Кампания по вымогательству данных через атаку на цепочку поставок не обязательно должна затрагивать ваше устройство, чтобы подвергнуть риску вашу информацию. Ей достаточно скомпрометировать инструмент, которому ваш поставщик уже доверяет. Именно такая картина вырисовывается в деле TeamPCP, в рамках которого власти США объявили об обвинении и аресте в Австралии в августе.

Доступных деталей немного, поэтому в этом посте мы придерживаемся того, о чём сообщалось. Источник — Virtual Routes — описывает, как ФБР прямо отмечает, что в некоторых из этих случаев речь идёт о краже данных и вымогательстве без шифрования программ-вымогателей, и указывает на записи TeamPCP как на ещё один путь к вымогательству.

Как TeamPCP превратила доверенное программное обеспечение в канал кражи данных

Согласно сообщениям, в июльском advisory описывались компрометации доверенных программных инструментов и кража конфиденциальной информации. Эту схему стоит понять, потому что она отличается от классической истории с программами-вымогателями. Здесь нет заблокированного экрана и нет зашифрованных файлов. Вместо этого злоумышленники компрометируют программное обеспечение, на которое организации уже полагаются, используют этот доступ для кражи данных, а затем требуют оплату.

В августе власти США объявили об обвинении и аресте в Австралии. В обвинениях описывается скомпрометированное программное обеспечение, позволившее красть данные у нижестоящих клиентов, после чего следовали требования выкупа. Проще говоря, жертвами были не только компания, чей инструмент был скомпрометирован, но и клиенты, которые им пользовались.

Именно это делает подобную кампанию по вымогательству данных через атаку на цепочку поставок эффективной для преступников. Одна точка компрометации может открыть дверь сразу ко многим организациям, и каждую из них затем можно давить отдельно.

Что обвинение и австралийский арест меняют, а что нет

Обвинение и арест — это значимые шаги. Они показывают, что трансграничное сотрудничество властей США и Австралии может давать результаты, и посылают сигнал другим, кто проворачивает похожие схемы.

Но на данном этапе это лишь обвинения, и заголовок исходной статьи обозначает более масштабную проблему: путь к привлечению кибервымогателей к ответственности долог. Судебные дела требуют времени, тогда как кража данных происходит быстро. Как только информация похищена, арест не гарантирует, что её удастся вернуть или что копии не продолжают ходить по рукам.

Есть и более широкий момент. Правоприменение обычно следует за ущербом, а не предотвращает его. Читателям следует воспринимать аресты как хорошую новость для сдерживания, а не как повод ослабить собственные меры защиты.

Почему риск несут нижестоящие клиенты

Нижестоящие клиенты часто оказываются наименее заметной стороной в таких инцидентах. Они могут не знать, какими инструментами пользуются их поставщики, какой доступ есть у этих инструментов и сколько их данных хранится в сторонних системах. Когда доверенный инструмент скомпрометирован, утечка может включать всё, что поставщик или его клиенты там хранили.

Это может включать и обычную персональную информацию. Связанные материалы показывают, как breaches, движимые вымогательством, отражаются на отдельных людях. Отчёты об утечках Novo Nordisk и OnePoint, раскрывших 800 тыс. файлов пациентов показывают, насколько уязвимыми могут быть данные о здоровье, а недавнее заявление о 2–3 ТБ данных о сотрудниках ФБР демонстрирует, что даже организации с сильной репутацией в сфере безопасности сталкиваются с давлением вымогателей.

Общая нить в том, что люди, чьи данные украли, редко имели возможность повлиять на решения по безопасности, которые привели к их утечке.

Что это значит для вас

Вы не можете проверить каждого поставщика, который хранит ваши данные, и не можете помешать компрометации поставщика. Что вы можете контролировать — это сколько там есть, что украсть, и какой ущерб могут нанести украденные данные.

Чем меньше вы делитесь, тем меньше группа вымогателей может использовать. А поскольку вымогательство опирается на рычаг давления, украденные данные часто монетизируются несколькими способами. Анализ предполагаемой утечки от группы вымогателей, рассмотренный в нашем материале о Chainalysis, связывающей криптокошельки с выплатами выкупа, даёт представление о том, как работают эти платёжные потоки.

Практические способы ограничить свою подверженность риску

  • Делитесь с поставщиками меньшим. Предоставляйте только ту информацию, которая действительно нужна сервису. Пропускайте необязательные поля и удаляйте аккаунты, которыми больше не пользуетесь.
  • Включите многофакторную аутентификацию. Если учётные данные утекут в результате breach, MFA делает их использование гораздо сложнее. По возможности предпочитайте приложения или аппаратные методы, а не SMS.
  • Используйте уникальные пароли. Менеджер паролей делает это практичным, чтобы одна утечка не открывала доступ к другим аккаунтам.
  • Читайте уведомления об утечках. Не игнорируйте письма или бумажные сообщения об инцидентах в компаниях, с которыми вы имеете дело. Они часто содержат шаги и сроки, например предложения по мониторингу кредитной истории.
  • Относитесь скептически к сообщениям о вымогательстве. Если кто-то связывается с вами, утверждая, что у него есть ваши данные, проверяйте через официальные каналы, прежде чем отвечать или платить.
  • Следите за своими счетами. Проверяйте финансовые выписки и рассмотрите заморозку кредитной истории, если были раскрыты чувствительные идентификаторы.

Главное

Дело TeamPCP напоминает, что кампания по вымогательству данных через атаку на цепочку поставок может добраться до обычных клиентов через инструменты, которые они никогда не выбирали. Августовское обвинение и австралийский арест обнадёживают, однако ответственность наступает медленнее, чем вред. Ограничивайте то, что передаёте, включайте MFA и обращайте внимание на уведомления об утечках. Подробнее о том, как используются украденные данные, см. в нашем еженедельном дайджесте об утечке McKesson и деле о программе-вымогателе в Берлине.