Что произошло в ходе атаки MetaEncryptor на ST Engineering

Группа вымогателей, называющая себя MetaEncryptor, заявила об атаке на ST Engineering — сингапурскую инженерно-технологическую компанию, связанную с оборонным и аэрокосмическим секторами. Согласно сообщениям DeXpose, группа угрожает раскрыть конфиденциальные данные компании, если её требования не будут выполнены. Как это обычно бывает с подобными заявлениями, полные подробности о том, какие данные были получены, как злоумышленники получили доступ и каков масштаб утечки, не были независимо подтверждены.

Что ясно — это закономерность: оператор программы-вымогателя выявляет организацию с высокой ценностью, шифрует или похищает данные, а затем использует угрозу публичного раскрытия как рычаг давления. Эта модель двойного вымогательства стала стандартной практикой среди групп вымогателей за последние несколько лет, и именно поэтому подобные инциденты заслуживают внимания ещё до того, как станут известны все технические детали.

Почему атаки программ-вымогателей на критическую инфраструктуру продолжаются

Атака программы-вымогателя на поставщиков критической инфраструктуры, таких как ST Engineering, — не изолированное событие; это часть более широкой тенденции. Компании, которые строят или обслуживают оборонные системы, транспортные сети, энергосети и другие важнейшие услуги, являются привлекательными целями по нескольким причинам.

Во-первых, такие организации часто хранят данные, ценность которых выходит далеко за рамки обычного выкупа: инженерные чертежи, государственные контракты, данные о цепочках поставок и кадровые записи. Во-вторых, операционные ставки выше. Подрядчик, поддерживающий оборонные или инфраструктурные проекты, не может позволить себе длительный простой, что усиливает давление в пользу быстрой оплаты, а не восстановления из резервных копий. В-третьих, крупные инженерные и оборонные конгломераты, как правило, имеют разветвлённые ИТ-среды, дочерние компании и сторонних поставщиков, что расширяет потенциальную поверхность атаки.

Группы вымогателей знают об этом. Нацеливание на поставщика, связанного с критической инфраструктурой, часто означает более крупный выкуп и более громкий заголовок, что отвечает интересам злоумышленника. Именно поэтому агентства безопасности по всему миру неоднократно указывали операторам критической инфраструктуры на необходимость усиленной защиты — не потому, что они уникально беспечны, а потому, что они уникально подвержены последствиям, выходящим за рамки баланса одной компании.

Что VPN может (и не может) сделать против программ-вымогателей

Когда распространяются новости о подобном взломе, люди часто спрашивают, предотвратил бы его VPN. Честный ответ — нет, по крайней мере, не сам по себе. VPN шифрует ваш интернет-трафик и может скрыть ваш IP-адрес, что полезно для защиты конфиденциальности в публичных сетях или предотвращения случайного наблюдения. Но атаки программ-вымогателей на такие организации, как ST Engineering, обычно включают гораздо больше, чем перехваченный трафик: они часто возникают из-за фишинговых писем, украденных учётных данных, необновлённого программного обеспечения или скомпрометированного доступа третьих сторон.

Как объясняется в статье что на самом деле защищает VPN и от чего он не защищает, VPN не останавливает выполнение вредоносного ПО после его попадания на устройство, не предотвращает переход сотрудника по вредоносной ссылке и не защищает данные, уже похищенные злоумышленниками, получившими доступ другими способами. Взломы корпоративного уровня, подобные этому, требуют защиты корпоративного уровня: обнаружение конечных точек, сегментация сети, обучение сотрудников и строгое управление исправлениями. VPN — это одна маленькая часть гораздо более крупной головоломки безопасности, а не её замена.

Что это значит для вас: снижение рисков в чувствительных секторах

Если вы работаете в оборонной, инженерной, энергетической сфере или в любом секторе, связанном с критической инфраструктурой, этот инцидент напоминает, что атаки программ-вымогателей на поставщиков критической инфраструктуры — это постоянный и растущий риск, а не редкая аномалия. Организации, наиболее вероятно становящиеся целями, — это именно те, кому есть что терять в случае утечки данных или остановки операций.

Для профессионалов в этих отраслях практический ответ — не паника, а многоуровневая безопасность. Это означает отношение к VPN как к одному из многих инструментов, а не как к полному щиту. Это означает особую осторожность со ссылками и вложениями в электронных письмах, поскольку фишинг остаётся одной из наиболее распространённых точек входа для программ-вымогателей. Это означает своевременное обновление программного обеспечения и систем, поскольку необновлённые уязвимости регулярно эксплуатируются операторами вымогателей. И это означает понимание того, что если ваш работодатель обрабатывает конфиденциальные контракты или данные, связанные с инфраструктурой, уровень безопасности каждого поставщика и субподрядчика в этой цепочке имеет значение, а не только ваш собственный.

Ключевые выводы

  • Атаки программ-вымогателей на поставщиков критической инфраструктуры становятся всё более распространёнными, поскольку ставки и выкупы для злоумышленников выше.
  • VPN защищает ваше соединение, а не конечные точки, учётные данные или серверные системы вашей организации.
  • Устойчивость к фишингу, установка исправлений и контроль доступа предотвращают программы-вымогатели гораздо эффективнее, чем любой отдельный инструмент конфиденциальности.
  • Если вы работаете в чувствительном секторе, относитесь к безопасности как к многоуровневой практике и будьте в курсе того, как такие инструменты, как VPN, вписываются в эту картину, а не заменяют её.

По мере того как появляются подробности о заявлении MetaEncryptor относительно ST Engineering, более широкий урок остаётся в силе независимо от исхода: поставщикам критической инфраструктуры нужны стратегии обороны, рассчитанные на корпоративные риски, а отдельные люди должны точно понимать, что их собственные инструменты конфиденциальности могут и не могут сделать.