Хакери атакують вас через постачальників. Як це працює та як захиститися?

Безпека ланцюгів постачання стала одним з основних пріоритетів для американського уряду у 2021-му році. Відбулося це не без причини: роком раніше масштабна Supply chain-атака вразила сотні великих підприємств у Північній Америці, Європі, Азії та безпосередньо у США.

Жертвами стали учасники списку Fortune 500, зокрема десятки провідних телекомунікаційних та бухгалтерських компаній, сотні університетів та коледжів, а також американські урядові структури, серед яких Міністерство фінансів і торгівлі США, американські збройні сили та Пентагон.

Вважається, що за цією масовою кібератакою стояли російські хакери з групи Cozy Bear. Вони скомпрометували оновлення програмного забезпечення Orion від SolarWinds. Доступ до нього зловмисники використали, щоб розповсюдити заражені троянські оновлення серед користувачів ПЗ. Ця Supply chain-атака стала однією з найбільших в історії.

Проте вона була далеко не єдиною. Хакери через постачальників вражали й інші компанії:

• ASUS, 2018 рік. Систему оновлення компанії зламали, щоб розіслати шкідливі файли на півмільйона комп’ютерів.
• British Airways, 2018 рік. Компанія виявила, що хакерам вдалося зламати її вебсайт і додаток, викравши дані багатьох тисяч клієнтів, зокрема інформацію про кредитні картки та електронні адреси. Причиною був зловмисний код від сторонніх постачальників, які використовувала British Airways.
• Colonial Pipeline, 2021 рік. Найбільша американська трубопровідна система стала жертвою атаки програми-вимагача в травні 2021 року. Вона заразила деякі цифрові системи трубопроводу, вимкнувши його на кілька днів. Через це Джо Байден навіть оголосив надзвичайний стан, адже злом було визнано загрозою національній безпеці. У мережу компанії хакери потрапили через відкритий пароль для облікового запису VPN.

Українцям кібератаки на ланцюги постачання також добре відомі за вірусом NotPetya. У 2017 році від нього постраждали багато українських приватних та державних установ, у тому числі банків, ЧАЕС, Укртелекому, Укрпошти, Укрзалізниці, аеропорту «Бориспіль» тощо. Робота структур була на певний час заблокована, а багато даних — безповоротно втрачено. Ця Supply chain-атака стала можливою через зламані популярні сервіси компанії M.E.Doc.

Головна загроза саме Supply chain attack у тому, що зловмисники атакують свою жертву не напряму. Вони потрапляють у її ІТ-системи через зовнішнього партнера або постачальника, яким компанії надають легітимні доступи до своєї ІТ-інфраструктури. Такі підприємства можуть мати наступні проблеми:

• Дешеві рішення з кібербезпеки для захисту даних компанії.
• Низький рівень кіберграмотності серед співробітників, що робить їх мішенню для фішингових атак.
• Користування персональними незахищеними комп’ютерами серед персоналу.
• Несвоєчасні оновлення ПЗ тощо.

Supply chain-атака відбувається у три фази:

1. Атака та закріплення в підрядній організації через віруси, фішинг, вразливості тощо.
2. Очікування легітимного підключення співробітника підрядної організації до цільової компанії.
3. Перехоплення управління та проведення атаки на цільову компанію.

У такому випадку добре захищена цільова компанія зазнає кібератаки та може втратити свої дані або навіть контроль над власними ІТ-системами. І ризик стати жертвою саме такої дії хакерів багаторазово збільшився з початком повномасштабного російського вторгнення в Україну.

Кібератаки на Україну стали для росії її повноцінною зброєю, але негативно змінився їхній характер. Якщо раніше головною метою хакерів був викуп, грошова винагорода, то під час активних бойових дій мова йде про знищення/викрадення даних та зупинку роботи критично-важливої інфраструктури країни – банків, галузі телеком та енергетики, державних органів, медіа тощо. Тож, мова йде про виживання, а тому ризики від дій зловмисників зростають в рази.

Натомість злом ІТ-систем може статися навіть банально через вразливість працівників компанії-підрядника. Директор з кібербезпеки Київстар Юрій Прокопенко розповідає:

Складність захисту від атак на ланцюг постачання обумовлюється тим, що компанії-замовники часто мають гібридну ІТ-інфраструктуру: вони використовують як локальні сервери й комп’ютери, так і взаємодіють з різними хмарами. Це додає проблем, адже фахівцям важче визначити периметр безпеки компанії для повноцінного захисту корпоративних систем. Утім, усвідомлення проблем — це перший крок до їхнього вирішення.

Спираючись на власний досвід, директор з кібербезпеки Київстар Юрій Прокопенко радить компаніям, які хочуть захиститися від Supply chain attack, втілити наступні кроки:

1. Переоцінити ризики атак на ланцюг постачання для власної компанії.
2. Посилити контроль підрядників. Особливу увагу варто звернути на обладнання, з якого їхні співробітники підключаються до ІТ-систем замовника.
3. Встановити вимоги до підрядних організацій щодо високого рівня кібербезпеки у їхній ІТ-інфраструктурі, а також заохочувати партнерів проходити щорічний незалежний аудит.
4. Надавати підрядникам та партнерам власні сервіси для гарантованої кібербезпеки ІТ-систем.

Юрій Прокопенко коментує:

Ба більше, компаніям сьогодні не потрібно з нуля самостійно будувати свою систему кіберзахисту. Можна скористатися готовим комплексним захистом від кібератак, який для українського бізнесу пропонує Київстар. Його інструменти, розроблені лідерами у сфері інформаційного захисту Fortinet, Barracuda і Commvault, захистять мережеву інфраструктуру, сервіси та хмарні рішення вашої компанії від загроз різних типів. Це дозволить мінімізувати ризик Supply chain-атаки та значно посилить загальну інформаційну безпеку бізнесу.