Що сталося під час витоку даних Mayer Brown

Юридична фірма Mayer Brown підтвердила, що внутрішні документи були опубліковані на сайті для зливу даних, яким керує група вимагачів Luna Moth, але заявляє, що її системи насправді не були скомпрометовані. За словами Mayer Brown, співробітник помилково надіслав документи третій стороні, яка видала себе за іншу особу. Іншими словами, це не був злам у традиційному розумінні – з використанням уразливостей програмного забезпечення або викрадених облікових даних. Це була цілеспрямована омана, яка переконала працівника добровільно передати конфіденційні файли.

Після цього Luna Moth розмістила ці документи на своєму сайті для зливу даних із метою вимагання – це тактика, яку група часто використовує, щоб чинити тиск на жертв і змусити їх заплатити, аби викрадені дані не були оприлюднені. Заява Mayer Brown про те, що до її систем не було доступу, є важливою. Вона проводить чітку межу між проникненням у мережу, яке зазвичай вимагає значно масштабнішої технічної реакції, та цілеспрямованим інцидентом із використанням соціальної інженерії, що експлуатує людську довіру, а не технічну ваду.

Як тактика імітації особи від Luna Moth обійшла технічний захист

Luna Moth, яку також відстежують під назвами Silent Ransom Group, Chatty Spider та UNC3753, здобула репутацію групи, що спеціалізується саме на юридичних фірмах, зокрема тому, що юридичні документи зазвичай є конфіденційними, таємними та становлять цінний важіль для вимагання. Замість розгортання шкідливого програмного забезпечення чи програм-вимагачів для примусового входу в мережу, група дедалі частіше покладається на переконливу імітацію: видає себе за довіреного постачальника, контактну особу IT-підтримки або іншу легітимну сторону, щоб змусити працівника добровільно надіслати файли або надати доступ.

Такий підхід є ефективним саме тому, що оминає засоби захисту, на які організації витрачають найбільше коштів. Брандмауери, системи виявлення загроз на кінцевих точках та інструменти моніторингу мережі призначені для виявлення несанкціонованих спроб доступу. Вони є значно менш корисними, коли легітимний співробітник, діючи з добрими намірами, надсилає документи тому, кого вважає уповноваженим на їх отримання. Інцидент із Mayer Brown відповідає цій моделі: витік не вимагав від Luna Moth подолання жодного периметру, оскільки периметр ніколи не був ціллю. Ціллю був працівник.

Чому соціальна інженерія залишається найслабшою ланкою

Навіть добре забезпечені ресурсами організації зі зрілими програмами кібербезпеки залишаються вразливими до такого стилю атак, оскільки вони спрямовані на здатність судження, а не на інфраструктуру. Фірма може вкладати значні кошти у шифрування, контроль доступу та системи виявлення вторгнень, і все одно бути під загрозою, якщо хтось переконливо видасть себе за відомий контакт, клієнта або внутрішнього колегу. Це не стільки відмова технологій, скільки демонстрація того, що рішуче налаштовані зловмисники завжди шукатимуть шлях найменшого спротиву, і дедалі частіше цей шлях пролягає через людей, а не через код.

Ширша кампанія Luna Moth проти юридичних фірм це підкреслює. Такі групи процвітають завдяки масштабу операцій, і частково їхню стійкість забезпечує інфраструктура, що підтримує їхню діяльність за лаштунками, зокрема хостингові послуги, які дозволяють сайтам для зливу даних та операціям із вимагання залишатися в мережі. Правоохоронні органи також звернули увагу на цей інфраструктурний рівень. Вилучення 800 серверів, пов’язаних із bulletproof-хостингом нідерландською владою, показує, що порушення роботи хостинг-провайдерів, які приховують групи вимагачів, може бути так само важливим, як і підвищення обізнаності окремих працівників. Обидва фронти – технічне правозастосування та людська пильність – потребують уваги, щоб такі інциденти, як витік даних Mayer Brown, траплялися рідше.

Що це означає для вас

Якщо ви працюєте в юридичній фірмі, компанії з надання фінансових послуг або будь-якій організації, яка обробляє конфіденційні документи клієнтів, цей інцидент є нагадуванням про те, що вашим найбільшим ризиком може бути зовсім не складний хакерський інструмент. Ним може бути добре складений електронний лист або телефонний дзвінок, який виглядає та звучить легітимно. Зловмисники, які досліджують конкретного співробітника, відносини з постачальником або поточну справу, можуть адаптувати свою імітацію настільки переконливо, що навіть уважний персонал може бути ошуканим.

Для клієнтів та приватних осіб, чия інформація проходить через юридичні фірми або постачальників професійних послуг, варто розуміти, що «витік» не завжди означає компрометацію серверів компанії. Іноді це означає, що одна-єдина цілеспрямована омана досягла успіху. Ця відмінність має значення для того, як організації реагують, і для того, наскільки громадськість повинна довіряти загальним запевненням, що «системи в безпеці».

Практичні висновки

  • Перевіряйте особу через інший канал зв’язку, перш ніж надсилати конфіденційні документи, особливо коли запит виглядає терміновим або незвичайним.
  • Навчайте персонал розпізнавати конкретні тактики імітації особи, а не лише фішингові листи з очевидними тривожними ознаками.
  • Встановіть чіткі внутрішні процедури для перевірки запитів від постачальників, IT-відділу та клієнтів, які стосуються передачі документів.
  • Розумійте, що витік даних без проникнення в мережу все одно має реальні наслідки та потребує серйозного реагування.

Інцидент із Mayer Brown показує, що тактики витоку даних Luna Moth із використанням соціальної інженерії не потребують пробивати брандмауери, щоб досягти успіху – їм потрібна лише одна людина, яка повірить у переконливу брехню. Оскільки юридичні фірми та інші цілі високої вартості продовжують стикатися з таким тиском, закриття людської прогалини є так само нагальним, як і зміцнення мережі.