Một vụ xâm phạm nhà cung cấp ngày càng tồi tệ hơn
Khi tin tức về vụ xâm phạm dữ liệu của nền tảng thông tin thị trường Klue lan truyền, câu chuyện ban đầu có vẻ quen thuộc: một thông tin đăng nhập bị xâm phạm, một lần đăng nhập trái phép, và một làn sóng các tổ chức liên đới cuống cuồng đánh giá mức độ ảnh hưởng. Những kẻ tấn công được cho là có liên hệ với một nhóm tự xưng Icarus đã giành quyền truy cập vào môi trường của Klue trong khoảng thời gian từ ngày 11 đến ngày 12 tháng 6, khai thác một thông tin đăng nhập cũ gắn với một tài khoản dịch vụ tích hợp, vốn chưa bao giờ bị thu hồi sau khi một chương trình thử nghiệm giới hạn kết thúc. Không có xác thực đa yếu tố nào ngăn cản chúng.
Chỉ riêng điều đó thôi cũng đã đủ để tạo nên một câu chuyện an ninh chuỗi cung ứng khá điển hình. Nhưng vụ xâm phạm Klue đã có một bước ngoặt bất thường. Một nhóm thứ hai được cho là đã có được dữ liệu bị đánh cắp và bắt đầu độc lập tống tiền chính các tổ chức bị ảnh hưởng, đồng thời nói rõ với các nạn nhân rằng đừng tin tưởng Icarus. Nói cách khác, chính các tin tặc đã bị hack, và dữ liệu khách hàng bị đánh cắp trở thành một món hàng bị tranh giành trong thế giới ngầm tội phạm, chứ không chỉ là một con bài mặc cả giữa kẻ tấn công và nạn nhân.
Tại sao điều này thay đổi tính toán về ransomware
Suốt nhiều năm, các tổ chức đối mặt với yêu cầu đòi tiền chuộc hay tống tiền thường cân nhắc một loạt đánh đổi quen thuộc: trả tiền và hy vọng kẻ tấn công xóa dữ liệu, hoặc từ chối và chấp nhận rủi ro bị phơi bày công khai. Vụ việc của Klue khiến logic đó trở nên phức tạp hơn đáng kể. Nếu dữ liệu bị đánh cắp có thể được bán lại, bị đánh cắp lần nữa, hoặc bị một nhóm tội phạm cạnh tranh sử dụng lại sau khi nạn nhân đã trả tiền hoặc thương lượng, thì giả định rằng một lần thanh toán duy nhất sẽ giải quyết được mối đe dọa không còn đúng nữa.
Điều này đặc biệt quan trọng đối với quyền riêng tư, bởi những người có thông tin nằm trong các hệ thống này – khách hàng, khách hàng tiềm năng và nhân viên được nêu tên trong dữ liệu bán hàng hoặc thông tin tình báo – không có cách nào biết được hiện có bao nhiêu bên đang nắm giữ bản sao dữ liệu của họ. Một thông báo xâm phạm chỉ mô tả một nhóm tấn công sẽ đánh giá thấp mức độ phơi nhiễm thực sự nếu một nhóm thứ hai, không liên quan, đang độc lập kiếm tiền từ cùng một tập dữ liệu. Đối với người dùng thông thường, điều này củng cố một bài học cũng áp dụng cho các công cụ nhắn tin và liên lạc bảo mật: những kẻ tấn công ngày càng nhắm vào mắt xích yếu nhất trong chuỗi niềm tin hơn là chính công nghệ. Mô hình tương tự cũng xuất hiện trong báo cáo về lý do người dùng Signal bị hack, không phải ứng dụng, trong đó nền tảng cơ bản vẫn vững chắc nhưng những kẽ hở về con người và quy trình đã tạo ra cơ hội.
Điểm thất bại thực sự: Vệ sinh nhà cung cấp, không phải sự tinh vi
Điều nổi bật về vụ xâm phạm Klue là mức độ bình thường của hành vi xâm nhập ban đầu. Không có khai thác zero-day, không có phần mềm độc hại mới lạ, và không có kỹ xảo của quốc gia tài trợ. Theo báo cáo, những kẻ tấn công đã sử dụng một thông tin đăng nhập cũ gắn liền với một tài khoản tích hợp mà Klue dường như đã không vô hiệu hóa sau khi một chương trình thử nghiệm kết thúc, và tài khoản đó không được bảo vệ bởi xác thực đa yếu tố. Sự kết hợp đó – một thông tin đăng nhập mồ côi và không có MFA – là một trong những kiểu thất bại phổ biến và có thể ngăn ngừa nhất trong an ninh doanh nghiệp.
Điều này quan trọng đối với cuộc trò chuyện về quyền riêng tư vì nó cho thấy rủi ro đối với dữ liệu cá nhân và doanh nghiệp thường không đến từ sự tinh vi của kẻ tấn công, mà từ những sai sót hành chính thông thường tại các nhà cung cấp bên thứ ba mà khách hàng ít có khả năng kiểm toán trực tiếp. Các tổ chức sử dụng nền tảng của Klue, bao gồm tích hợp Salesforce của họ, tự thấy mình bị phơi nhiễm không phải vì bất cứ điều gì họ làm, mà bởi cách một nhà cung cấp quản lý thông tin đăng nhập truy cập ở phía back-end.
Điều này có ý nghĩa gì đối với bạn
Nếu tổ chức của bạn sử dụng các nhà cung cấp bên thứ ba có tích hợp với các hệ thống kinh doanh cốt lõi như Salesforce, nền tảng nhân sự hoặc cơ sở dữ liệu khách hàng, vụ xâm phạm Klue là một lời nhắc nhở rằng sự an toàn dữ liệu của bạn phụ thuộc vào các thực hành bảo mật mà bạn không thể hoàn toàn thấy hoặc kiểm soát. Hãy hỏi trực tiếp các nhà cung cấp liệu các thông tin đăng nhập cũ hoặc thuộc chương trình thử nghiệm có đang được kiểm toán và vô hiệu hóa hay không, và liệu MFA có được thực thi tại mọi điểm tích hợp, không chỉ các lần đăng nhập chính của người dùng.
Đối với các cá nhân có thông tin có thể nằm trong hệ thống của nhà cung cấp với tư cách là khách hàng, khách hàng tiềm năng hoặc liên hệ, cần nhớ rằng một thông báo xâm phạm có thể chỉ mô tả tác nhân đầu tiên được biết đã truy cập dữ liệu của bạn. Như trường hợp của Klue cho thấy, các hồ sơ bị đánh cắp có thể lan truyền xa hơn trong các mạng lưới tội phạm, đôi khi dẫn đến các nỗ lực tống tiền thứ cấp không liên quan gì đến tiết lộ xâm phạm ban đầu.
Các điểm chính để giảm thiểu rủi ro bên thứ ba
Vụ xâm phạm Klue nhấn mạnh rằng rủi ro mạng từ bên thứ ba không phải là một mục giả định trong báo cáo tuân thủ. Đó là một mối đe dọa chủ động, đang phát triển, nơi dữ liệu bị đánh cắp có thể bị bán, bị đánh cắp lại hoặc bị các bên khác độc lập kiếm tiền từ lâu sau sự cố ban đầu. Các doanh nghiệp nên coi vệ sinh thông tin đăng nhập của nhà cung cấp, bao gồm việc vô hiệu hóa kịp thời các tài khoản tích hợp không sử dụng và thực thi MFA phổ quát, là một yêu cầu cơ bản thay vì một thực hành tốt nhất. Các cá nhân nên cảnh giác với các nỗ lực tống tiền hoặc lừa đảo bất ngờ có tham chiếu đến chi tiết cá nhân, ngay cả từ các bên không liên quan đến thông báo xâm phạm ban đầu, vì dữ liệu đó hiện có thể đang lan truyền vượt xa điểm bị xâm phạm đầu tiên.
