Как киберпреступники эксплуатируют партнеров цепочки поставок для атак

По своей природе цепочка поставок требует сотрудничества между людьми и организациями. Хотя это может помочь достичь общей цели и способствовать росту, оно также может создавать множество проблем.

Через эти симбиотические отношения компании неосознанно раскрывают чувствительные аспекты своего бизнеса. Однако эта упущенная слабость открыла возможности для киберпреступников закрепиться в их целевых организациях.

Подчеркивая распространенность таких атак, исследование Opus и Ponemon Institute показывает, что по крайней мере 59% организаций пострадали от кибератак через сторонние компании. Еще более тревожно то, что только 16% организаций в исследовании заявили, что эффективно снижают киберриски от третьих сторон.

Логично, что первый шаг к защите вашей компании от таких рисков — их идентификация. Ниже приведены некоторые способы, которыми злонамеренные актеры могут инициировать атаку через партнера цепочки поставок, проиллюстрированные реальными примерами.

Почти каждая организация использует внешнее оборудование и ПО. Мало кто хочет строить технологии с нуля. Вместо этого бум в сфере открытого кода привел к массивной волне аутсорсинга почти во всех аспектах бизнес-операций.

Несмотря на удобство, эта возможность несет значительный риск. Славившийся взлом Equifax в 2018 году произошел из-за ошибки в программном обеспечении, управляющем онлайн-базами данных. Equifax также обвинила в этом вредоносную ссылку для скачивания на своем сайте, которая пришла от другого поставщика.

В результате этих слабостей в их цепочке поставок преступники получили личные данные не менее 143 миллионов человек.

Множество компаний используют системы отопления, вентиляции и кондиционирования (HVAC), подключенные к интернету, но лишенные адекватных мер безопасности. Они дают хакерам потенциальный шлюз в корпоративные системы, как это было в случае массового взлома Target в 2014 году.

Хакеры получили доступ к учетным данным компании, предоставляющей HVAC-систему Target. Они вошли и попали в ее платежные системы, украв информацию, принадлежащую примерно 70 миллионам людей. В нее входили имена, физические адреса, адреса электронной почты и номера телефонов, среди других чувствительных данных.

Другая форма риска исходит от провайдеров облачных сервисов, хранящих конфиденциальные данные компаний. Безусловно, такие сущности значительно инвестируют в безопасность своих систем; их репутация от этого зависит.

Но как и любые другие организационные системы, они также уязвимы для компрометации. Так было в случае известного взлома Paradise Papers в 2018 году. Примерно 13,4 миллиона чувствительных файлов утекли, раскрывая чувствительные финансовые сделки глобальных корпораций и сверхбогатых людей со всего мира. По крайней мере половина этих файлов, около 6,8 миллионов, пришла от Appleby, оффшорного юридического провайдера услуг.

Подобная атака произошла летом 2018 года, когда Deep Root Analytics утечка личных данных около 200 миллионов избирателей. Deep Root — маркетинговая фирма, используемая как Республиканской, так и Демократической партиями. Взлом произошел из-за того, что фирма случайно положила данные на публично доступный сервер.

Хотя это относительно небольшая компания с примерно 50 сотрудниками, похожие инциденты происходили и в более крупных организациях. В случае взлома Verizon, Nice Systems положили 6 миллионов записей клиентов на публичный сервер хранения Amazon S3. Записи состояли из шести месяцев логов звонков в службу поддержки клиентов. Они включали личную и аккаунт информацию. У Nice более 3500 сотрудников.

Deloitte, с более чем 250 000 сотрудниками, пережила похожий взлом данных. В сентябре 2018 года хакеры получили доступ к конфиденциальным планам и электронным письмам некоторых ее блю-чип клиентов. Лазейка в этом случае — слабые контролы доступа к одной из ее административных учетных записей.

Для крупного бизнеса безопасность может быть внутренне герметичной. Однако это может не быть верным даже для IT-систем поставщиков. Кажется, это произошло в Domino's Pizza в Австралии прошлой осенью. По отчетам того времени, инцидент произошел из-за слабых систем кибербезопасности бывшего поставщика. В результате система утекла имена клиентов и адреса электронной почты. Взлом стало известно только когда пораженные клиенты начали получать персонализированные спам-письма. Хотя Domino's настаивала, что не было вредоносного взлома личных данных и что их системы не были в вине, ущерб уже был нанесен.

Другая лазейка, которую могут использовать киберпреступники — датчики интернета вещей (IoT). Многие операторы бизнеса насторожены по поводу рисков безопасности компьютеров, телефонов и сетей. Но они часто упускают IoT-устройства, которые могут позволить атакующим перепрыгнуть в корпоративные системы.

Эти устройства имеют датчики, которые соединяют их с интернетом для коммуникации. Они распространены в цепочках поставок, так как могут помогать в предсказании отказов оборудования и управлении запасами, среди других областей. Несмотря на их функциональную ценность, они являются популярным вектором атаки, который может дать атакующим доступ к чувствительным данным и способствовать саботажу и атакам ботнетов.

Пример такой атаки использовал ботнет, известный как Mirai, для компрометации Dyn, компании, предоставляющей доменные именные сервисы Reddit, Netflix и Github, среди других. Mirai — ботнет, специфичный для IoT, разработанный для совершения распределенных атак типа «отказ в обслуживании» (DDoS).

Приведенные выше примеры дают весомость факту, что атакующие могут использовать слабое звено в вашей цепочке поставок для получения доступа к системам. К сожалению, вы не можете осуществлять прямой контроль над мерами безопасности, которые внедряют ваши партнеры по цепочке поставок. Но в конце дня клиенты не заботятся о том, как вы были скомпрометированы. Они просто хотят знать, что их данные безопасны. И это помещает ответственность за обеспечение жесткой безопасности в ваши руки.

Соверительная проверка при оценке систем безопасности третьих сторон и их политик конфиденциальности — необходима. Как мы видели, организации большие и малые могут стать жертвами этих тактик. Независимо от размера ваших партнеров, важно оценить их приверженность безопасности.

Сделайте главным объектом оценку того, где ваши слабости лежат, и приоритизируйте закрытие всех лазеек.

Оливия Скотт — маркетинговый менеджер в VPNpro.com.