Wprowadzenie do problemu / definicja
Incydent ujawniony przez Apollo Global Management pokazuje, że skuteczny atak na dużą organizację nie musi zaczynać się od wykorzystania luki technicznej. W tym przypadku kluczową rolę odegrała socjotechnika, która pozwoliła osobom nieuprawnionym uzyskać dostęp do wybranych zasobów chmurowych i narazić dane osobowe.
Z perspektywy bezpieczeństwa to przykład naruszenia opartego na kompromitacji tożsamości i procesów operacyjnych. Tego typu zdarzenia są szczególnie niebezpieczne, ponieważ mogą przebiegać bez klasycznych wskaźników włamania, takich jak złośliwe oprogramowanie czy exploit na serwerze.
W skrócie
- Apollo Global Management poinformowało o incydencie bezpieczeństwa obejmującym dostęp do części środowisk chmurowych.
- Według dostępnych informacji wektor wejścia miał charakter socjotechniczny.
- Potencjalnie narażone zostały dane osobowe, w tym imiona i nazwiska, dane kontaktowe oraz numery Social Security.
- Firma przekazała, że nie stwierdzono dowodów na publiczne ujawnienie danych ani ich wykorzystanie do oszustw.
- Osobom objętym incydentem zaoferowano monitoring kredytowy i ochronę tożsamości.
Kontekst / historia
Naruszenie wpisuje się w rosnącą falę ataków wymierzonych w sektor finansowy, firmy private equity oraz organizacje zarządzające danymi o wysokiej wartości biznesowej. Coraz częściej przeciwnicy rezygnują z kosztownych technicznie włamań na rzecz podszywania się pod pracowników, kontraktorów lub zespoły wsparcia IT.
Takie kampanie często wykorzystują vishing, czyli telefoniczne wywieranie presji na pracownikach obsługi technicznej, aby doprowadzić do resetu hasła, zmiany ustawień konta lub obejścia mechanizmów MFA. W przypadku Apollo publiczne doniesienia wskazują, że incydent może być elementem szerszej aktywności grup śledzonych pod nazwami UNC6671 oraz BlackFile, koncentrujących się na organizacjach o wysokiej wartości operacyjnej i reputacyjnej.
Analiza techniczna
Najważniejszy wniosek techniczny z tego incydentu jest prosty: celem atakujących najprawdopodobniej nie była sama infrastruktura, lecz warstwa tożsamości. Jeśli dostęp do usług chmurowych uzyskano przez manipulację personelem lub procedurami helpdesku, to kompromitacja mogła nastąpić bez użycia malware i bez naruszenia zabezpieczeń aplikacyjnych.
Typowy scenariusz w takich operacjach obejmuje podszycie się pod uprawnionego użytkownika i doprowadzenie do jednej z następujących zmian:
- resetu hasła do konta firmowego,
- ponownej rejestracji metody MFA,
- dopisania nowego numeru telefonu lub urządzenia uwierzytelniającego,
- przejęcia aktywnej sesji SSO,
- uzyskania dostępu do paneli administracyjnych lub repozytoriów danych.
Z obronnego punktu widzenia oznacza to konieczność analizy logów IAM, systemów SSO, zdarzeń związanych z MFA oraz aktywności administracyjnej w usługach SaaS i chmurze. Szczególnie istotne są nietypowe operacje wykonywane w krótkim przedziale czasu, takie jak nagłe zmiany metod uwierzytelniania, logowania z nowych lokalizacji, eksporty danych lub masowe zapytania do repozytoriów zawierających informacje osobowe.
Krótki czas utrzymywania dostępu nie zmniejsza zagrożenia. Kilka dni wystarcza, aby rozpoznać strukturę organizacji, zidentyfikować wartościowe zbiory danych i pobrać rekordy przydatne w kolejnych etapach przestępczej operacji.
Konsekwencje / ryzyko
Narażenie danych osobowych, zwłaszcza identyfikatorów wykorzystywanych w procesach finansowych i weryfikacyjnych, zwiększa ryzyko kradzieży tożsamości, prób otwierania rachunków na cudze dane oraz precyzyjnych kampanii spear phishingowych. Dla osób fizycznych zagrożenie może utrzymywać się długo po samym incydencie, ponieważ raz pozyskane dane mogą być wykorzystywane wielokrotnie.
Dla organizacji skutki obejmują także ryzyko regulacyjne, reputacyjne i operacyjne. W sektorze zarządzania aktywami zaufanie klientów ma kluczowe znaczenie, dlatego nawet ograniczone naruszenie może przełożyć się na wzrost kosztów zgodności, konieczność notyfikacji, działania naprawcze oraz dodatkowe audyty bezpieczeństwa.
Równie istotne jest ryzyko wtórne. Dane pozyskane podczas jednego incydentu mogą później posłużyć do ataków na partnerów biznesowych, klientów, pracowników kadry kierowniczej lub działy finansowe odpowiedzialne za autoryzację płatności.
Rekomendacje
Przypadek Apollo powinien skłonić organizacje do przeglądu zabezpieczeń tożsamościowych i procedur operacyjnych, a nie wyłącznie narzędzi ochrony endpointów czy sieci. Najważniejsze działania obejmują:
- wdrożenie odpornych na phishing metod MFA, najlepiej opartych na FIDO2 lub kluczach sprzętowych,
- zaostrzenie procedur helpdesku dotyczących resetu haseł i zmian metod uwierzytelniania,
- wprowadzenie wieloetapowej weryfikacji tożsamości przy operacjach wysokiego ryzyka,
- stosowanie zasady najmniejszych uprawnień i segmentacji dostępu do danych osobowych,
- pełne logowanie zdarzeń IAM, SSO i działań administratorów wraz z korelacją anomalii,
- monitorowanie rejestracji nowych urządzeń, nietypowych lokalizacji logowania oraz masowych eksportów danych,
- regularne szkolenia z rozpoznawania vishingu, podszywania się pod helpdesk i innych technik socjotechnicznych,
- przygotowanie planów reagowania obejmujących scenariusze kompromitacji tożsamości w chmurze.
Osoby, których dane mogły zostać objęte incydentem, powinny aktywować monitoring kredytowy, obserwować próby nieautoryzowanego wykorzystania danych oraz zachować szczególną ostrożność wobec telefonów i wiadomości podszywających się pod instytucje finansowe.
Podsumowanie
Naruszenie danych w Apollo Global Management to kolejny dowód na to, że współczesne incydenty coraz częściej zaczynają się od przejęcia zaufania, a nie przełamania technologii. Ataki socjotechniczne wymierzone w procesy helpdesku i zarządzanie tożsamością potrafią skutecznie ominąć nawet dojrzałe zabezpieczenia infrastrukturalne.
Dla zespołów bezpieczeństwa najważniejsza lekcja jest jednoznaczna: ochrona danych osobowych wymaga dziś równie silnej kontroli procedur dostępowych, jak zabezpieczeń sieci, aplikacji i chmury. Organizacje, które nie wzmocnią warstwy tożsamości, pozostaną podatne na podobne incydenty niezależnie od poziomu dojrzałości technicznej pozostałych systemów.
Źródła
- SecurityWeek – Personal Information Exposed in Apollo Global Data Breach
https://www.securityweek.com/personal-information-exposed-in-apollo-global-data-breach/ - California Office of the Attorney General – Data Breach Notice (Apollo Global Management)
https://oag.ca.gov/ - Google Threat Intelligence Group – informacje o aktywności grup powiązanych z vishingiem i wymuszeniami
https://cloud.google.com/blog/topics/threat-intelligence