En datautpressningskampanj via leveranskedjeattacker behöver inte röra din enhet för att sätta din information i fara. Den behöver bara kompromettera ett verktyg som din leverantör redan litar på. Det är bilden som växer fram ur TeamPCP-fallet, där amerikanska myndigheter i augusti tillkännagav ett åtal och ett gripande i Australien.

De detaljer som finns tillgängliga är begränsade, så det här inlägget håller sig till det som har rapporterats. Källbevakningen, från Virtual Routes, beskriver hur FBI uttryckligen noterar att vissa av dessa fall involverar datastöld och utpressning utan ransomware-kryptering, och pekar på TeamPCP-posterna som ännu en väg till utpressning.

Hur TeamPCP förvandlade betrodd programvara till en väg för datastöld

Enligt rapporteringen beskrev en rådgivning från juli komprometteringar av betrodda programverktyg och stöld av känslig information. Mönstret är värt att förstå eftersom det skiljer sig från den klassiska ransomware-berättelsen. Det finns ingen låst skärm och inga krypterade filer. Istället komprometterar angripare programvara som organisationer redan förlitar sig på, använder den åtkomsten för att ta data och kräver sedan betalning.

I augusti tillkännagav amerikanska myndigheter ett åtal och ett gripande i Australien. Anklagelserna beskriver komprometterad programvara som möjliggjorde datastöld från nedströmskunder, följt av lösenskrav. I klartext var offren inte bara företaget vars verktyg komprometterades, utan kunderna som använde det.

Det är vad som gör den här typen av datautpressningskampanj via leveranskedjeattacker effektiv för kriminella. En enda komprometteringspunkt kan öppna dörren till många organisationer samtidigt, och var och en av dem kan sedan pressas separat.

Vad åtalet och gripandet i Australien förändrar och inte förändrar

Ett åtal och ett gripande är betydelsefulla steg. De visar att gränsöverskridande samarbete mellan amerikanska och australiska myndigheter kan ge resultat, och de sänder en signal till andra som driver liknande upplägg.

Men de är anklagelser i detta skede, och källartikelns titel ramar in det större problemet: vägen till att hålla ransomware-kriminella ansvariga är lång. Rättsfall tar tid, medan datastöld sker snabbt. När information väl har tagits garanterar ett gripande inte att den kan återställas eller att kopior inte cirkulerar.

Det finns också en vidare poäng. Rättstillämpning tenderar att följa skadan snarare än att förebygga den. Läsare bör betrakta gripanden som goda nyheter för avskräckning, inte som en anledning att slappna av i sina egna skydd.

Varför nedströmskunder bär risken

Nedströmskunder är ofta den minst synliga parten i dessa incidenter. De kanske inte vet vilka verktyg deras leverantörer använder, vilken åtkomst dessa verktyg har, eller hur mycket av deras data som finns i tredjepartssystem. När ett betrott verktyg komprometteras kan data som läcker ut inkludera vad leverantören eller dess kunder än hade lagrat där.

Det kan inkludera vanlig personlig information. Relaterad bevakning visar hur utpressningsdrivna intrång drabbar individer. Rapporter om Novo Nordisk och OnePoint-intrång som exponerade 800 000 patientfiler illustrerar hur exponerad hälso- och sjukvårdsdata kan vara, och ett nyligen påstående om 2 till 3 TB data om FBI-agenter visar att även organisationer med starkt säkerhetsrykte möter påtryckningar från utpressare.

Den gemensamma nämnaren är att de personer vars data stjäls sällan hade något att säga till om gällande de säkerhetsval som exponerade den.

Vad detta innebär för dig

Du kan inte granska varje leverantör som har din data, och du kan inte hindra en leverantör från att bli komprometterad. Det du kan kontrollera är hur mycket det finns att stjäla och hur mycket skada stulen data kan göra.

Ju mindre du delar, desto mindre kan en utpressningsgrupp använda. Och eftersom utpressning bygger på hävstång monetiseras stulen data ofta på flera sätt. Analys av ett misstänkt läckage från en utpressningsgrupp, som behandlas i vår artikel om Chainalysis kopplar kryptoplånböcker till lösensummor, ger en inblick i hur dessa betalningsflöden fungerar.

Praktiska sätt att begränsa din exponering

  • Dela mindre med leverantörer. Lämna bara den information som en tjänst verkligen behöver. Hoppa över valfria fält och radera konton du inte längre använder.
  • Aktivera multifaktorautentisering. Om inloggningsuppgifter exponeras i ett intrång gör MFA dem mycket svårare att använda. Föredra appbaserade eller hårdvarubaserade metoder framför SMS där det är möjligt.
  • Använd unika lösenord. En lösenordshanterare gör detta praktiskt, så att ett läckage inte låser upp andra konton.
  • Läs intrångsaviseringar. Ignorera inte e-post eller brev om incidenter hos företag du har att göra med. De innehåller ofta steg och tidsfrister, som erbjudanden om kreditbevakning.
  • Var skeptisk till utpressningsmeddelanden. Om någon kontaktar dig och påstår sig ha din data, verifiera via officiella kanaler innan du svarar eller betalar.
  • Övervaka dina konton. Håll koll på kontoutdrag och överväg en kreditspärr om känsliga identifierare har exponerats.

Slutsatsen

TeamPCP-fallet är en påminnelse om att en datautpressningskampanj via leveranskedjeattacker kan nå vanliga kunder genom verktyg de aldrig valde. Åtalet i augusti och gripandet i Australien är uppmuntrande, men ansvarsutkrävandet rör sig långsammare än skadan. Begränsa vad du lämnar ut, aktivera MFA och var uppmärksam på intrångsaviseringar. För mer om hur stulen data används, se vår veckosammanfattning om McKesson-intrånget och ransomware-fallet i Berlin.