Угруповання програм-вимагачів, яке називає себе D1R, взяло на себе відповідальність за компрометацію ARM — британської компанії з розробки напівпровідників, чия чіп-архітектура лежить в основі більшості смартфонів і підключених пристроїв у світі. Згідно зі звітом, опублікованим DeXpose, зловмисники стверджують, що викрили дані компанії та, що важливо, обійшли захист двофакторної автентифікації (2FA), на який багато організацій покладаються як на основний рівень оборони.

Деталі, окрім початкового розголошення, залишаються обмеженими, і ARM на момент цього звіту не оприлюднила детального публічного пояснення масштабу інциденту. Тим не менш, сама заява є значущою. ARM не є брендом, орієнтованим на кінцевого споживача, як роздрібний продавець або стрімінговий сервіс, проте його технологія присутня у величезній частині глобальної екосистеми пристроїв. Будь-який витік, що стосується компанії з таким охопленням, заслуговує на увагу, навіть до того, як кожна деталь буде підтверджена.

Як, за повідомленнями, розгорталася атака програми-вимагача D1R

Атаки програм-вимагачів зазвичай розвиваються за знайомим сценарієм: зловмисники отримують точку опори в мережі, підвищують рівень доступу, витягують конфіденційні дані, а потім застосовують шифрування або тактику вимагання, щоб змусити жертву заплатити. Те, що вирізняє заяву D1R щодо ARM, — це твердження, що під час вторгнення було обійдено двофакторну автентифікацію.

2FA широко просувається як один із найпростіших і найефективніших способів запобігти несанкціонованому доступу до облікового запису, оскільки вона вимагає другого кроку перевірки, окрім пароля. Коли зловмисники заявляють про її обхід — чи то через фішинг, викрадення сесійних токенів, тактику на кшталт підміни SIM-картки або використання слабких місць у реалізації 2FA, — це підриває захід безпеки, на який як окремі особи, так і підприємства почали сильно покладатися. Якщо це підтвердиться, сама ця деталь робить інцидент із ARM кейсом, за яким варто пильно спостерігати всій технологічній індустрії.

Чому витік у гіганта з розробки чіпів несе непропорційно великий ризик для конфіденційності

Бізнес-модель ARM відрізняється від більшості компаній, що обговорюються у звітах про витоки. Замість прямих продажів споживчих товарів, ARM ліцензує свої процесорні дизайни виробникам у галузях смартфонів, Інтернету речей, автомобілебудування та центрів обробки даних. Це означає, що збій у безпеці на рівні дизайну та інженерії може поширитися назовні через безліч компаній-партнерів і, зрештою, на кінцевих користувачів, які можуть ніколи не усвідомлювати, що технологія ARM знаходиться всередині їхніх пристроїв.

Це частина ширшої тенденції, що спостерігається в нещодавніх гучних інцидентах. Так само, як Novo Nordisk звернулася до органів влади через ймовірний витік даних обсягом 1 ТБ після того, як хакерське угруповання заявило про крадіжку даних компанії, ARM зараз стикається з подібними питаннями: до чого було отримано доступ, скільки даних залишило мережу і хто може постраждати нижче за ланцюгом. Ці інциденти підкреслюють послідовну тему: зловмисники дедалі частіше націлюються на великих постачальників інфраструктури та технологій, а не лише на платформи, орієнтовані на споживача, оскільки потенційний радіус ураження значно більший.

Тиск з боку регуляторів та вимоги підзвітності зростають

Компанії, які зазнають витоків, стикаються з дедалі більшою увагою як з боку регуляторів, так і судів. Південнокорейський орган із захисту даних нещодавно наклав рекордний штраф, коли оштрафував Coupang на $409 мільйонів за витік даних, сигналізуючи, що регулятори в усьому світі готові накладати серйозні фінансові наслідки на компанії, які не захищають дані користувачів. Окремо, судові позови не обмежуються лише жертвами витоків. Нещодавній позов, у якому генеральний прокурор Техасу подав до суду на Netflix через таємний збір даних, показує, що практики обробки даних загалом, а не лише витоки, привертають юридичну увагу. Для такої компанії, як ARM, що діє в центрі глобального технологічного ланцюга постачання, будь-яке підтверджене викриття даних може викликати подібну пильну увагу з боку британських і міжнародних регуляторів.

Що це означає для вас

Більшість читачів не мають прямого облікового запису в ARM, як це могло б бути з банком або стрімінговим сервісом, тому немає негайних дій, як-от скидання пароля, пов’язаних із цим конкретним інцидентом. Але цей випадок є корисним нагадуванням про те, що безпека ланцюга постачання має таке ж значення, як і безпека застосунків і сервісів, якими ви користуєтеся безпосередньо. Пристрої у вашій кишені, ваш автомобіль і ваша домашня мережа, ймовірно, покладаються на компоненти та дизайни від компаній, про які більшість людей ніколи не чули.

Це також нагадування, що 2FA, хоч і цінна, не є безпомилковою. Зловмисники активно розробляють техніки для її обходу, а це означає, що нашарування додаткових засобів захисту, таких як апаратні ключі безпеки, ключі доступу (passkeys) або моніторинг на основі поведінки, дедалі більше варто розглядати кожному, хто керує чутливими обліковими записами.

Практичні висновки

  • Слідкуйте за офіційними заявами ARM або її партнерів щодо масштабу цього інциденту, оскільки початкові заяви програм-вимагачів не завжди повністю підтверджені.
  • За можливості переходьте від 2FA на основі SMS або застосунків до фішинг-стійких методів, таких як апаратні ключі безпеки або ключі доступу (passkeys).
  • Перегляньте облікові записи та пристрої, що працюють на чіпах на базі ARM, особливо якщо ви керуєте IoT або вбудованими системами, і відстежуйте безпекові повідомлення від постачальників.
  • Слідкуйте за тим, як регулятори реагують на подібні інциденти, оскільки тенденції до посилення правозастосування свідчать, що компанії, які зазнали витоку, можуть зіткнутися зі зростаючою відповідальністю.

Оскільки з’являється більше деталей про атаку програми-вимагача D1R на ARM, ця історія є своєчасним нагадуванням, що навіть найфундаментальніші гравці технологічної індустрії не захищені від складних кіберзагроз, і що захист конфіденційності дедалі більше залежить від убезпечення всього ланцюга постачання, а не лише продуктів, які споживачі бачать безпосередньо.