Wprowadzenie do problemu / definicja
Incydenty typu supply chain attack należą dziś do najpoważniejszych zagrożeń dla organizacji przetwarzających duże wolumeny danych klientów. W takim modelu atakujący nie muszą bezpośrednio przełamywać głównych zabezpieczeń ofiary, lecz wykorzystują zaufany dostęp partnera technologicznego, dostawcy usług lub podmiotu integracyjnego. Właśnie taki scenariusz ma dotyczyć sprawy Expedia, gdzie grupa wymuszeniowa n0n twierdzi, że pozyskała rozległy zbiór danych podróżnych za pośrednictwem skompromitowanego zewnętrznego dostawcy platformy danych.
W skrócie
Expedia potwierdziła, że została dotknięta incydentem związanym z atakiem na łańcuch dostaw i zewnętrznym dostawcą platformy danych. Jednocześnie grupa n0n utrzymuje, że wykradła niemal miliard rekordów obejmujących m.in. dane programów lojalnościowych, profile podróżnych, rekordy kont konsumenckich oraz informacje powiązane z aktywnością zakupową.
Firma nie potwierdziła skali wskazywanej przez sprawców, a dochodzenie nadal trwa. Z perspektywy bezpieczeństwa kluczowe są jednak ryzyka wtórne, takie jak phishing, przejęcie kont, nadużycia wobec programów lojalnościowych oraz dalsza eskalacja dostępu z użyciem skradzionych poświadczeń lub tokenów.
Kontekst / historia
Według dostępnych informacji rosyjskojęzyczna grupa n0n pojawiła się stosunkowo niedawno i koncentruje się na kradzieży danych oraz wymuszeniach, bez klasycznego modelu ransomware polegającego na szyfrowaniu systemów. Taki sposób działania wpisuje się w coraz popularniejszy trend data theft extortion, w którym głównym narzędziem nacisku staje się groźba ujawnienia, sprzedaży lub wykorzystania wykradzionych danych.
W analizowanym przypadku atakujący mieli uzyskać dostęp do środowiska Expedia poprzez przejęty klucz dostawcy powiązanego z infrastrukturą big data. To istotny element całej sprawy, ponieważ nowoczesne platformy analityczne często agregują dane z wielu marek, środowisk i systemów tożsamości. W efekcie pojedynczy punkt kompromitacji może zapewnić dostęp do szerokiego zakresu informacji biznesowych i danych osobowych.
Znaczenie incydentu zwiększa również skala działalności Expedia oraz powiązanie różnych marek i usług w ramach jednego ekosystemu danych. Oznacza to, że potencjalny wpływ naruszenia może dotyczyć użytkowników korzystających z wielu powiązanych platform turystycznych.
Analiza techniczna
Najważniejszym aspektem technicznym tej sprawy jest wektor wejścia przez podmiot trzeci. Zgodnie z ujawnionymi informacjami atakujący mieli wykorzystać zaufany dostęp dostawcy platformy danych, aby dostać się do środowiska ofiary. W takim scenariuszu część operacji mogła wyglądać na autoryzowaną, ponieważ pochodziła z legalnie zintegrowanego źródła.
Jeżeli rzeczywiście użyto skradzionego klucza dostawcy, można mówić o kompromitacji uprzywilejowanego sekretu, który mógł otwierać drogę do usług przetwarzania danych, repozytoriów, zadań ETL, zasobów analitycznych lub interfejsów administracyjnych. W środowiskach chmurowych podobne poświadczenia mogą umożliwiać:
- dostęp do dużych zbiorów danych klientów,
- odczyt metadanych i struktur hurtowni danych,
- eksport rekordów do zewnętrznych lokalizacji,
- pozyskanie dodatkowych sekretów lub tokenów,
- ruch boczny do innych usług współdzielących zaufanie.
Deklarowany zakres wycieku obejmuje między innymi ponad 830 milionów rekordów programów lojalnościowych, 58 milionów profili podróżnych, ponad 333 miliony rekordów kont i poświadczeń lub tokenów podobnych do haseł, a także dane dotyczące wydatków kartowych powiązane ze zhashowanymi adresami e-mail. Nawet jeśli część tych twierdzeń okaże się przesadzona, sama struktura rzekomo przejętych danych jest typowa dla platform centralizujących profile klientów i atrybuty marketingowo-transakcyjne.
Szczególnie niepokojąca jest wzmianka o tokenach przypominających hasła. Nawet jeśli nie są to hasła zapisane w jawnej postaci, takie artefakty mogą mieć dużą wartość operacyjną dla atakujących. W zależności od implementacji mogą to być skróty haseł, tokeny sesyjne, identyfikatory uwierzytelniające, tokeny resetu, klucze aplikacyjne lub inne elementy wykorzystywane do autoryzacji. W praktyce część z nich może zostać użyta do offline crackingu, przejęcia sesji, kampanii credential stuffing albo do odtworzenia ścieżek dostępowych w ekosystemie usług.
Jeżeli prawdziwe są także twierdzenia o pozyskaniu kodu źródłowego i aktywnych poświadczeń, incydent wykracza poza klasyczny wyciek danych osobowych. Taka kombinacja zwiększa ryzyko dalszych ataków na zaplecze aplikacyjne, analizy logiki biznesowej, wyszukiwania twardo zakodowanych sekretów oraz przygotowania bardziej precyzyjnych operacji ofensywnych w przyszłości.
Konsekwencje / ryzyko
Najbardziej bezpośrednim skutkiem potencjalnego wycieku jest narażenie klientów na ukierunkowany phishing. Zestaw danych zawierający adresy e-mail, identyfikatory członkowskie, szczegóły kont i informacje o aktywności podróżnej pozwala budować bardzo wiarygodne wiadomości podszywające się pod operatora usług turystycznych, program lojalnościowy lub partnera płatniczego.
Kolejne ryzyko dotyczy przejęć kont. Nawet jeśli przejęte wartości są przechowywane w formie skrótów, atakujący mogą próbować ich łamania offline albo wykorzystać te same adresy e-mail i wzorce haseł w innych serwisach. Problem staje się poważniejszy, jeśli użytkownicy stosowali te same dane logowania w wielu usługach.
Wysokie jest również ryzyko nadużyć wobec programów lojalnościowych. Punkty, salda i identyfikatory członkowskie od lat stanowią atrakcyjny cel dla cyberprzestępców, ponieważ mogą być monetyzowane szybciej niż klasyczne dane osobowe. Przejęcie kont lojalnościowych może prowadzić do nieautoryzowanych rezerwacji, transferów punktów lub oszustw związanych z obsługą klienta.
Z perspektywy przedsiębiorstwa zagrożenia obejmują również straty reputacyjne, koszty reagowania na incydent, konieczność przeprowadzenia analiz śledczych, działania regulacyjne oraz rosnące ryzyko pozwów i roszczeń. Jeśli incydent obejmował wiele marek działających na wspólnym zapleczu danych, skala operacyjna i komunikacyjna obsługi kryzysu dodatkowo wzrasta.
Rekomendacje
Organizacje powinny potraktować ten przypadek jako silny argument za wzmocnieniem bezpieczeństwa dostawców i integracji zewnętrznych. Kluczowe działania obejmują:
- pełny przegląd relacji z podmiotami trzecimi mającymi dostęp do danych produkcyjnych,
- ograniczenie uprawnień zgodnie z zasadą least privilege,
- rotację kluczy, sekretów i tokenów dostawców,
- wdrożenie krótkiego czasu życia poświadczeń oraz silnego zarządzania sekretami,
- segmentację środowisk analitycznych i produkcyjnych,
- monitorowanie nietypowych eksportów danych oraz masowych operacji odczytu,
- rejestrowanie i korelowanie dostępu uprzywilejowanego w systemach chmurowych,
- cykliczne testy bezpieczeństwa łańcucha dostaw i kontroli dostępowych.
W warstwie detekcji warto wdrożyć reguły identyfikujące:
- użycie kluczy dostawców poza typowym oknem czasowym,
- nietypowe lokalizacje lub źródła połączeń,
- wzmożony dostęp do tabel zawierających profile klientów i dane lojalnościowe,
- gwałtowny wzrost transferu danych do magazynów pośrednich,
- tworzenie nowych sekretów, ról i sesji o podwyższonych uprawnieniach.
Użytkownicy końcowi powinni natomiast podjąć podstawowe działania ochronne:
- zmienić hasło do konta z zaufanego urządzenia,
- nie używać tego samego hasła w innych serwisach,
- włączyć uwierzytelnianie wieloskładnikowe, jeśli jest dostępne,
- monitorować aktywność konta i historię rezerwacji,
- zachować ostrożność wobec wiadomości dotyczących podróży, punktów lojalnościowych i płatności,
- uważać na próby wyłudzenia kodów resetu, danych kartowych i informacji o rezerwacjach.
Podsumowanie
Sprawa dotycząca Expedia pokazuje, że jednym z najpoważniejszych zagrożeń nie zawsze jest bezpośredni atak na główną organizację, lecz kompromitacja zaufanego partnera technologicznego. Nawet bez pełnego potwierdzenia wszystkich twierdzeń sprawców incydent wpisuje się w rosnący trend wymuszeń opartych na kradzieży danych oraz nadużywaniu dostępu stron trzecich.
Dla branży turystycznej i wszystkich organizacji budujących scentralizowane platformy danych jest to wyraźny sygnał, że bezpieczeństwo integracji, sekretów i dostawców musi być traktowane na równi z ochroną własnej infrastruktury.
Źródła
- Security Affairs — Extortion Group Claims Theft of Nearly One Billion Expedia Traveler Records — https://securityaffairs.com/203062/cyber-crime/extortion-group-claims-theft-of-nearly-one-billion-expedia-traveler-records.html
- Skift — Expedia confirms supply-chain cyberattack via third-party data platform provider — https://skift.com/
- Forbes — Report on alleged Expedia data theft and extortion claims — https://www.forbes.com/
- Wiz Research — Analysis referenced regarding compromised vendor key and cloud access path — https://www.wiz.io/
- Sentra — Research referenced regarding attack path through third-party data platform access — https://www.sentra.io/