Що сталося з Barrett Mahony Consulting Engineers
Barrett Mahony Consulting Engineers, ірландська інженерна фірма, стала останньою жертвою угруповання Play ransomware. Інцидент ставить компанію середнього розміру зі сфери професійних послуг прямо в приціл ransomware-операції, яка раніше атакувала широкий спектр організацій. Хоча повні деталі масштабу та впливу атаки ще з'являються, цей випадок вписується в модель, про яку дослідники безпеки попереджали вже досить давно: оператори ransomware дедалі частіше оминають компанії з Fortune 500 та постачальників критичної інфраструктури, звертаючи увагу на менші спеціалізовані фірми, які зберігають конфіденційні дані клієнтів, але часто не мають засобів захисту корпоративного рівня.
Інженерні та консалтингові фірми, як-от Barrett Mahony, опрацьовують проєктні файли, клієнтські контракти, технічні креслення та фінансові записи, і все це може бути цінним важелем для зловмисників, які вимагають викуп. Коли діяльність фірми залежить від довіри клієнтів і своєчасної реалізації проєктів, навіть короткий збій може мати непропорційно великі репутаційні та фінансові наслідки.
Чому ransomware-угруповання переключаються на професійні послуги середнього ринку
Атака на Barrett Mahony — не ізольований курйоз. Вона відображає ширшу зміну стратегії націлювання ransomware. Великі корпорації витрачали роки на побудову багаторівневих програм безпеки, включно з виділеними командами з IT-безпеки, договорами на реагування на інциденти та полісами кіберстрахування, які супроводжуються суворими вимогами до безпеки. Це робить їх складнішими, хоч і не неможливими, для злому.
Фірми зі сфери професійних послуг середнього ринку, зокрема інженерні практики, юридичні фірми, бухгалтерські компанії та архітектурні студії, часто є легшою ціллю. Ці організації нерідко працюють з невеликим IT-персоналом, обмеженими бюджетами на безпеку та застарілими системами, які ніколи не проєктувалися з урахуванням сучасних загроз. Однак вони все одно керують цінною, конфіденційною інформацією та глибоко вбудовані в ланцюги постачання, які з'єднують їх із більшими клієнтами й партнерами. Для ransomware-угруповань це поєднання цінних даних і порівняно слабкого захисту робить професійні послуги привабливою та повторюваною ціллю.
Поширені прогалини в безпеці, які дозволяють подібним атакам досягати успіху
Хоча конкретні технічні деталі того, як угруповання Play ransomware отримало доступ до систем Barrett Mahony, не були повністю розкриті, інциденти такого типу зазвичай використовують знайомий набір слабких місць. Відкриті або погано захищені точки віддаленого доступу, як-от неоновлені VPN-шлюзи або неправильно налаштовані служби віддаленого робочого столу, залишаються улюбленим методом входу для операторів ransomware. Слабкі або повторно використовувані паролі, відсутність багатофакторної автентифікації та несегментовані внутрішні мережі також дозволяють зловмисникам переходити від початкового плацдарму до широкомасштабного шифрування з тривожною швидкістю.
Фірми зі сфери професійних послуг особливо вразливі, оскільки їхній персонал часто потребує гнучкого віддаленого доступу до проєктних файлів і клієнтських систем, іноді з кількох офісних локацій або з особистих пристроїв. Без ретельного налаштування ця гнучкість може стати відчиненими дверима. Саме тому гігієна віддаленого доступу, включно з тим, як фірма розгортає та керує своєю VPN-інфраструктурою, заслуговує на таку саму увагу, як антивірус на кінцевих пристроях чи фільтрація електронної пошти.
Практичні кроки захисту: резервні копії, сегментація та безпечний віддалений доступ
Фірмам, які хочуть уникнути того, щоб стати наступним заголовком новин, слід зосередитися на кількох перевірених основах, а не ганятися за кожним новим продуктом безпеки на ринку.
По-перше, підтримуйте регулярні, перевірені, офлайн-резервні копії. Резервна копія, яку ніколи не перевіряли на відновлення, не є справжньою страхувальною сіткою. По-друге, сегментуйте внутрішні мережі так, щоб один скомпрометований пристрій не міг легко призвести до шифрування в масштабі всієї організації. По-третє, захистіть віддалений доступ за допомогою багатофакторної автентифікації, актуального VPN-програмного забезпечення та суворих контролів доступу, які обмежують, хто може дістатися до конфіденційних систем ззовні офісу. По-четверте, своєчасно встановлюйте патчі для відомих вразливостей, оскільки багато вторгнень ransomware починаються з програмного забезпечення, яке ніколи не оновлювалося після появи виправлення.
Для фірм, які хочуть отримати структурований підхід до підготовки та реагування на активний інцидент, цей посібник із 72-годинного захисту від ransomware розглядає критичні ранні рішення, які визначають, якої шкоди зрештою завдасть атака.
Що це означає для вас
Якщо ви керуєте фірмою зі сфери професійних послуг або працюєте в ній, чи то в інженерії, юриспруденції, бухгалтерії чи консалтингу, цей інцидент є нагадуванням, що розмір більше не є надійним предиктором ризику ransomware. Зловмисники йдуть за даними та шляхом найменшого опору, а не лише за розміром балансу. Якщо ваша організація опрацьовує клієнтські контракти, технічні файли або фінансові записи та покладається на віддалений доступ для персоналу, варто поставити жорсткі запитання про те, як цей доступ захищено, наскільки свіжі ваші резервні копії та чи має ваша команда задокументований план на перші години після виявлення атаки.
Ключові висновки
Ransomware-атака на Barrett Mahony Consulting Engineers підкреслює тенденцію, яку фірми зі сфери професійних послуг більше не можуть дозволити собі ігнорувати. Ransomware-атаки на фірми зі сфери професійних послуг зростають, оскільки ці організації поєднують цінні дані з порівняно невеликими інвестиціями в безпеку. Захист вашої фірми починається з основ: перевірені резервні копії, сегментація мережі, оновлені системи та дисципліновані контролі віддаленого доступу, включно з безпечними конфігураціями VPN і обов'язковою багатофакторною автентифікацією. Перевірка готовності вашої організації зараз, а не після інциденту, залишається єдиним найефективнішим кроком, який може зробити будь-яка фірма.
