Швейцарський виробник поїздів Stadler Rail підтвердив, що відмовився виплатити викуп у розмірі 12,3 мільйона доларів (₣10 000 000), який вимагало злочинне угруповання Everest після того, як зловмисники викрали технічні дані через файлообмінну платформу постачальника. Інформація з’явилася в той самий новинний цикл, що й окремий, але пов’язаний розвиток подій: російське державне угруповання Laundry Bear атакує не пропатчені поштові сервери Zimbra. Разом ці дві історії демонструють, як російські суб’єкти загроз проводять паралельні операції — одну проти промислових ланцюгів постачання, іншу проти корпоративної поштової інфраструктури — і чому організації будь-якого розміру повинні сприймати обидві серйозно.

Програмний викуп, який стоїть за відмовою Stadler Rail

Згідно з інформацією The Record, угруповання-вимагач Everest взяло на себе відповідальність за викрадення технічних даних Stadler Rail. Зловмисники проникли не безпосередньо в мережу виробника поїздів, а через файлообмінну платформу, якою керує один із його постачальників. Після цього Everest вимагав приблизно 12,3 мільйона доларів в обмін на те, щоб не публікувати та не продавати викрадені файли. Stadler Rail відмовився платити.

Це значуще рішення. Відмову від викупу часто подають суто як акт опору, але вона несе реальний операційний ризик: якщо угруповання виконає свою загрозу, викрадені технічні дані (інженерні схеми, деталі постачальників, внутрішня документація) можуть бути опубліковані або продані конкурентам та іншим кримінальним угрупованням. Вибір Stadler Rail не платити відображає ширший зсув серед великих промислових компаній, багато з яких тепер розглядають виплату викупу як винагороду для злочинних бізнес-моделей, а не спосіб усунути основну вразливість.

Чому злам постачальника має таке ж значення, як пряма атака

Цей випадок особливо повчальний тим, що початковою точкою компрометації була не власна інфраструктура Stadler Rail, а файлообмінна система постачальника. Це типова схема для сучасних атак із використанням програм-вимагачів: злочинні групи все частіше шукають найслабшу ланку в ланцюгу постачання замість того, щоб атакувати добре захищену основну ціль безпосередньо. Один-єдиний постачальник із недбалими контролями доступу чи неоновленим програмним забезпеченням може стати точкою входу для значно масштабнішої операції з викрадення даних.

Ця динаміка не унікальна для залізничної галузі. Компрометація ланцюга постачання вже призводила до витоку чутливих урядових і корпоративних даних через довірене програмне забезпечення третіх сторін, як це показали наслідки зламу SolarWinds, який викрив усі електронні листи Treasury.gov. Урок незмінний: рівень безпеки організації є настільки ж міцним, наскільки надійними є постачальники та партнери, з якими вона обмінюється даними.

Російське угруповання Laundry Bear посилює тиск на сервери Zimbra

Одночасно з історією Stadler Rail з’явилися повідомлення про те, що Laundry Bear, угруповання, пов’язане з Росією, атакує не пропатчені поштові сервери Zimbra. Неоновлене програмне забезпечення для спільної роботи та вебпошти вже давно є улюбленою точкою входу для державних акторів, які хочуть збирати облікові дані або підтримувати постійний доступ до комунікацій організації.

Ця кампанія відповідає шаблону, на який неодноразово вказували спецслужби. Директор GCHQ нещодавно зробив одне з найбільш прямих попереджень останнього часу про невпинні російські кібероперації проти критичної інфраструктури та демократичних інституцій. Окремо влада США знешкодила мережу скомпрометованих маршрутизаторів, пов’язану з російською військовою розвідкою ГРУ. Чи йдеться про постачальника виробника поїздів, чи про не пропатчений поштовий сервер — наскрізна лінія та сама: російські угруповання прощупують широко доступну, часто не помічену інфраструктуру для отримання доступу, а не лише гучні урядові мережі.

Що це означає для вас

Більшість читачів не адмініструють сервери Zimbra і не виробляють поїзди, проте основні ризики, висвітлені в цій історії, стосуються багатьох. Якщо ви користуєтеся будь-яким сервісом — від платформи для бронювання подорожей до програми лояльності, — який передає ваші дані стороннім постачальникам, ці дані захищені настільки, наскільки захищені системи цього постачальника. Злом у постачальника, про якого ви ніколи не чули, все одно може викрити інформацію, пов’язану з вами, будь то корпоративний обліковий запис, спільний файл чи персональні дані, які обробляються від вашого імені.

Для бізнесу висновок такий самий прямий: управління виправленнями та нагляд за постачальниками — це не додаткові пункти. Неоновлене програмне забезпечення, чи то поштовий сервер, чи файлообмінний інструмент, залишається одним із найпоширеніших способів, якими зловмисники закріплюються в системі, а відмова від викупу працює як довгостроковий стримувальний фактор лише тоді, коли вразливості, які дозволили зловмисникам увійти, справді усунені.

Практичні висновки

  • Якщо ви працюєте з постачальниками або підрядниками, запитуйте, як вони забезпечують оновлення та контроль доступу для спільних файлових систем, а не лише для вашої власної мережі.
  • Сприймайте будь-яке повідомлення про злам постачальника серйозно, навіть якщо ваша організація не зазнала прямої атаки; дані все одно можуть бути викриті через третю сторону.
  • Своєчасно оновлюйте програмне забезпечення для спільної роботи та поштових серверів; неоновлені системи залишаються головною точкою входу як для атак програм-вимагачів, так і для вторгнень, пов’язаних із державними акторами.
  • Там, де це можливо, підтримуйте політику не платити викуп, оскільки платіж може фінансувати подальші атаки і не гарантує, що дані все одно не будуть витоку.
  • Слідкуйте за пов’язаною з Росією кіберактивністю, яка впливає на критичну інфраструктуру та корпоративне програмне забезпечення, оскільки ці кампанії часто націлені на широко використовувані інструменти, а не на окремих ізольованих жертв.