Ransomware cílí na manažery: Jak účinně chránit firmu

Co si z článku odnést

• Manažerský účet je pro útočníka privilegovaný, i když nemá práva správce. Jeho hodnotu vytváří přístup k lidem, rozhodnutím, dokumentům a procesům.
• Riziko se soustředí kolem klíčových obchodních funkcí. Finance, obchod, provoz, HR a marketing představovaly dohromady 75,6 % obětí ve sledované kampani.
• Jedna kompromitovaná identita může otevřít několik cest současně. Útočník může získat důvěryhodnou komunikaci, citlivá data, vzdálený přístup i možnost oslovit další zaměstnance.
• Ochrana proti ransomwaru nemůže končit u detekce škodlivého programu. Musí zahrnovat komunikaci s externími uživateli, ověřování požadavků, omezení přístupů a schopnost zastavit pohyb útočníka uvnitř firmy.

Co výzkum skutečně sledoval

ThreatLabz během jednoho měsíce identifikoval 351 kompromitovaných lidí ve 334 organizacích. Všichni byli spojeni s jednou konkrétní ransomwarovou kampaní, jejíž aktéři se zaměřovali na získání prvotního přístupu, rozsáhlou krádež firemních dat a selektivní šifrování kritických systémů.

Z toho plyne důležitá výhrada: výsledky nepopisují všechny ransomwarové útoky na světě a nelze z nich vypočítat pravděpodobnost napadení konkrétní firmy. Ukazují však, jak si reálný útočník vybíral lidi, kteří mu mohli usnadnit další postup. Právě tento pohled je pro řízení rizik velmi praktický.

Nejvýraznější údaj zní: 62 % obětí mělo manažerskou nebo vyšší pracovní pozici. Více než tucet organizací navíc zaznamenalo kompromitaci několika zaměstnanců. Útok tedy nemusí skončit u prvního účtu; útočník může pokračovat v organizaci a budovat si další přístupové cesty.

Manažerská autorita je druhem oprávnění

V bezpečnosti se pod pojmem privilegovaný účet obvykle rozumí účet správce, který může měnit systémy nebo nastavovat přístupy. Z pohledu útočníka je ale stejně zajímavé i „obchodní privilegium“.

Vedoucí pracovník může schvalovat výdaje, pracovat s rozpočtem, vidět smlouvy, komunikovat s dodavateli nebo zadávat úkoly napříč odděleními. Z jeho účtu proto působí neobvyklý požadavek důvěryhodněji. Zároveň může mít přístup k datům, která lze přímo ukrást a použít k vydírání.

To je důvod, proč samotné vícefaktorové ověření nebo školení zaměřené pouze na IT administrátory nestačí. Firma musí vědět, kteří zaměstnanci kombinují široký datový přístup, rozhodovací pravomoc a vysokou komunikační důvěryhodnost.

Pět oddělení tvořilo tři čtvrtiny obětí

Největší zastoupení měly účetnictví a finance (17,7 %), obchod (17,4 %) a provoz (16,8 %). Následovaly lidské zdroje (14,7 %) a marketing (9 %). Těchto pět funkcí dohromady představovalo 75,6 % všech identifikovaných obětí.

Toto rozložení dává z pohledu útočníka obchodní smysl. Finance pracují s fakturami, platbami, bankovními údaji a schvalováním. Obchod má zákaznické účty, nabídky, ceny, smlouvy a informace o rozjednaných zakázkách. Provoz propojuje dodavatele, výrobu, logistiku a další týmy. HR spravuje citlivé osobní údaje a komunikuje napříč firmou. Marketing často používá řadu externích platforem a spolupracuje s dodavateli.

Neznamená to, že každý zaměstnanec těchto oddělení je automaticky rizikovější. Pro vedení je ale užitečné ověřit, zda bezpečnostní opatření odpovídají skutečnému dopadu případného zneužití účtu, nikoli jen názvu pracovní pozice.

Věk obětí není návod k cílení školení

Největší skupinu obětí tvořila generace X (lidé narození v letech 1965 až 1980), přibližně 44 %. Průměrný věk byl 46 let a celé rozpětí sahalo od 23 do 70 let. Bylo by však chybou uzavřít, že problémem je konkrétní generace nebo její údajně slabší digitální gramotnost.

Pravděpodobnější vysvětlení souvisí s kariérní fází. Lidé ve středním a vyšším managementu častěji disponují kombinací autority, kontaktů a přístupu k důležitým procesům. Výzkum tedy podporuje spíše řízení rizika podle role a skutečných oprávnění než plošné školení podle věku.

Polovina obětí připadala na průmysl a IT

Průmyslové firmy představovaly 35,5 % obětí a informační technologie dalších 14,6 %. Součet zobrazených hodnot je 50,1 %, který zdroj zaokrouhluje jako polovinu obětí ve dvou odvětvích.

U průmyslových podniků může kompromitovaný účet otevřít cestu k výrobě, distribuci nebo logistice. I krátké přerušení těchto procesů vytváří rychlý finanční tlak. V technologické firmě mohou být atraktivní duševní vlastnictví, zákaznické platformy a služby, na nichž závisejí další organizace.

Tento výsledek však neznamená, že ostatní sektory jsou v bezpečí. Ve vzorku se objevily také spotřebitelské firmy, dodavatelé materiálů, reality, zdravotnictví, komunikace, finanční služby, profesionální služby a vzdělávání. Pro vedení je důležitější otázka, které procesy by u jejich firmy vytvořily největší provozní a vyjednávací tlak.

Jak vypadá hodnota konkrétního účtu

Výzkum uvádí několik reálných profilů, které dobře ilustrují rozdíl mezi technickým a obchodním oprávněním:

• Regionální obchodní manažer pracuje se zákaznickými účty, smlouvami, cenami a výhledem tržeb. Zneužití může ohrozit zakázky i vztahy se zákazníky.
• Vedoucí závazků vidí faktury, platební údaje, schvalování a záznamy dodavatelů. Útočník může narušit platby nebo připravit přesvědčivý finanční podvod.
• Seniorní projektový manažer má přístup k rozpočtům, harmonogramům, smlouvám a citlivým souborům. Dopadem může být zpoždění uvedení produktu nebo růst nákladů.
• Správce nemovitostí pracuje s nájemními smlouvami, fakturami, klientskými daty a finančními informacemi. Kompromitace může zasáhnout služby nájemcům, příjmy i právní odpovědnost.

Žádná z těchto rolí nepotřebuje administrátorský účet, aby její kompromitace způsobila závažný problém. Pro útočníka je cenné to, co člověk běžně smí dělat a komu může věrohodně psát.

Útok využívá důvěru a běžné pracovní nástroje

Podle výzkumného přehledu útočníci pracovali s naléhavostí, vydávali se za pracovníky IT a používali známé nástroje, například Microsoft Teams a Quick Assist. Právě známé prostředí snižuje ostražitost: zaměstnanec nevidí neznámý hackerský program, ale zprávu nebo výzvu v aplikaci, kterou používá každý den.

Po získání důvěry může následovat krádež přihlašovacích údajů, vzdálený přístup, pohyb mezi systémy, odcizení dat, šifrování souborů a vydírání. Provozní riziko proto vzniká dříve, než bezpečnostní nástroje zachytí samotný ransomware.

Co by měli CEO a COO požadovat

Vedení nemusí řídit jednotlivá technická opatření. Mělo by ale stanovit očekávaný výsledek, vlastníky a způsob ověření:

1. Zmapujte vysoce rizikové obchodní role. Nechte společně posoudit přístup k citlivým datům, možnost schvalovat, dosah interní komunikace a dopad zneužití identity. Vlastníky by měli být bezpečnost, IT a vedoucí dotčených útvarů.
2. Omezte nevyžádanou externí komunikaci. Prověřte, kdo může zaměstnance kontaktovat nebo jim volat přes Teams, Slack a další spolupracovní platformy. Výjimky mají být vědomé a kontrolované.
3. Zaveďte nezávislé ověřování neobvyklých požadavků. Požadavek údajného IT pracovníka, změna platebních instrukcí nebo žádost o vzdálený přístup se mají ověřovat přes důvěryhodný interní kanál a firemní adresář.
4. Prosazujte minimální nutný přístup. Zaměstnanec má mít pouze aplikace, data a oprávnění, která potřebuje pro svoji současnou roli. Přístupy je nutné pravidelně revidovat při změně pozice i odchodu z projektu.
5. Zabraňte volnému pohybu mezi systémy. Architektura Zero Trust a segmentace mají omezit, kam se útočník dostane po kompromitaci jednoho účtu.
6. Spojte síťovou, koncovou a identitní detekci. Bezpečnostní tým potřebuje vidět neobvyklé chování uživatele, zařízení, aplikace, přenosy dat i vzdálené nástroje v jednom kontextu.
7. Po prvním nálezu hledejte další oběti. Více než tucet organizací ve výzkumu mělo kompromitováno několik zaměstnanců. Izolace prvního účtu proto nesmí automaticky uzavřít vyšetřování.

Čtyři otázky pro příští poradu vedení

• Víme, které neadministrátorské účty mají největší obchodní dopad při kompromitaci?
• Dokážeme rychle zjistit, zda se útočník z jednoho účtu přesunul k dalším lidem nebo systémům?
• Mají zaměstnanci jednoduchý a nacvičený způsob, jak ověřit naléhavou žádost údajného IT pracovníka?
• Umíme u kritické role dočasně omezit přístup bez zastavení celého provozu?

Nejdůležitější závěr je jednoduchý: ochrana proti ransomwaru se musí řídit obchodním dopadem identity, ne pouze technickou úrovní oprávnění. Účet manažera může být stejně cennou vstupní branou jako účet správce, protože spojuje data, autoritu a důvěru. Pokud firma tento typ privilegia nezahrne do řízení přístupů, školení a reakce na incident, nechává útočníkovi otevřenou cestu přímo přes organizační strukturu.