Інструмент опитування стає слабкою ланкою

Nintendo не була зламана через те, що хтось зламав її ігрові сервери або обійшов безпеку облікових записів. Згідно з повідомленнями про інцидент, витік простежується до TinyPulse, стороннього постачальника, якого Nintendo використовувала для проведення внутрішніх опитувань залученості співробітників. Угруповання, яке називає себе Shadowbyt3$, взяло на себе відповідальність і вимагало близько $2 млн, кваліфікуючи операцію як "вимагання-як-послуга".

Це визначення має більше значення, ніж може здатися. Традиційні угруповання вимагачів розгортають шифрувальники, які блокують системи жертви, а потім вимагають платіж за ключ дешифрування. За останні кілька років більшість операторів додали другий важіль: викрадення даних перед шифруванням, щоб мати вплив навіть якщо жертва відновиться з резервних копій. Угруповання, що пропонують вимагання-як-послугу, як-от Shadowbyt3$, схоже, повністю пропускають етап шифрування. Нема потреби блокувати системи, коли загроза публікації конфіденційних даних співробітників є достатнім тиском для отримання викупу.

Для Nintendo, чий основний бізнес зав'язаний на консолях, онлайн-акаунтах і величезній користувацькій базі, цей інцидент є нагадуванням, що поверхня атаки виходить далеко за межі продуктів, які бачать клієнти. Вона охоплює кожного постачальника з доступом до внутрішніх даних, навіть тих, що здаються майже безризиковими, як-от платформа для опитувань співробітників.

Чому сторонні постачальники постійно стають точкою входу

Інструменти HR-опитувань, платформи пільг, програмне забезпечення для планування та інші бек-офісні постачальники рідко проходять таку ж пильну перевірку безпеки, як основна інфраструктура. До них ставляться як до адміністративних зручностей, а не як до зберігачів даних, хоча вони регулярно обробляють імена, дані про працевлаштування, а іноді й фінансову чи ідентифікаційну інформацію, пов'язану з робочою силою компанії.

Ця невідповідність — саме те, що створені для експлуатації угруповання вимагання-як-послуга. Зловмисникам не потрібно зламувати компанію з такими ресурсами, як Nintendo, напряму. Їм потрібно знайти одного постачальника в ланцюжку постачання цієї компанії зі слабшим захистом, викрасти будь-які дані, що знаходяться в системах цього постачальника, а потім використати бренд і репутацію материнської компанії як важіль тиску для платежу. Постачальник стає дверима; відомий бренд стає важелем.

Ця модель не є унікальною для Nintendo. Вона відображає ширший зсув у тому, як діють угруповання вимагачів: замість інвестування у складні шифрувальні навантаження, які можна виявити та скасувати, вони зосереджуються на вилученні даних і публічному тиску, оскільки репутаційна вартість витоку часто є тим, що змушує реагувати, а не технічний збій.

Що це означає для вас

Якщо ви клієнт Nintendo, цей інцидент, на основі того, що було повідомлено, стосується насамперед даних співробітників, а не акаунтів гравців. Але він все одно несе урок, який варто сприйняти серйозно, якщо ви взаємодієте з цифровою екосистемою будь-якої великої компанії, включно з ігровими платформами: експозиція ваших даних рівносильна найслабшому постачальнику в ланцюжку постачання цієї компанії.

Для власників облікових записів Nintendo це слушний момент переглянути базову гігієну акаунта. Використовуйте унікальний надійний пароль для свого облікового запису Nintendo, увімкніть двофакторну автентифікацію, якщо ще цього не зробили, і будьте обережні з будь-якими небажаними електронними листами, що посилаються на цей витік, оскільки інциденти вимагань часто породжують хвилю подальших фішингових спроб, які намагаються скористатися суспільною обізнаністю про подію. Якщо ви також використовуєте Nintendo Switch для перегляду вебсторінок або потокової трансляції в подорожах чи в публічних мережах, варто зрозуміти, як VPN для вашого Nintendo Switch може додати рівень захисту для вашого з'єднання, окремо від зазначених вище кроків безпеки акаунта.

Якщо ви працюєте у сфері HR, IT або управління ризиками постачальників у будь-якій організації, більш практичний урок стосується належної перевірки постачальників. Сторонні інструменти, які обробляють дані співробітників, навіть ті, що здаються незначними, як-от платформа опитування залученості, заслуговують на таку ж перевірку безпеки, як і інструменти, що обробляють платіжні дані клієнтів. Це означає, що потрібно запитувати постачальників про їхні стандарти шифрування, терміни повідомлення про порушення та практики зберігання даних перед підписанням контракту, а не після того, як інцидент змусить поставити це питання.

Практичні висновки

  • Перегляньте та посильте облікові дані свого акаунта Nintendo, а також увімкніть двофакторну автентифікацію, якщо вона ще не активна.
  • Ставтеся скептично до будь-яких електронних листів або повідомлень, пов'язаних із витоком; перевіряйте через офіційні канали Nintendo, перш ніж натискати посилання або надавати інформацію.
  • Якщо ви керуєте взаємовідносинами з постачальниками у власній організації, проведіть аудит того, які треті сторони зберігають дані співробітників або клієнтів, і підтвердьте, що їхні практики безпеки відповідають чутливості того, що вони зберігають.
  • Визнайте вимагання-як-послугу як окрему модель загрози: відсутність шифрування не означає відсутність небезпеки, оскільки самих викрадених даних може бути достатньо як важеля для вимоги викупу.

Випадок Nintendo-TinyPulse є яскравим прикладом того, як сучасні угруповання вимагачів адаптували свій сценарій, і як найбільшою вразливістю компанії можуть бути не її власні системи, а постачальники, яким вона довіряє дані співробітників. Бути поінформованим про подібні інциденти та застосовувати базову гігієну акаунта й постачальників залишається найбільш практичним захистом, доступним як окремим особам, так і організаціям.