O amenințare insider cu o întorsătură

Majoritatea titlurilor despre ransomware implică emailuri de phishing, porturi de desktop la distanță expuse sau software neactualizat. Complotul împotriva Tesla a fost diferit. Potrivit relatărilor din presă, un bărbat pe nume Kriuchkov a abordat un angajat al Gigafactory Nevada Tesla cu o propunere: să ajute la introducerea unui malware personalizat în rețeaua internă a companiei, iar asociații lui ar prelua de acolo, exfiltrând date sensibile și apoi cerând o răscumpărare sub amenințarea divulgării publice.

Aceasta este o schemă clasică de ransomware cu dublă extorcare, tipul în care atacatorii fură datele înainte de a le cripta sau de a amenința cu divulgarea lor, oferind victimelor două motive să plătească în loc de unul. Ceea ce a făcut acest caz neobișnuit a fost metoda de livrare. În loc de malware trimis printr-un atașament malițios, atacatorii au încercat să recruteze o ființă umană care avea deja acces legitim la rețea. Rapoartele indică faptul că angajatului i s-au oferit inițial 500.000 de dolari pentru participare, sumă ridicată ulterior la 1 milion de dolari, o cifră suficient de mare pentru a semnala câtă valoare acordau atacatorii datelor interne ale Tesla.

De ce angajatul a raportat în loc să ia banii

Schema a eșuat deoarece angajatul vizat a ales să alerteze Tesla și autoritățile de aplicare a legii, în loc să accepte mita. Această decizie, mai mult decât orice firewall sau produs antivirus, este ceea ce a oprit brusc atacul. Odată notificat, FBI-ul s-a implicat, iar complotul a fost dejucat înainte ca vreun malware să atingă sistemele Tesla.

Merită să reflectăm un moment asupra acestui lucru. Fiecare apărare tehnică pe care o construiește o companie, segmentarea rețelei, detecția la endpoint, backup-urile criptate, există pentru a opri atacatorii care sunt deja în perimetru sau încearcă să pătrundă din exterior. Niciunul dintre aceste instrumente nu contează prea mult dacă un angajat cu acreditări valide acceptă să deschidă ușa de bunăvoie. Singura apărare reală împotriva acestui scenariu este o cultură organizațională în care angajații se simt în siguranță, și chiar stimulați, să raporteze imediat abordările suspecte.

Acesta este, de asemenea, un memento că lanțurile de aprovizionare și ecosistemele de parteneri extind suprafața de atac mult dincolo de proprii angajați ai unei companii. Breșa de securitate de la Tata Electronics care a expus fișiere Apple și Tesla pe dark web arată un tipar asemănător: datele corporative sensibile nu trebuie să fie furate direct de la compania țintă pentru a ajunge compromise. Un furnizor, contractor sau prestator cu controale de securitate mai slabe poate deveni calea cu cea mai mică rezistență pentru atacatorii care nu pot recruta direct un insider.

Motivul economic pentru conștientizarea amenințărilor insider

Companiile cheltuiesc bugete enorme pentru securitatea perimetrală, în timp ce programele de amenințări insider beneficiază adesea de mult mai puțină atenție. Totuși, tentativele de recrutare a insiderilor, cum a fost cea împotriva Tesla, nu necesită deloc exploatări tehnice. Ele se bazează în întregime pe luarea deciziilor umane sub presiune financiară sau tentație.

Câteva practici fac organizațiile mai reziliente la acest tip de abordare:

  • Canale de raportare clare și bine mediatizate, astfel încât angajații să știe exact pe cine să contacteze dacă cineva le oferă bani pentru acces, acreditări sau ajutor pentru a ocoli controalele de securitate.
  • Training regulat care acoperă în mod specific ingineria socială și tentativele de mituire, nu doar emailurile de phishing.
  • O cultură în care raportarea unui contact suspect este tratată ca un act pozitiv, nu ca o recunoaștere a unei greșeli, astfel încât angajații să nu se teamă să iasă în față.
  • Politici de acces bazate pe principiul celui mai mic privilegiu, care limitează cât de multe daune poate produce efectiv un singur cont compromis, uman sau tehnic.

Niciuna dintre aceste măsuri nu este costisitoare în comparație cu costul potențial al unui atac de dublă extorcare reușit, care poate include plăți de răscumpărare, amenzi de reglementare, expunere juridică și daune reputaționale de durată.

Ce înseamnă acest lucru pentru tine

Fie că conduci o mică afacere sau lucrezi în IT pentru o mare întreprindere, cazul Tesla este un test de stres util pentru propria postură de securitate. Întreabă-te dacă angajații tăi ar ști ce să facă dacă cineva le-ar oferi bani pentru a instala un stick USB, a partaja o parolă sau a închide ochii în timp ce un „contractor” accesează un sistem restricționat. Dacă răspunsul nu este clar, acesta este un gol care merită închis înainte ca un atacator să-l descopere.

De asemenea, întărește ideea că riscul expunerii datelor nu se limitează la propria rețea. După cum a demonstrat incidentul Tata Electronics, fișierele sensibile legate de companii importante pot apărea prin breșe ale unor terți, complet în afara controlului lor direct. Verificarea practicilor de securitate ale furnizorilor nu mai este opțională pentru organizațiile care gestionează proprietate intelectuală valoroasă sau date ale clienților.

Concluzii practice

  • Stabiliți un proces simplu și anonim de raportare pentru angajații abordați cu oferte de mită sau recrutare a insiderilor.
  • Instruiți personalul să recunoască tacticile de inginerie socială care vizează oamenii, nu doar sistemele.
  • Aplicați principiul celui mai mic privilegiu, astfel încât niciun angajat să nu poată compromite de unul singur infrastructura critică.
  • Auditați securitatea furnizorilor și a lanțului de aprovizionare, deoarece terții pot divulga date sensibile chiar și atunci când propriile apărări rezistă.

Cazul Tesla s-a încheiat bine pentru că un angajat a luat decizia corectă. Construirea unui loc de muncă în care această decizie este ușoară, așteptată și recompensată este una dintre cele mai eficiente apărări antiransomware pe care orice organizație le poate implementa.