Cảnh báo Dire trong Lapsus $ Hacker

Crane Hassold, giám đốc cho biết: “Vào cuối ngày, sự linh hoạt của cách bạn có thể lạm dụng tài khoản công ty để di chuyển ngang và chuyển sang các ứng dụng khác trong đám mây — có rất nhiều cách khác nhau mà những kẻ tấn công có thể sử dụng thông tin đăng nhập doanh nghiệp”. thông tin tình báo về mối đe dọa tại Abnormal Security và một cựu nhà phân tích hành vi kỹ thuật số cho FBI. “Đó là lý do tại sao lừa đảo lại cực kỳ phổ biến với tội phạm mạng, vì lợi tức đầu tư đó”.

Có nhiều cách mạnh mẽ hơn để triển khai xác thực hai yếu tố và thế hệ mới của lược đồ đăng nhập “không cần mật khẩu” hoặc “Khóa mật khẩu” từ tiêu chuẩn FIDO2 của ngành hứa hẹn một tương lai ít lừa đảo hơn nhiều. Nhưng các tổ chức cần thực sự bắt đầu triển khai các biện pháp bảo vệ mạnh mẽ hơn này để chúng sẵn sàng khi một tác nhân ransomware (hoặc thanh thiếu niên bồn chồn) bắt đầu rình mò.

Jim Fenton nói: “Lừa đảo rõ ràng là một vấn đề rất lớn và hầu hết những thứ mà chúng ta thường nghĩ là xác thực đa yếu tố, như sử dụng ứng dụng tạo mã, đều có phần lừa đảo, bởi vì bạn có thể lừa ai đó tiết lộ mã. một nhà tư vấn bảo mật và quyền riêng tư danh tính độc lập. “Nhưng với thông báo đẩy, quá dễ dàng để mọi người nhấp vào ‘chấp nhận’. Nếu bạn phải cắm thứ gì đó trực tiếp vào máy tính của mình để xác thực hoặc sử dụng thứ gì đó được tích hợp với điểm cuối của bạn, chẳng hạn như cảm biến sinh trắc học, thì đó là những công nghệ chống lừa đảo. “

Tuy nhiên, ngăn những kẻ tấn công xâm nhập vào một tổ chức thông qua lừa đảo không phải là vấn đề duy nhất. Như vụ việc của Uber cho thấy, một khi Lapsus $ xâm nhập một tài khoản để có quyền truy cập, họ có thể thâm nhập sâu hơn vào hệ thống của Uber, vì họ tìm thấy thông tin đăng nhập cho các công cụ nội bộ không được bảo vệ. Bảo mật là nâng cao rào cản xâm nhập chứ không phải loại bỏ tất cả các mối đe dọa, vì vậy xác thực mạnh mẽ trên các tài khoản bên ngoài chắc chắn sẽ đi một chặng đường dài để ngăn chặn một nhóm như Lapsus $. Nhưng các tổ chức vẫn phải thực hiện nhiều tuyến phòng thủ để có một dự phòng trong trường hợp một tuyến bị vi phạm.

Trong những tuần gần đây, cựu giám đốc an ninh Twitter Peiter “Mudge” Zatko đã công khai ra mặt với tư cách là người tố cáo chống lại Twitter, làm chứng trước một ủy ban Thượng viện Hoa Kỳ rằng gã khổng lồ truyền thông xã hội đang không an toàn một cách đáng sợ. Tuyên bố của Zatko – mà Twitter phủ nhận – cho thấy chi phí có thể cao như thế nào khi thiếu các biện pháp phòng thủ nội bộ của một công ty.

Về phần mình, Lapsus $ có thể nổi tiếng là một diễn viên kỳ quặc và kỳ quặc, nhưng các nhà nghiên cứu nói rằng mức độ thành công của nó trong việc thỏa hiệp với các công ty lớn không chỉ đáng chú ý mà còn đáng lo ngại.

Demirkapi nói: “Lapsus $ đã nhấn mạnh rằng ngành công nghiệp phải hành động để chống lại những điểm yếu này trong việc triển khai xác thực thông thường. “Trong ngắn hạn, chúng tôi cần bắt đầu bằng cách bảo mật những gì chúng tôi hiện có, trong khi về lâu dài, chúng tôi phải hướng tới các hình thức xác thực được bảo mật theo thiết kế.”

Không có lời cảnh tỉnh nào có vẻ đủ nghiêm trọng để tạo ra đầu tư lớn và triển khai nhanh chóng, phổ biến các biện pháp phòng thủ an ninh mạng, nhưng với Lapsus $, các tổ chức có thể có thêm động lực khi giờ đây nhóm đã cho cả thế giới thấy rằng bạn có thể làm được bao nhiêu nếu bạn tài năng và có một số thời gian trên tay của bạn.

Callow của Emsisoft cho biết: “Các doanh nghiệp tội phạm mạng giống hệt như các doanh nghiệp hợp pháp theo nghĩa là họ xem xét những gì người khác đang làm và mô phỏng các chiến lược chứng tỏ sự thành công. “Vì vậy, các băng đảng ransomware và các hoạt động khác sẽ hoàn toàn xem xét những gì Lapsus $ đã làm để xem họ có thể học được gì.”