Ett insiderhot med en tvist

De flesta rubriker om ransomware handlar om phishingmejl, exponerade fjärrskrivbordsportar eller opatchad programvara. Komplotten mot Tesla var annorlunda. Enligt rapporteringen om fallet kontaktade en man vid namn Kriuchkov en anställd vid Teslas Gigafactory i Nevada med ett erbjudande: hjälp till att plantera skräddarsydd skadlig kod i företagets interna nätverk, så skulle hans medbrottslingar ta över därifrån, exfiltrera känslig data och därefter kräva en lösensumma under hot om offentliggörande.

Detta är ett typexempel på dubbel utpressning med ransomware, den sort där angripare stjäl data innan de krypterar eller hotar att läcka den, vilket ger offren två skäl att betala i stället för ett. Det som gjorde detta fall ovanligt var leveransmetoden. Istället för skadlig kod skickad via en skadlig bilaga försökte angriparna rekrytera en människa som redan hade legitim tillgång till nätverket. Rapporter tyder på att den anställde först erbjöds 500 000 dollar för att delta, och summan höjdes senare till 1 miljon dollar – en siffra tillräckligt hög för att signalera hur stort värde angriparna satte på Teslas interna data.

Varför den anställde rapporterade istället för att ta pengarna

Komplotten kollapsade eftersom den utvalda anställde valde att larma Tesla och polisen istället för att acceptera mutan. Det beslutet, mer än någon brandvägg eller antivirusprodukt, är vad som stoppade attacken helt. Så snart anmälan gjordes kopplades FBI in och planen avbröts innan någon skadlig kod nådde Teslas system.

Det är värt att stanna upp en stund vid detta. Varje teknisk försvarsmekanism ett företag bygger – nätverkssegmentering, ändpunktsdetektion, krypterade säkerhetskopior – finns till för att stoppa angripare som redan är innanför perimetern eller försöker ta sig in utifrån. Inget av dessa verktyg spelar någon större roll om en anställd med giltiga inloggningsuppgifter frivilligt går med på att öppna dörren. Det enda verkliga försvaret mot det scenariot är en arbetsplatskultur där anställda känner sig trygga, och till och med motiverade, att omedelbart rapportera misstänkta kontakter.

Detta är också en påminnelse om att leverantörskedjor och partnernätverk vidgar attackytan långt bortom ett företags egna anställda. Tata Electronics-intrånget som exponerade filer från Apple och Tesla på den mörka webben visar ett relaterat mönster: känslig företagsdata behöver inte stjälas direkt från målbolaget för att bli komprometterad. En leverantör, entreprenör eller underleverantör med svagare säkerhetskontroller kan bli den minsta motståndets väg för angripare som inte kan rekrytera en insider direkt.

Affärsnyttan med medvetenhet om insiderhot

Företag lägger enorma budgetar på perimetersäkerhet medan program mot insiderhot ofta får mycket mindre uppmärksamhet. Ändå kräver rekryteringsförsök som det mot Tesla inga tekniska exploits alls. De förlitar sig helt på mänskligt beslutsfattande under ekonomisk press eller frestelse.

Några åtgärder gör organisationer mer motståndskraftiga mot denna typ av närmanden:

  • Tydliga, välkända rapporteringskanaler så att anställda vet exakt vem de ska kontakta om någon erbjuder dem pengar för åtkomst, inloggningsuppgifter eller hjälp att kringgå säkerhetskontroller.
  • Regelbunden utbildning som specifikt täcker social manipulering och mutförsök, inte bara phishingmejl.
  • En kultur där rapportering av en misstänkt kontakt behandlas som en positiv handling, inte ett erkännande av fel, så att anställda inte är rädda för att träda fram.
  • Principen om minsta behörighet som begränsar hur stor skada ett enda komprometterat konto, mänskligt eller tekniskt, faktiskt kan åstadkomma.

Ingen av dessa åtgärder är kostsam jämfört med den potentiella kostnaden för en framgångsrik dubbel utpressningsattack, vilket kan inkludera lösenbetalningar, regulatoriska böter, rättsliga risker och bestående ryktesskador.

Vad detta innebär för dig

Oavsett om du driver ett litet företag eller arbetar inom IT för ett stort företag är Tesla-fallet ett användbart stresstest för din egen säkerhetsstatus. Fråga dig om dina anställda skulle veta vad de ska göra om någon erbjöd dem kontanter för att installera ett USB-minne, dela ett lösenord eller se åt andra hållet medan en "entreprenör" fick tillgång till ett begränsat system. Om svaret är oklart är det en lucka värd att täppa till innan en angripare hittar den.

Det understryker också varför risken för dataexponering inte är begränsad till ditt eget nätverk. Som Tata Electronics-incidenten visade kan känsliga filer kopplade till stora företag dyka upp via tredjepartsintrång helt utanför deras direkta kontroll. Att granska leverantörers säkerhetsrutiner är inte längre frivilligt för organisationer som hanterar värdefull immateriell egendom eller kunddata.

Handlingsbara insikter

  • Upprätta en enkel, anonym rapporteringsprocess för anställda som kontaktas med mut- eller insiderrekryteringserbjudanden.
  • Utbilda personalen i att känna igen sociala manipulationstaktiker som riktar sig mot människor, inte bara system.
  • Tillämpa minsta behörighet så att ingen enskild anställd på egen hand kan kompromettera kritisk infrastruktur.
  • Granska leverantörers och underleverantörers säkerhet, eftersom tredje parter kan läcka känslig data även när ditt eget försvar håller.

Tesla-fallet slutade väl eftersom en anställd gjorde rätt val. Att bygga en arbetsplats där det beslutet är enkelt, förväntat och belönat är ett av de mest kostnadseffektiva ransomware-försvaren någon organisation kan införa.