Trust, o instituție financiară din SUA, a suferit un incident ransomware după ce un actor neautorizat a obținut acces la rețeaua companiei-mamă. Potrivit informațiilor legate de dezvăluire, accesul inițial a avut loc în jurul datei de 16 iunie, oferind atacatorului săptămâni întregi în interiorul rețelei înainte ca payload-ul ransomware să fie lansat. Acest interval dintre compromiterea inițială și impactul final este o temă recurentă în campaniile ransomware moderne și este exact genul de detaliu care ar trebui să îngrijoreze pe oricine își ține banii, lucrează cu sau depinde de furnizorii de servicii financiare.

Ceea ce face acest incident deosebit de relevant dincolo de sectorul bancar este vectorul de atac implicat, după cum se raportează: un protocol VPN învechit. Informațiile asociate buletinului Check Point indică faptul că actori asociați cu ransomware-ul exploatează implementări VPN vechi pe care organizațiile nu le-au retras sau corectat. Aceasta nu este o tehnică nouă. Protocoalele VPN învechite au fost de mult timp un punct de intrare facil pentru atacatori, dar utilizarea lor continuă în medii de mare valoare, cum ar fi serviciile financiare, subliniază cât de dificil este pentru organizațiile mari să modernizeze infrastructura de securitate în ritmul pe care îl cer amenințările.

De ce protocoalele VPN învechite continuă să apară în rapoartele de încălcare a securității

VPN-urile ar trebui să fie un instrument de securitate, nu o vulnerabilitate. Dar protocoalele VPN mai vechi, unele dintre ele anterioare standardelor moderne de criptare și practicilor de autentificare, rămân adesea în mediile de producție mult timp după ce ar fi trebuit scoase din uz. Sistemele vechi sunt păstrate din motive care nu au nicio legătură cu securitatea: contracte cu furnizorii, compatibilitatea cu echipamente mai vechi sau pur și simplu riscul operațional al migrării unui sistem care „încă funcționează”.

Problema este că atacatorii scanează activ aceste puncte slabe. Un protocol VPN învechit poate oferi o cale relativ silențioasă de intrare într-o rețea corporativă, mai ales când nu dispune de protecții moderne precum autentificarea multi-factor sau monitorizarea robustă a sesiunilor. Odată intrat, așa cum pare să se fi întâmplat în cazul River Bank & Trust, un atacator poate petrece săptămâni întregi deplasându-se lateral, escaladând privilegii și identificând locul cel mai dăunător pentru a lansa ransomware-ul înainte de a declanșa vreo alertă.

De ce instituțiile financiare rămân ținte de mare valoare

Băncile și holdingurile financiare dețin cantități uriașe de date sensibile: numere de cont, istorice de tranzacții, detalii de identificare personală și, adesea, acces interconectat la rețele corporative mai largi prin relațiile dintre compania-mamă și filiale. Această interconectare merită remarcată în acest caz, deoarece compromiterea s-ar fi produs inițial prin rețeaua companiei-mamă, nu direct prin sistemele River Bank & Trust. Operatorii de ransomware înțeleg că instituțiile financiare se confruntă cu o presiune intensă de reglementare și reputațională pentru a rezolva rapid incidentele, ceea ce le poate face mai predispuse să plătească răscumpărări sau să soluționeze rapid, mai degrabă decât să riște perioade prelungite de nefuncționare.

Acest tipar reflectă, de asemenea, o tendință mai largă semnalată în rapoartele de informații continue ale Check Point: actorii amenințărilor preferă din ce în ce mai mult să vizeze infrastructura și punctele de acces pe care organizațiile le consideră „suficient de bune”, în loc să caute vulnerabilități de tip zero-day. Protocoalele VPN vechi, instrumentele de acces la distanță neactualizate și marginile de rețea neglijate sunt în mod constant suprafețe de atac mai productive decât noile exploituri spectaculoase.

Ce înseamnă acest lucru pentru tine

Dacă ești client al unei bănci sau instituții financiare, acest incident este un memento că securitatea datelor tale depinde în mare măsură de deciziile de infrastructură luate în culise, decizii asupra cărora nu ai nicio vizibilitate și niciun control. Asta nu înseamnă că ești neajutorat. Monitorizarea conturilor pentru activități neobișnuite, utilizarea unor parole puternice și unice și activarea autentificării multi-factor oriunde banca o oferă sunt în continuare cele mai bune mijloace individuale de apărare.

Dacă gestionezi IT-ul sau securitatea pentru orice organizație, în special una conectată la servicii financiare prin relații de furnizor sau structură corporativă, acest incident este un argument concret pentru a audita infrastructura VPN acum, nu după un incident. Riscul nu este ipotetic, iar cronologia raportată aici, cu accesul inițial precedând cu săptămâni lansarea ransomware-ului, arată cât de multe daune se pot acumula în intervalul dintre compromitere și detectare.

Implicațiile mai largi asupra confidențialității ale unor astfel de incidente se leagă și de modul în care organizațiile gestionează datele sensibile în general. Așa cum este detaliat într-un raport recent GAO privind riscurile de confidențialitate legate de AI, sistemele și instrumentele pe care organizațiile se bazează pentru a procesa datele personale și financiare se extind în moduri care adesea depășesc controalele de securitate menite să le protejeze. Protocoalele VPN vechi sunt doar o parte dintr-un tipar mult mai amplu de infrastructură care rămâne în urma riscurilor.

Recomandări practice

Pentru persoane fizice: activați autentificarea multi-factor pentru toate conturile financiare, monitorizați extrasele de cont în mod regulat și tratați notificările neașteptate ale contului ca pe un semnal pentru a verifica activitatea direct la instituția dumneavoastră, mai degrabă decât să faceți clic pe linkuri încorporate.

Pentru organizații: inventariați și retrageți protocoalele VPN învechite, impuneți standarde moderne de autentificare pentru toate punctele de acces la distanță și presupuneți că orice conexiune de rețea între compania-mamă și filială este la fel de sigură ca veriga cea mai slabă. Campaniile de ransomware, precum cea care a afectat River Bank & Trust, demonstrează că punctul de intrare este rareori exotic. De obicei, este infrastructura pe care toată lumea a uitat să o actualizeze.