เกิดอะไรขึ้นในการโจมตีด้วยแรนซัมแวร์ต่อ Fairlife/Coca-Cola

การรั่วไหลข้อมูลจากแรนซัมแวร์ Fairlife ได้เปลี่ยนจากภัยคุกคามสู่ความจริงที่ยืนยันแล้ว Fairlife บริษัทย่อยด้านผลิตภัณฑ์นมของ Coca-Cola ถูกโจมตีจนต้องระงับการผลิตในสหรัฐฯ ชั่วคราว แก๊งแรนซัมแวร์ Anubis ออกมาอ้างความรับผิดชอบ เพิ่ม Fairlife ลงในเว็บไซต์รั่วไหลข้อมูลบนดาร์กเว็บ และขู่ว่าจะเผยแพร่ไฟล์ที่ขโมยมา หากไม่มีการจ่ายค่าไถ่

Coca-Cola ยืนยันการรั่วไหลและปฏิเสธที่จะจ่ายเงิน เมื่อเส้นตายวันที่ 27 กรกฎาคมที่ Anubis กำหนดไว้ผ่านพ้นไปโดยไม่มีการจ่ายเงิน แก๊งดังกล่าวก็ทำตามคำขู่และเผยแพร่ข้อมูลที่ขโมยมาประมาณ 1 เทราไบต์ มีรายงานว่าการดำเนินงานและความปลอดภัยของผลิตภัณฑ์ในแคนาดาไม่ได้รับผลกระทบ แต่การหยุดการผลิตในสหรัฐฯ และขนาดของการเปิดเผยข้อมูล ทำให้เหตุการณ์นี้เป็นหนึ่งในกรณีแรนซัมแวร์ที่โดดเด่นที่สุดซึ่งพุ่งเป้าไปที่ห่วงโซ่อุปทานของแบรนด์สินค้าอุปโภครายใหญ่ในปีนี้

CitrixBleed 2 ทำให้ Anubis ข้ามการยืนยันตัวตนหลายปัจจัยได้อย่างไรโดยไม่ต้องใช้รหัสผ่าน

สิ่งที่ทำให้เหตุการณ์นี้แตกต่างไปจากกรณีแรนซัมแวร์ที่เกิดจากฟิชชิงทั่วไปคือจุดเริ่มต้นในการเจาะระบบ ผู้โจมตีรายงานว่าใช้ประโยชน์จาก CitrixBleed 2 ซึ่งเป็นช่องโหว่ในอุปกรณ์เครือข่ายของ Citrix เพื่อเข้าถึงระบบโดยไม่ต้องใช้รหัสผ่านและไม่ไปกระตุ้นระบบยืนยันตัวตนหลายปัจจัย นี่คือรายละเอียดที่ควรค่าแก่การพิจารณา: MFA มักถูกมองว่าเป็นมาตรการป้องกันที่แทบทำลายไม่ได้ แต่ข้อบกพร่องในอุปกรณ์พื้นฐานสามารถทำให้ผู้โจมตีจี้เซสชันที่ผ่านการยืนยันตัวตนแล้วและเดินตรงผ่านมันไปได้

นี่คือจุดอ่อนเชิงโครงสร้าง ไม่ใช่ความผิดพลาดของผู้ใช้ ไม่มีพนักงานคนใดคลิกลิงก์ที่ไม่ดีหรือใช้รหัสผ่านที่เดาง่ายซ้ำอีก ช่องโหว่นี้อยู่ในโครงสร้างพื้นฐานที่องค์กรต่างๆ ไว้วางใจให้เป็นตัวกลางในการเข้าถึงระยะไกลที่ปลอดภัย หากต้องการเจาะลึกว่าปฏิบัติการแรนซัมแวร์มักดำเนินไปอย่างไรเมื่อผู้โจมตีเข้าสู่ระบบได้แล้ว ตั้งแต่การเข้าถึงในขั้นต้นจนถึงการเข้ารหัสและการรีดไถ รายการอภิธานศัพท์ ransomware จะอธิบายกลไกที่แก๊งอย่าง Anubis ใช้

รูปแบบที่ช่องโหว่เพียงจุดเดียวที่ไม่ได้ถูกแพตช์ลุกลามไปสู่การเปิดเผยข้อมูลจำนวนมากไม่ใช่เรื่องที่เกิดขึ้นกับ Fairlife เพียงรายเดียว การรั่วไหลของข้อมูล Nova Scotia Power ทำให้ข้อมูลของลูกค้าประมาณ 915,000 รายถูกเปิดเผย หลังจากช่วงเวลาที่ถูกบุกรุกเพียงครั้งเดียวเปิดช่องให้ผู้โจมตี ในทำนองเดียวกัน การรั่วไหลของข้อมูล Oracle HR ของ Tulane University มีสาเหตุมาจากช่องโหว่ในแพลตฟอร์ม HR ไม่ใช่แคมเปญวิศวกรรมสังคมที่เจาะจงเป้าหมาย ในแต่ละกรณี จุดที่เกิดความล้มเหลวทางเทคนิค ไม่ใช่ทางเลือกของปัจเจกบุคคลของเหยื่อ เป็นตัวกำหนดผลลัพธ์

ทำไม Coca-Cola ถึงปฏิเสธที่จะจ่ายค่าไถ่และข้อมูลที่รั่วไหลประกอบด้วยอะไรบ้าง

การตัดสินใจของ Coca-Cola ที่จะปฏิเสธข้อเรียกร้องค่าไถ่สะท้อนถึงจุดยืนที่ผู้เชี่ยวชาญด้านความปลอดภัยและหน่วยงานบังคับใช้กฎหมายสนับสนุนมานาน: การจ่ายเงินไม่ได้รับประกันว่าข้อมูลจะถูกลบ และยังอาจสนับสนุนปฏิบัติการทางอาชญากรรมต่อไปได้ Anubis ตอบโต้ด้วยการเผยแพร่ชุดข้อมูลเต็มจำนวน 1 TB หลังจากพ้นเส้นตาย ซึ่งเป็นไปตามรูปแบบการรีดไถสองทางที่กลายเป็นมาตรฐานในหมู่แก๊งแรนซัมแวร์ นั่นคือเข้ารหัสหรือขโมยข้อมูลก่อน จากนั้นจึงใช้การเปิดเผยต่อสาธารณะเป็นเครื่องมือต่อรอง ไม่ว่าจะมีการจ่ายค่าไถ่หรือไม่ก็ตาม

เนื้อหาที่แน่ชัดของข้อมูลเทราไบต์ที่รั่วไหลยังไม่ถูกเปิดเผยอย่างละเอียด แต่ขนาดของมันเพียงอย่างเดียวก็บ่งชี้ถึงความเสี่ยงในการเปิดเผยข้อมูลที่สำคัญสำหรับใครก็ตามที่ข้อมูลของพวกเขาผ่านระบบของ Fairlife ไม่ว่าจะเป็นพนักงาน คู่ค้าทางธุรกิจ หรือผู้ติดต่อในห่วงโซ่อุปทาน องค์กรที่เกี่ยวข้องกับผู้ขายที่ถูกเจาะระบบมักต้องเผชิญกับการเปิดเผยข้อมูลลำดับที่สอง แม้ว่าระบบของตนเองจะไม่เคยถูกแตะต้องเลยก็ตาม ซึ่งเป็นพลวัตที่เห็นได้ใน การรั่วไหลของข้อมูล OAuth ของ Klue ซึ่งกลไกการยืนยันตัวตนที่ถูกบุกรุกในบริษัทหนึ่งทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่เป็นขององค์กรปลายน้ำหลายแห่ง

สิ่งที่ผู้บริโภคและทีมความปลอดภัยสามารถทำได้ในตอนนี้

สำหรับทีมความปลอดภัย บทเรียนที่ต้องรีบดำเนินการคือการจัดการแพตช์อย่างเร่งด่วน CitrixBleed 2 เป็นช่องโหว่ที่รู้จักและเปิดเผยต่อสาธารณะ ช่วงเวลาระหว่างการเปิดเผยและการนำไปใช้ประโยชน์ในทางร้ายมักเป็นโอกาสเดียวที่จะปิดประตูก่อนที่ผู้โจมตีจะเดินผ่านเข้ามา องค์กรที่ใช้อุปกรณ์ Citrix ควรยืนยันสถานะการแพตช์ทันที ตรวจสอบบันทึกเซสชันเพื่อหาพฤติกรรมการยืนยันตัวตนที่ผิดปกติ และถือว่า MFA เป็นเพียงชั้นการป้องกันหนึ่ง ไม่ใช่สิ่งรับประกัน

สำหรับผู้บริโภคทั่วไป การรั่วไหลข้อมูลจากแรนซัมแวร์ Fairlife เป็นเครื่องย้ำเตือนว่าความล้มเหลวในฝั่งองค์กรส่วนใหญ่แล้วอยู่นอกเหนือการควบคุมของแต่ละบุคคล VPN, ตัวจัดการรหัสผ่าน หรือบริการตรวจสอบข้อมูลประจำตัวจะไม่หยุดผู้โจมตีจากการใช้ประโยชน์จากช่องโหว่ในโครงสร้างพื้นฐานหลังบ้านของบริษัท สิ่งที่เครื่องมือเหล่านี้มอบให้คือการจำกัดความเสียหาย: บริการตรวจสอบสามารถแจ้งเตือนคุณหากข้อมูลของคุณปรากฏในการรั่วไหล รหัสผ่านที่ไม่ซ้ำกันจำกัดขอบเขตความเสียหายหากข้อมูลประจำตัวถูกเปิดเผย และ VPN ปกป้องการเชื่อมต่อของคุณเองจากความเสี่ยงที่ไม่เกี่ยวข้อง เช่น เครือข่ายที่ไม่ปลอดภัย ไม่มีสิ่งใดในนั้นป้องกันการรั่วไหลแบบนี้ได้ แต่มันช่วยลดผลกระทบส่วนบุคคลหากข้อมูลของคุณเป็นส่วนหนึ่งของชุดข้อมูลที่ถูกเปิดเผย

บรรทัดล่าสุด

การรั่วไหลข้อมูลจากแรนซัมแวร์ Fairlife แสดงให้เห็นว่าข้อบกพร่องเพียงจุดเดียวที่ไม่ได้ถูกแพตช์ ไม่ใช่นโยบายรหัสผ่านที่พัง ก็เพียงพอที่จะข้าม MFA ได้อย่างสมบูรณ์ และส่งมอบข้อมูลหนึ่งเทราไบต์ให้กับผู้โจมตี การที่ Coca-Cola ปฏิเสธที่จะจ่ายเงินไม่ได้ป้องกันการรั่วไหล ซึ่งตอกย้ำว่าเมื่อข้อมูลถูกขโมยออกไปแล้ว ผลลัพธ์ส่วนใหญ่ก็อยู่นอกเหนือการควบคุมขององค์กรเหยื่อ หากคุณมีปฏิสัมพันธ์กับ Fairlife ในฐานะพนักงาน คู่ค้า หรือผู้ติดต่อ โปรดจับตาดูบริการแจ้งเตือนการรั่วไหลของข้อมูล และปฏิบัติต่อการสื่อสารที่ไม่คาดคิดใดๆ ที่อ้างอิงถึงบริษัทด้วยความระมัดระวังในสัปดาห์ต่อๆ ไป