O campanie de extorcare a datelor prin atac asupra lanțului de aprovizionare nu trebuie să atingă dispozitivul tău pentru a-ți pune informațiile în pericol. Trebuie doar să compromită un instrument în care furnizorul tău are deja încredere. Aceasta este imaginea care reiese din cazul TeamPCP, în care autoritățile americane au anunțat un act de acuzare și o arestare în Australia în august.

Detaliile disponibile sunt limitate, așa că această postare se limitează la ceea ce a fost raportat. Acoperirea sursei, de la Virtual Routes, descrie modul în care FBI notează explicit că unele dintre aceste cazuri implică furt de date și extorcare fără criptare ransomware și indică intrările TeamPCP ca o altă cale către extorcare.

Cum a transformat TeamPCP software-ul de încredere într-o cale de furt de date

Conform raportării, un aviz din iulie descria compromiterea unor instrumente software de încredere și furtul de informații sensibile. Tiparul merită înțeles deoarece diferă de povestea clasică a ransomware-ului. Nu există ecran blocat și nici fișiere criptate. În schimb, atacatorii compromit software pe care organizațiile se bazează deja, folosesc acel acces pentru a lua date și apoi cer plată.

În august, autoritățile americane au anunțat un act de acuzare și o arestare în Australia. Acuzațiile descriu software compromis care permite furtul de date de la clienții din aval, urmat de cereri de răscumpărare. Pe scurt, victimele nu au fost doar compania al cărei instrument a fost compromis, ci și clienții care l-au folosit.

Asta face ca acest tip de campanie de extorcare a datelor prin atac asupra lanțului de aprovizionare să fie eficientă pentru criminali. Un singur punct de compromitere poate deschide ușa către multe organizații simultan, iar fiecare dintre ele poate fi apoi presată separat.

Ce schimbă și ce nu schimbă actul de acuzare și arestarea din Australia

Un act de acuzare și o arestare sunt pași semnificativi. Ele arată că cooperarea transfrontalieră dintre autoritățile americane și australiene poate produce rezultate și trimit un semnal altora care desfășoară scheme similare.

Dar sunt acuzații în acest stadiu, iar titlul articolului sursă formulează problema mai amplă: drumul către tragerea la răspundere a criminalilor ransomware este lung. Cazurile juridice durează, în timp ce furtul de date se produce rapid. Odată ce informațiile au fost luate, o arestare nu garantează că pot fi recuperate sau că nu circulă copii.

Există și un aspect mai larg. Aplicarea legii tinde să urmeze prejudiciul, nu să îl prevină. Cititorii ar trebui să trateze arestările ca pe o veste bună pentru descurajare, nu ca pe un motiv de a-și relaxa propriile protecții.

De ce clienții din aval suportă riscul

Clienții din aval sunt adesea partea cea mai puțin vizibilă în aceste incidente. S-ar putea să nu știe ce instrumente folosesc furnizorii lor, ce acces au acele instrumente sau cât de multe dintre datele lor se află în sisteme terțe. Când un instrument de încredere este compromis, datele care se scurg pot include tot ce furnizorul sau clienții săi au stocat acolo.

Aceasta poate include informații personale obișnuite. Acoperirea relatedă arată cum se desfășoară breșele determinate de extorcare pentru indivizi. Rapoartele despre breșele Novo Nordisk și OnePoint care expun 800K dosare de pacienți ilustrează cât de expuse pot fi datele medicale, iar o recentă revendicare de 2 până la 3 TB de date despre agenți FBI arată că până și organizațiile cu reputație solidă în securitate se confruntă cu presiunea extorcionarilor.

Numitorul comun este că persoanele ale căror date sunt furate rareori au avut un cuvânt de spus în alegerile de securitate care le-au expus.

Ce înseamnă asta pentru tine

Nu poți audita fiecare furnizor care deține datele tale și nu poți împiedica compromiterea unui furnizor. Ce poți controla este cât de mult există de furat și cât de mult rău pot face datele furate.

Cu cât împărtășești mai puțin, cu atât o echipă de extorcare poate folosi mai puțin. Și pentru că extorcarea se bazează pe influență, datele furate sunt adesea valorificate în mai multe moduri. Analiza unei presupuse scurgeri de la un grup de extorcare, acoperită în articolul nostru despre Chainalysis care leagă portofelele crypto de plățile de răscumpărare, oferă o perspectivă asupra modului în care funcționează aceste fluxuri de plată.

Metode practice de a-ți limita expunerea

  • Împărtășește mai puțin cu furnizorii. Oferă doar informațiile de care un serviciu are cu adevărat nevoie. Sari peste câmpurile opționale și șterge conturile pe care nu le mai folosești.
  • Activează autentificarea multi-factor. Dacă datele de autentificare sunt expuse într-o breșă, MFA le face mult mai greu de utilizat. Preferă metodele bazate pe aplicații sau hardware în locul SMS-ului, acolo unde este posibil.
  • Folosește parole unice. Un manager de parole face acest lucru practic, astfel încât o scurgere să nu deblocheze alte conturi.
  • Citește notificările de breșă. Nu ignora e-mailurile sau scrisorile despre incidente la companiile cu care ai de-a face. Ele includ adesea pași și termene limită, cum ar fi oferte de monitorizare a creditului.
  • Fii sceptic față de mesajele de extorcare. Dacă cineva te contactează susținând că deține datele tale, verifică prin canale oficiale înainte de a răspunde sau de a plăti.
  • Monitorizează-ți conturile. Urmărește extrasele financiare și ia în considerare înghețarea creditului dacă au fost expuse identificatori sensibili.

Concluzia

Cazul TeamPCP este o reamintire că o campanie de extorcare a datelor prin atac asupra lanțului de aprovizionare poate ajunge la clienți obișnuiți prin intermediul unor instrumente pe care nu le-au ales niciodată. Actul de acuzare din august și arestarea din Australia sunt încurajatoare, totuși tragerea la răspundere se mișcă mai lent decât prejudiciul. Limitează ce predai, activează MFA și fii atent la notificările de breșă. Pentru mai multe despre cum sunt folosite datele furate, vezi rezumatul nostru săptămânal despre breșa McKesson și cazul ransomware din Berlin.