Η απόλυτη εξάρτηση των επιχειρήσεων από εργολάβους πληροφορικής εκθέτει τα εσωτερικά τους δίκτυα σε ανυπολόγιστους κινδύνους. Εμείς στο TechNoid αναλύουμε πώς ένας πρώην υπάλληλος της Siemens-backed Brightly Software κατάφερε να εκβιάσει την πρώην εργοδότριά του για εκατομμύρια, αποκαλύπτοντας τα τεράστια κενά ασφαλείας στα συστήματα διαχείρισης ταυτότητας.
- Ο 27χρονος Cameron Curry καταδικάστηκε σε φυλάκιση δύο ετών για απόπειρα εκβιασμού 2,5 εκατομμυρίων δολαρίων σε Bitcoin.
- Χρησιμοποίησε δεδομένα μισθοδοσίας και προσωπικά στοιχεία υπαλλήλων που υπέκλεψε αμέσως μετά τη λήξη της σύμβασής του.
- Η υπόθεση αναδεικνύει την ανάγκη για άμεση ανάκληση προσβάσεων τρίτων συνεργατών, όπως επισημαίνουν και οι σχετικές δικαστικές αρχές των ΗΠΑ.
Η ανατομία της κυβερνο-επισκεψης
Όταν ο Cameron Curry είδε την εξαμηνιαία σύμβασή του στη Brightly Software να λήγει στις 10 Δεκεμβρίου 2023, αποφάσισε να αξιοποιήσει προνομιακές προσβάσεις που διατηρούσε ως data analyst contractor. Σύμφωνα με το ρεπορτάζ του BleepingComputer, ο δράστης απέκτησε κρυφή πρόσβαση στη βάση δεδομένων μισθοδοσίας πριν αποχωρήσει οριστικά. Την επόμενη κιόλας ημέρα, χρησιμοποιώντας το ψευδώνυμο “Loot” και διεύθυνση στο Outlook, άρχισε να απειλεί στελέχη της εταιρείας με τη διαρροή ευαίσθητων εγγράφων και PII (Personally Identifiable Information) δεδομένων.
Η στρατηγική του βασίχετο στον φόγω της δημόσιας κατακραυγής και της παρέμβασης των ρυθμιστικών αρχών. Ο ίδιος απειλούσε ότι θα ενημερώσει την SEC (U.S. Securities and Exchange Commission) για δήθεν απόκρυψη παραβίασης δεδομένων, απαιτώντας λύτρα σε κρυπtonomismata. Παρά το γεγονός ότι η εταιρεία κατέβαλε ένα μικρό μέρος των λύτρων (7.540 δολάρια σε Bitcoin) για να κερδίσει χρόνο, η άμεση καταγγελία στο FBI οδήγησε σε έρευνα κατ’ οίκον στις 24 Ιανουαρίου 2024 και στην κατάσχεση των ηλεκτρονικών συσκευών του.
Λάθη στην ασφάλεια προσβάσεων
Το βασικότερο πρόβλημα σε αυτή την υπόθεση δεν είναι η κακόβουλη πρόθεση ενός εργολάβου, αλλά η τε τεράστια καθυστέρηση στην απενεργοποίηση των διαπιστευμάτων του. Σύμφωνα με τα στοιχεία του U.S. Attorney’s Office for the Western District of North Carolina, οι εταιρείες SaaS συχνά αποτυγχάνουν να συγχρονίσουν τη λήξη μιας σύμβασης εξωτερικού συνεργάτη με την άμεση ανάκληση των δικαιωμάτων διαχειριστή. Όταν ένας εργολάβος γνωρίζει εκ των προτέρων την ημερομηνία αποχώρησής του, διαθέτει αρκετό χρόνο για να αποθηκεύσει τοπικά αντίγραφα κρίσιμων αρχείων.
Επιπλέον, η Brightly Software βρέθηκε αντιμέτωπη με ιστορικό ευπαθειών, καθώς τον Μάιο του 2023 είχε προηγηθεί διαρροή δεδομένων που αφορούσε σχεδόν 3 εκατομμύρια πελάτες της πλατφόρμας SchoolDude. Όπως αναλύεται και σε προηγούμενα ρεπορτάζ μας στο TechNoid σχετικά με την ασφάλεια cloud υποδομών, η έλλειψη αυστηρής τμηματοποίησης δικτύου επιτρέπει σε κατόχους έγκυρων κωδικών να κινούνται ελεύθερα ανάμεσα σε τμήματα HR και βάσεις δεδομένων πελατών.
Προστασία για τις επιχειρήσεις
Για να θωρακίσεις μια σύγχρονη επιχείρηση απέναντι σε εσωτερικές απειλές (insider threats), δεν αρκούν οι κλασικές πολιτικές κωδικών πρόσβασης. Απαιτείται αυτοματοποιημένος έλεγχος ταυτότητας και Zero Trust αρχιτεκτονική. Αν διαχειρίζεσαι ομάδες εξωτερικών συνεργατών, εφάρμοσε άμεσα τα παρακάτω μέτρα:
- Ενσωμάτωσε το HR σύστημα απευθείας με το Active Directory, ώστε η λήξη σύμβασης να απενεργοποιεί τα accounts σε πραγματικό χρόνο.
- Εφάρμοσε Data Loss Prevention (DLP) εργαλεία που εμποδίζουν τη μαζική εξαγωγή αρχείων μισθοδοσίας σε εξωτερικά μέσα αποθήκευσης.
- Διεξήγαγε ελέγχους πρόσβασης (Access Reviews) ανά τακτά χρονικά διαστήματα, ειδικά για λογαριασμούς με προνομιακά δικαιώματα (privileged accounts).
- Μην υποτιμάς ποτέ την ψυχολογική διάσταση· οι απολυμένοι ή μη ανανεωμένοι contractors αποτελούν το συχνότερο σημείο διαρροής.
Η άποψή μας στο TechNoid
Εμείς στο TechNoid πιστεύουμε ότι η ποινή των δύο ετών φυλάκισης στον Cameron Curry είναι πολύ επιεικείς για μια πράξη που υπονομεύει την ψηφιακή ασφάλεια χιλιάδων οργανισμών. Οι εταιρείες τεχνολογίας εξακολουθούν να αντιμετωπίζουν την κυβερνοασφάλεια ως υποχρέωση συμμόρφωσης και όχι ως ζήτημα επιβίωσης. Αν ήμασταν στη θέση της διοίκησης της Brightly, όχι μόνο θα είχαμε αυτοματοποιήσει την ανάκληση προσβάσεων λεπτά μετά τη λήξη της σύμβασης, αλλά θα κινηθήκαμε νομικά με μέγιστη αυστηρότητα για παραδειγματισμό, μη αφήνοντας περιθώρια διαπραγμάτευσης με εκβιαστές μέσω Bitcoin.
Συχνές Ερωτήσεις για την υπόθεση εκβιασμού της Brightly Software
Ποιος είναι ο Cameron Curry και τι έκανε;
Είναι πρώην εξωτερικός αναλυτής δεδομένων της Brightly Software που καταδικάστηκε για εκβιασμό 2,5 εκατομμυρίων δολαρίων μετά την κλοπή εσωτερικών εγγράφων.
Πώς απέκτησε πρόσβαση στα δεδομένα ο δράστης;
Χρησιμοποίησε τις υπάρχουσες προσβάσεις του ως contractor λίγο πριν λήξει η σύμβασή του, υποκλέπτοντας στοιχεία μισθοδοσίας και προσωπικά δεδομένα υπαλλήλων.
Πόσα λύτρα πλήρωσε τελικά η εταιρεία;
Η Brightly κατέβαλε το ποσό των 7.540 δολαρίων σε Bitcoin προτού καταγγείλει επίσημα το περιστατικό στο FBI.
Ποια υπηρεσία επιβολής του νόμου συνέλαβε τον Curry;
Το FBI συνέλαβε τον δράστη μετά από έρευνα στην κατοικία του στη Βόρεια Καρολίνα τον Ιανουάριο του 2024.
Σε ποια εταιρεία ανήκει η Brightly Software;
Η Brightly (πρώην SchoolDude) εξαγοράστηκε από τη Siemens τον Αύγουστο του 2022.
Ποια ποινή επιβλήθηκε στον κατηγορούμενο;
Ο Curry καταδικάστηκε σε ποινή φυλάκισης δύο ετών από το ομοσπονδιακό δικαστήριο των ΗΠΑ.
Υπήρχαν προηγούμενα περιστατικά παραβίασης στη Brightly;
Ναι, τον Μάιο του 2023 η εταιρεία είχε αποκαλύψει ξεχωριστή διαρροή δεδομένων που αφορούσε 3 εκατομμύρια χρήστες της πλατφόρμας SchoolDude.
