Один украденный логин может запустить цепную реакцию
Недавнее исследование Security Boulevard связывает две вещи, которые на первый взгляд не связаны: раскрытие жертвы группой вымогателей и пакет учетных данных, отслеживаемый отдельно исследователями. При сопоставлении этих двух точек данных вырисовывается закономерность, с которой, как говорят команды безопасности, они сталкиваются неоднократно. Кража одного логина, часто не более сложная, чем имя пользователя и пароль, полученные через фишинг или вредоносное ПО, может стать первой костяшкой домино в цепочке, которая заканчивается публикацией данных компании на сайте утечек программ-вымогателей.
Это не новая концепция в кругах кибербезопасности, но то, как исследование ее подает, используя телеметрию из источника отслеживания учетных данных и реальное раскрытие программы-вымогателей, делает хронологию менее абстрактной. Оно показывает, как быстро небольшая, казалось бы, незначительная компрометация может перерасти в полномасштабное вымогательство, которое выставляет конфиденциальные данные в открытый интернет.
Как украденные учетные данные превращаются в инцидент с программой-вымогателем
Описанная в исследовании схема выглядит примерно так: логин крадут, часто через фишинг, инфостилер или повторно использованный пароль, раскрытый в более ранней утечке. Эти учетные данные упаковываются и распространяются, иногда продаются, иногда обмениваются среди киберпреступников, специализирующихся на первоначальном доступе. В конце концов они попадают в руки группы, готовой использовать их для проникновения в сеть. Оттуда злоумышленник перемещается по сети латерально, повышает привилегии и в конечном итоге развертывает программу-вымогатель или outright похищает данные. Когда жертва не платит, а иногда даже когда платит, украденные данные попадают на сайт утечек как доказательство вторжения и давление для переговоров.
Эта прогрессия отражает то, что происходило в других недавних случаях. Заявленная кража данных Hyundai Turkey группой вымогателей CRPx0 является полезным реальным примером конечной точки этой цепочки: группа с двойным вымогательством публикует украденные данные на сайте утечек в даркнете как рычаг давления. Каким бы ни был вектор первоначального доступа в этом конкретном случае, более широкий урок из исследования Security Boulevard остается в силе: сайты утечек — это видимая вершина процесса, который обычно начинается тихо, часто за недели или месяцы до этого, с одного скомпрометированного логина, который никто тогда не заметил.
Почему на эту закономерность стоит обратить внимание, так это разрыв между первоначальной кражей и конечными последствиями. Кража учетных данных редко вызывает немедленное, очевидное взлом. Вместо этого она остается в спящем состоянии, перепродается или проверяется на других системах, прежде чем злоумышленник решит действовать. К тому времени, когда компания видит свое название на сайте утечек, фактическая компрометация могла произойти задолго до этого.
Почему это важно для конфиденциальности, а не только для корпоративной безопасности
Может показаться соблазнительным считать сайты утечек программ-вымогателей проблемой ИТ-отделов и советов директоров, но последствия для конфиденциальности напрямую касаются отдельных лиц. Когда данные компании попадают на сайт утечек, они часто включают учетные данные сотрудников, записи клиентов или личную информацию, захваченную при взломе. Эти данные не остаются изолированными. Они собираются, индексируются и перераспределяются среди других злоумышленников, ищущих свои точки входа, питая тот самый конвейер кражи учетных данных, который запустил весь цикл.
Это часть того, почему гигиена учетных данных важна далеко за пределами защищаемой учетной записи. Пароль, использованный повторно для личной почты и рабочего логина, или учетные данные, сохраненные в браузере без дополнительной защиты, могут стать незамеченной отправной точкой инцидента, который в конечном итоге затронет тысячи людей, которые сами не совершали этой ошибки.
Что это значит для вас
Для обычных пользователей это исследование напоминает, что самое слабое звено в инциденте с программой-вымогателем часто бывает банальным: один украденный пароль. Вы можете никогда не работать в компании, которая в конечном итоге появится на сайте утечек, но если вы использовали повторно пароль, пропустили многофакторную аутентификацию или проигнорировали предупреждение о фишинге, вы можете быть частью цепочки, которая впустит злоумышленника через дверь где-то.
Хорошая новость в том, что решения здесь хорошо известны и не требуют специальных знаний в области безопасности. Использование уникальных паролей для каждой учетной записи, включение многофакторной аутентификации везде, где она предлагается, и отношение с подозрением к неожиданным запросам на вход или электронным письмам о сбросе пароля снижают вероятность того, что ваши учетные данные станут первой костяшкой домино в чьей-то истории с программой-вымогателем.
Практические выводы
- Используйте менеджер паролей для генерации и хранения уникальных паролей для каждой учетной записи, устраняя повторное использование учетных данных, которое питает многие из этих инцидентов.
- Включите многофакторную аутентификацию для электронной почты, банковских и рабочих учетных записей, поскольку она блокирует большинство атак, полагающихся исключительно на украденный пароль.
- Относитесь с подозрением к неожиданным уведомлениям о входе или сбросе пароля, которые могут указывать на то, что ваши учетные данные уже циркулируют.
- Если вас уведомили о взломе используемого вами сервиса, немедленно измените этот пароль и проверьте, не использовали ли вы его повторно где-либо еще.
Путь от украденного логина до сайта утечек программ-вымогателей редко бывает мгновенным, а значит, обычно есть окно, чтобы поймать компрометацию до того, как она разрастется. Внимание к базовой гигиене учетных данных — один из самых простых способов убедиться, что вы не являетесь тихим первым шагом в чьей-то гораздо большей проблеме.
