供应链攻击数据勒索活动无需触碰你的设备，就能将你的信息置于风险之中。它只需攻破你的供应商已经信任的某个工具。这就是 TeamPCP 案件所呈现的画面——美国当局于 8 月宣布了一份起诉书，并在澳大利亚实施了一次逮捕。

可获得的细节有限，因此本文仅限于已报道的内容。来源报道来自 Virtual Routes，其中描述 FBI 明确指出，其中一些案件涉及数据窃取和勒索，但没有勒索软件加密，并将 TeamPCP 相关条目列为另一条勒索途径。

TeamPCP 如何将可信软件变成数据窃取渠道

根据报道，7 月的一份公告描述了可信软件工具被入侵以及敏感信息被盗的情况。这一模式值得了解，因为它不同于经典的勒索软件故事。没有锁屏，也没有加密文件。相反，攻击者入侵组织已经依赖的软件，利用该访问权限窃取数据，然后索要付款。

8 月，美国当局宣布了一份起诉书，并在澳大利亚实施了一次逮捕。相关指控称，被入侵的软件使下游客户的数据遭到窃取，随后出现了勒索要求。通俗地说，受害者不仅包括工具被入侵的公司，还包括使用该工具的客户。

这正是此类供应链攻击数据勒索活动对犯罪分子而言高效的原因。一个入侵点可以同时打开通往许多组织的大门，随后每个组织都可以被单独施压。

起诉书和澳大利亚逮捕改变了什么，又没有改变什么

起诉书和逮捕是有意义的举措。它们表明，美国和澳大利亚当局之间的跨境合作能够产生成果，也向其他运行类似计划的人发出了信号。

但在现阶段，这些仍只是指控，而来源文章的标题点出了更大的问题：追究勒索软件犯罪分子责任的道路漫长。法律案件需要时间，而数据窃取却发生得很快。一旦信息被窃取，逮捕并不能保证它能够被追回，也不能保证副本没有在流传。

还有一个更广泛的问题。执法往往是在损害发生之后跟进，而不是预防损害。读者应将逮捕视为对威慑的好消息，而不是放松自身防护的理由。

为什么下游客户承担风险

在这些事件中，下游客户往往是最不显眼的一方。他们可能不知道供应商使用哪些工具、这些工具拥有什么访问权限，或者他们的数据有多少存放在第三方系统中。当可信工具被入侵时，泄露的数据可能包括供应商或其客户存储在那里的任何内容。

这可能包括普通个人信息。相关报道展示了勒索驱动的数据泄露对个人意味着什么。关于 Novo Nordisk 和 OnePoint 泄露暴露 80 万份患者文件 的报道说明了医疗数据可能暴露到何种程度，而最近一则关于 FBI 探员 2 至 3 TB 数据的说法则表明，即使是安全声誉很强的组织也会面临勒索者的压力。

共同点是，数据被窃取的人很少对导致数据暴露的安全选择拥有发言权。

这对你意味着什么

你无法审计每一个持有你数据的供应商，也无法阻止供应商被入侵。你能控制的是，有多少东西可供窃取，以及被窃数据能造成多大损害。

你分享得越少，勒索团伙能利用的就越少。而且由于勒索依赖筹码，被盗数据通常会以多种方式变现。对我们关于Chainalysis 将加密钱包与赎金支付关联起来一文中某个勒索团伙疑似泄露事件的分析，可以了解这些支付流是如何运作的。

限制暴露的实用方法

  • 少向供应商分享信息。 只提供服务真正需要的信息。跳过可选字段，并删除你不再使用的账户。
  • 开启多因素认证。 如果凭据在一次泄露中暴露，MFA 会让它们更难被使用。尽可能优先选择基于应用或硬件的方式，而不是短信。
  • 使用唯一密码。 密码管理器让这一点变得可行，这样一次泄露不会解锁其他账户。
  • 阅读泄露通知。 不要忽略关于你所往来公司事件的电子邮件或信件。它们通常会包含步骤和截止日期，例如信用监控服务。
  • 对勒索信息保持怀疑。 如果有人联系你并声称持有你的数据，在回应或付款前，通过官方渠道核实。
  • 监控你的账户。 留意财务报表，如果敏感标识信息被暴露，考虑进行信用冻结。

要点

TeamPCP 案件提醒我们，供应链攻击数据勒索活动可以通过人们从未选择的工具触及普通客户。8 月的起诉书和澳大利亚逮捕令人鼓舞，但问责的进展比伤害更慢。限制你交出的信息，启用 MFA，并留意泄露通知。若要了解更多关于被盗数据如何被使用的内容，请参阅我们关于 McKesson 泄露和柏林勒索软件案件 的每周综述。