Aliance států působí roztomile, počet obětí ale roste a firmy platit musí

Komentář Karla Fišnara – šéfa týmu Cloud Solutions & Services v poradenské společnosti RSM

Že se s hackery nevyjednává, to si můžete říct v roli státu nebo státní organizace. Pokud jste ale firma, riskujete více. A ochota útočníků čekat na to, až se firmy rozhodnou, zda na jejich hru přistoupí, je stále nižší. Všichni proto musíme počítat s tím, že zveřejňování často i velmi citlivých údajů firem a jejich zákazníků nebude nic neobvyklého a náklady firem porostou. Přitom ty ve třetím čtvrtletí roku 2023 byly opět rekordní – napadené firmy po celém světě hackerům zaplatily téměř 700 milionů dolarů.

Pokud má firma představu, že v případě hackerského útoku budou její data šifrována, měla by se s ní dávno rozloučit. Pokud jsme totiž mohli ve třetím čtvrtletí něco sledovat, byla to rovnou unikající data těch, kdo vyčkávali a s hackery zkoušeli nevyjednávat. Zkušenost a přístup, který ke svým datům musí firmy zaujmout je přitom v jasném kontrastu s tím, jak se k rizikům nedostatečné kyberbezpečnosti staví vlády.

Škála toho, co hackeři s daty nejraději podnikají, není příliš široká, účinnost jejich kroků je ale rostoucí. Zářijový útok skupiny Monti na brněnskou Univerzitu obrany veřejně začal zveřejněním názvů 150 tisíc souborů, které byly umístěny na jejích serverech. Přesto, že hackeři škole vyhrožovali, že zveřejní 750 GB souborů obsahujících často i velmi citlivá data o spolupracovnících a studentech školy, od zveřejnění části dat Fakulty vojenského leadershipu na konci října nemáme novější zprávy o dalších únicích, což obvykle svědčí o jediném…

Pak jsou tu ale i případy další – poslední týdny totiž bohužel nabídly zajímavé čtení například i fanouškům letounů Boeing. Právě jejich výrobce byl totiž 27. října uvědomen o tom, že se stal obětí útoku. Jen o pět dní později vypršela lhůta, během které se musel rozhodnout, zda s hackery naváže komunikaci a přistoupí na možnost zaplacení výkupného. Zatímco dříve by se firma možná musela smířit jen s tím, že svá data už neuvidí, i v tomto případě hackerská skupina LockBit přistoupila k bolestivějšímu kroku a začala data firmy zveřejňovat. Nejdříve 4 GB, později dalších 39 GB dokumentů.

Hlavním terčem služby – aneb když máte odpovědnost nejen za sebe

A pokud by někdo o ochotě zaplatit výkupné přesto pochyboval, je důležité si připomenout, že stále častěji můžeme sledovat cílené pokročilé útoky na centra sítí a serverů. Pokud totiž zodpovídáte jen sami za sebe, budoucnost své firmy a svých zaměstnanců, je to jedna věc. Něco jiného je, pokud na vás závisí i budoucnost a reputace dalších. Na to konec konců vsadil i květnový útok na bezpečnostní problém aplikace pro realizaci datových přenosů MOVEit provozované společností Progress Software.

Počet obětí z řad firem útočníci zveřejňovali jen postupně po deseti a vlastně nikdy nebude jisté, zda je jejich seznam konečný. Právě tento útok ale zajistil, že se téměř o všech incidentech se veřejnost dozví, a to nejpozději do 4 dnů od jeho odhalení.

Že by firma specializovaná na přenosy dat podcenila svoji kybernetickou bezpečnost razantnějším způsobem, tomu lze jen těžko věřit. Je to koneckonců i jeden z důvodů, proč se právě software tak velkých profesionálů se 65 miliony klientů po celém světě rozhodnete využívat. A nejen v takových případech je těžké firmu v zarputilém přístupu k hackerům podporovat, nebo si ho vůbec představit.

Stát má výhodu, jakou si firma nemůže dovolit.

Ve chvíli, kdy padesátka zemí řekne, že s hackery nevyjednává, tak jako to v listopadu učinila nově formovaná Mezinárodní asociace proti ransomwaru, je to možná pěkné gesto, ale nic jiného. Podle serveru Verizon je ale 95 % útoků motivovaných finančně, u dalších 5 % můžeme hovořit například o politických motivacích, o pohnutkách spojených s nedostatkem emociálně laděných politických projevů jsem alespoň zatím ale neslyšel.

Stát si může dovolit luxus, jaký firma nemá. Pokud by totiž došlo například k úniku dat, kterými disponuje Správa sociálního zabezpečení, bude na stole hlava technického ředitele, možná několik dalších. Instituce jako taková je ale těžko nahraditelná. Cílem květnových kybernetických útoků Clop ransomware směřujících na MOVEit ale bylo vše – data renomovaných bank, výrobních firem, přepravních firem, dokonce i největších poradenských institucí, na něž byste se neváhali obrátit s dotazem na vlastní zabezpečení.

Mezi postižené patří velké společnosti jako American Airlines, konzultační firmy EY a PwC, energetický magnát Shell, PBI Research Services, ministerstva energetiky a zemědělství USA, Úřad pro personální management, britský regulátor Ofcom, a mnoho dalších. Není divu, že si útočníci tento exploit šetřili pravděpodobně už od roku 2021. V posledních dnech Clop začal zveřejňovat informace o dalších 50 organizacích prostřednictvím své webové stránky pro únik dat. A je zřejmé, že podobné útoky se mohou opakovat prakticky kdykoli, protože se stále bohužel vyplácejí.

Hackeři ví, kam mířit, a jsou to právě korporátní služby, které se stávají jejich nejoblíbenějším cílem. A zcela logicky pracují s noční můrou všech firem tohoto segmentu – kompromitací údajů klientů přes společnosti, které s nimi nakládají. (6.12.2023)