Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
The Com to luźno powiązany ekosystem grup przestępczych, którego aktywność wykracza daleko poza klasyczne cyberataki. Struktura ta łączy działania hackerskie z wymuszeniami, oszustwami, przemocą w świecie fizycznym oraz seksualnym wykorzystywaniem ofiar, w tym osób nieletnich. Z perspektywy cyberbezpieczeństwa oznacza to, że skutki udanego włamania nie ograniczają się wyłącznie do strat finansowych i operacyjnych, lecz mogą zasilać znacznie szerszą działalność przestępczą.
W skrócie
The Com jest opisywane jako rozproszony kolektyw, w którym przenikają się role związane z cyberatakami, sextortion, oszustwami i przemocą offline. W analizach dotyczących tego środowiska wskazuje się, że część znanych nazw funkcjonujących w obszarze zagrożeń, takich jak Scattered Spider, Lapsus$ czy ShinyHunters, może mieć powiązania personalne, operacyjne lub środowiskowe z tym samym szerszym zapleczem przestępczym.
- atakujący koncentrują się na usługach chmurowych i platformach SaaS,
- pozyskane środki mogą wspierać dalsze przestępstwa,
- incydenty trzeba analizować szerzej niż tylko jako naruszenia danych lub kont.
Kontekst / historia
W ostatnich latach krajobraz cyberprzestępczości ewoluował od bardziej scentralizowanych i rozpoznawalnych grup do luźniejszych społeczności działających pod wieloma nazwami. W przypadku The Com kluczowe jest właśnie to rozproszenie: uczestnicy mogą funkcjonować równolegle w różnych podgrupach, zmieniać afiliacje i angażować się w kilka rodzajów przestępstw jednocześnie.
Według analiz branżowych znacząca część członków tego środowiska ma pochodzić z Ameryki Północnej, a rekrutacja często odbywa się przez platformy społecznościowe, komunikatory i społeczności gamingowe. Szczególnie niepokojący jest model pozyskiwania nowych uczestników, oparty na manipulacji psychologicznej, szantażu, a czasem także przekształcaniu ofiar w sprawców. To odróżnia The Com od wielu tradycyjnych grup ransomware czy operatorów fraudowych.
W opisach tego środowiska pojawia się też podział na kilka warstw funkcjonalnych: część odpowiedzialną za przestępstwa fizyczne, część skoncentrowaną na wymuszeniach i eksploatacji oraz część hackerską realizującą włamania, ataki DDoS, SIM swapping i inne działania techniczne. Granice między tymi segmentami są jednak rozmyte.
Analiza techniczna
Technicznie The Com nie jest pojedynczą grupą APT ani zwartą organizacją z wyraźną hierarchią. To raczej federacja powiązań personalnych i przestępczych, w której kompetencje są współdzielone zależnie od okazji i celu. Z operacyjnego punktu widzenia oznacza to wysoką elastyczność, szybkie przegrupowywanie się oraz zdolność do działania pod różnymi markami.
Jednym z najważniejszych wektorów ataku przypisywanych środowisku powiązanemu z The Com są kompromitacje tożsamości i dostępów do usług chmurowych oraz SaaS. Atakujący koncentrują się na platformach będących centralnym punktem zarządzania tożsamością, komunikacją i danymi przedsiębiorstwa. Uzyskanie dostępu do takich systemów pozwala im eskalować uprawnienia, przejmować kolejne konta, eksfiltrować dane, prowadzić szantaż lub wykorzystywać środowisko ofiary do dalszych operacji.
W praktyce taki model zwykle opiera się na kombinacji kilku technik.
- inżynieria społeczna wymierzona w help desk, administratorów i użytkowników uprzywilejowanych,
- przejmowanie numerów telefonów i tożsamości abonenta w celu obejścia MFA opartego na SMS,
- ataki na procesy resetu haseł i odzyskiwania kont,
- nadużywanie legalnych narzędzi administracyjnych po uzyskaniu dostępu,
- szybkie przemieszczanie się między usługami chmurowymi, pocztą, systemami IAM i repozytoriami danych.
Istotnym aspektem jest także płynność afiliacji. Operator, który dziś działa w kampanii przypisywanej jednej nazwie, jutro może uczestniczyć w operacji sygnowanej inną marką. Utrudnia to atrybucję, modelowanie TTP i ocenę ryzyka na podstawie samych etykiet grup.
Dodatkowo środowisko to nie ogranicza się do cyberataków finansowych. Kompetencje techniczne, infrastruktura oraz zyski z włamań mogą być wykorzystywane do wspierania innych form działalności przestępczej, w tym koordynacji działań w świecie fizycznym. Cyberkomponent pełni więc rolę zarówno źródła finansowania, jak i narzędzia operacyjnego.
Konsekwencje / ryzyko
Dla firm podstawowym skutkiem pozostają utrata danych, zakłócenia operacyjne, koszty reakcji na incydent, roszczenia prawne i szkody reputacyjne. W przypadku The Com ryzyko należy jednak oceniać szerzej. Organizacja, która utraci kontrolę nad środowiskiem chmurowym lub tożsamościami użytkowników, może nieświadomie stać się źródłem finansowania dalszej działalności przestępczej o znacznie cięższym charakterze.
- kompromitacja systemów IAM i chmury jako punktu wejścia do całego ekosystemu przedsiębiorstwa,
- wykorzystanie skradzionych danych do szantażu, oszustw i kolejnych kampanii,
- wzrost ryzyka wtórnych nadużyć wobec partnerów, klientów i pracowników,
- trudności w atrybucji wynikające z nakładających się nazw grup i rotacji członków,
- niedoszacowanie skali zagrożenia przez traktowanie incydentu wyłącznie jako klasycznego włamania finansowego.
Szczególnie niebezpieczne jest rozmycie granicy między cyberprzestępczością a przemocą w świecie rzeczywistym. Jeśli operatorzy dysponują siecią kontaktów zdolnych do realizacji działań fizycznych, incydent cybernetyczny może stać się elementem większej kampanii zastraszania, nękania lub przemocy wobec konkretnych osób.
Rekomendacje
Organizacje powinny przyjąć założenie, że ataki na tożsamość i usługi SaaS są dziś jednym z głównych wektorów ryzyka. Obrona powinna obejmować zarówno kontrolę techniczną, jak i procedury operacyjne.
- wdrożenie phishing-resistant MFA, zwłaszcza dla administratorów, help desku i kont uprzywilejowanych,
- ograniczenie zależności od SMS i połączeń głosowych jako drugiego składnika uwierzytelniania,
- utwardzenie procesów resetu haseł, odzyskiwania kont i zmian danych abonenta,
- ścisły monitoring logowań do platform IAM, poczty, CRM i narzędzi administracyjnych w chmurze,
- segmentacja uprawnień oraz stosowanie zasady najmniejszych uprawnień,
- wdrożenie detekcji anomalii związanych z nietypowymi zmianami MFA, rejestracją nowych urządzeń i eskalacją ról,
- przegląd relacji z dostawcami usług wsparcia, w tym procedur weryfikacji tożsamości w help desku,
- przygotowanie scenariuszy reagowania na incydenty obejmujących przejęcie tożsamości, SIM swapping i nadużycia kont uprzywilejowanych.
Ważne są także działania nietechniczne, takie jak szkolenie pracowników wsparcia i obsługi klienta z rozpoznawania socjotechniki, uwzględnienie ochrony personelu w analizie ryzyka oraz szybka współpraca z organami ścigania i partnerami branżowymi przy incydentach o podwyższonym ryzyku przemocy lub eksploatacji.
Podsumowanie
The Com to przykład współczesnego zagrożenia hybrydowego, w którym cyberatak nie jest celem samym w sobie, ale częścią szerszego ekosystemu przestępczego. Powiązania między włamaniami do środowisk chmurowych, sextortion, oszustwami i przemocą fizyczną sprawiają, że tradycyjne podejście do klasyfikacji incydentów może być niewystarczające.
Dla zespołów bezpieczeństwa oznacza to konieczność skupienia się na ochronie tożsamości, usług SaaS i procesów wsparcia, a także na ocenie skutków incydentu w szerszym kontekście społecznym i operacyjnym. Im wcześniej organizacje uznają, że kompromitacja dostępu może finansować kolejne, znacznie cięższe przestępstwa, tym skuteczniej będą w stanie ograniczyć realne ryzyko.