Кампанії з вимагання на основі викрадених даних через атаки на ланцюг постачання не потрібно торкатися вашого пристрою, щоб наразити вашу інформацію на ризик. Їй достатньо скомпрометувати інструмент, якому ваш постачальник уже довіряє. Саме така картина вимальовується у справі TeamPCP, де у серпні влада США оголосила про звинувачення та арешт в Австралії.

Доступні деталі обмежені, тому цей допис обмежується тим, про що повідомлялося. Джерело, Virtual Routes, описує, як ФБР прямо зазначає, що деякі з цих справ стосуються викрадення даних і вимагання без шифрування програм-вимагачів, і вказує на записи TeamPCP як ще один шлях до вимагання.

Як TeamPCP перетворила довірене програмне забезпечення на канал викрадення даних

Згідно з повідомленням, липнева рекомендація описувала компрометацію довірених програмних інструментів і викрадення конфіденційної інформації. Ця схема варта розуміння, оскільки вона відрізняється від класичної історії з програмами-вимагачами. Немає заблокованого екрана й зашифрованих файлів. Натомість зловмисники компрометують програмне забезпечення, на яке організації вже покладаються, використовують цей доступ для викрадення даних, а потім вимагають оплату.

У серпні влада США оголосила про звинувачення та арешт в Австралії. Обвинувачення описують скомпрометоване програмне забезпечення, яке дозволило викрасти дані в кінцевих клієнтів, після чого надходили вимоги про викуп. Простими словами, постраждалими були не лише компанія, чий інструмент було скомпрометовано, а й клієнти, які ним користувалися.

Саме це робить такий різновид кампанії з вимагання через атаки на ланцюг постачання ефективним для злочинців. Одна точка компрометації може відкрити двері до багатьох організацій одразу, і на кожну з них потім можна тиснути окремо.

Що змінюють і чого не змінюють звинувачення та австралійський арешт

Звинувачення та арешт — це важливі кроки. Вони показують, що транскордонна співпраця між владою США та Австралії може давати результати, і надсилають сигнал іншим, хто веде подібні схеми.

Але на цьому етапі це лише обвинувачення, і заголовок статті-джерела окреслює ширшу проблему: шлях до притягнення злочинців, які використовують програми-вимагачі, до відповідальності — довгий. Судові справи тривають довго, тоді як викрадення даних відбувається швидко. Після того як інформацію викрадено, арешт не гарантує, що її вдасться повернути або що копії не поширюються.

Є й ширший момент. Правоохоронні дії зазвичай наздоганяють шкоду, а не запобігають їй. Читачам слід сприймати арешти як добру новину для стримування, а не як привід послабити власний захист.

Чому кінцеві клієнти несуть ризик

Кінцеві клієнти часто є найменш помітною стороною в таких інцидентах. Вони можуть не знати, які інструменти використовують їхні постачальники, який доступ мають ці інструменти або скільки їхніх даних зберігається в сторонніх системах. Коли довірений інструмент скомпрометовано, витік даних може охопити все, що постачальник або його клієнти там зберігали.

Це може включати звичайну персональну інформацію. Супутні матеріали показують, як вимагання на ґрунті витоків даних позначається на окремих людях. Повідомлення про витоки даних у Novo Nordisk та OnePoint, що оголили 800 тис. файлів пацієнтів ілюструють, наскільки вразливими можуть бути медичні дані, а нещодавня заява про 2–3 ТБ даних про агентів ФБР показує, що навіть організації з сильною репутацією у сфері безпеки зазнають тиску з боку вимагачів.

Спільна риса полягає в тому, що люди, чиї дані викрадено, рідко мали вплив на рішення щодо безпеки, які призвели до їхнього оголення.

Що це означає для вас

Ви не можете перевірити кожного постачальника, який зберігає ваші дані, і не можете завадити компрометації постачальника. Те, що ви можете контролювати, — це скільки даних можна викрасти і якої шкоди може завдати викрадена інформація.

Чим менше ви ділитеся, тим менше зможе використати угруповання вимагачів. А оскільки вимагання спирається на важіль тиску, викрадені дані часто монетизують кількома способами. Аналіз імовірного витоку від групи вимагачів, висвітлений у нашому матеріалі про Chainalysis, яка пов’язує криптогаманці з виплатами викупів, дає уявлення про те, як працюють ці платіжні потоки.

Практичні способи обмежити свою експозицію

  • Діліться з постачальниками меншим обсягом даних. Надавайте лише ту інформацію, яка справді потрібна сервісу. Пропускайте необов’язкові поля та видаляйте облікові записи, якими більше не користуєтеся.
  • Увімкніть багатофакторну автентифікацію. Якщо облікові дані потраплять у витік, MFA значно ускладнить їх використання. За можливості надавайте перевагу застосунковим або апаратним методам над SMS.
  • Використовуйте унікальні паролі. Менеджер паролів робить це практичним, тож один витік не відкриває інші облікові записи.
  • Читайте повідомлення про витоки. Не ігноруйте електронні листи чи листи про інциденти в компаніях, з якими ви маєте справу. Вони часто містять кроки та строки, як-от пропозиції моніторингу кредиту.
  • Ставтеся з недовірою до повідомлень про вимагання. Якщо хтось звертається до вас, стверджуючи, що має ваші дані, перевірте через офіційні канали, перш ніж відповідати чи платити.
  • Стежте за своїми рахунками. Переглядайте фінансові виписки та розгляньте кредитне заморожування, якщо було оголено чутливі ідентифікатори.

Головне

Справа TeamPCP — нагадування про те, що кампанія з вимагання через атаки на ланцюг постачання може дістатися звичайних клієнтів через інструменти, яких вони ніколи не обирали. Серпневе звинувачення та австралійський арешт вселяють надію, однак відповідальність настає повільніше за шкоду. Обмежуйте те, чим ви ділитеся, увімкніть MFA та звертайте увагу на повідомлення про витоки. Докладніше про те, як використовують викрадені дані, дивіться в нашому щотижневому огляді про витік у McKesson та справу з програмами-вимагачами в Берліні.