Hoe cybercriminelen toeleveringsketenpartners misbruiken om aanvallen te lanceren

Door zijn natuur vereist een toeleveringsketen een collaboratief partnerschap tussen mensen en organisaties. Hoewel dit kan helpen een gemeenschappelijk doel te bereiken en groei te bevorderen, kan het ook een reeks problemen met zich meebrengen.

Via deze symbiotische relaties hebben bedrijven onbewust gevoelige aspecten van hun business blootgesteld. Toch heeft deze overgeziene zwakte cybercriminelen de mogelijkheid gegeven een voet aan de grond te krijgen in hun doelorganisaties.

De prevalentie van dergelijke aanvallen wordt onderschreven door een studie van Opus en Ponemon Institute die toont dat ten minste 59% van de organisaties heeft geleden van cyberaanvallen via derde-partij bedrijven. Nog meer ontstellend is het feit dat slechts 16% van de organisaties in de studie claimde effectief cybersecurityrisico's van derden te mitigeren.

Het staat voor de hand dat de eerste stap om je bedrijf te beschermen tegen dergelijke risico's het identificeren ervan is. Hieronder volgen enkele manieren waarop kwaadwillende actoren een aanval kunnen initiëren via een toeleveringsketenpartner, geïllustreerd door real-life voorbeelden.

Bijna elke organisatie maakt gebruik van externe hardware en software. Weinigen willen tech vanaf nul bouwen. Eerder heeft de boom in het open-source veld geleid tot een massale golf van outsourcing in bijna elk aspect van bedrijfsoperaties.

Ondanks het gemak, komt deze kans met een aanzienlijk risico. De beruchte Equifax-schending van 2018 was het resultaat van een fout in de software die verantwoordelijk was voor het draaien van online databases. Equifax beschuldigde ook een kwaadwillende downloadlink op hun site, die van een andere leverancier kwam.

Als gevolg van deze zwaktes in hun toeleveringsketen, kregen criminelen de persoonlijke data van ten minste 143 miljoen mensen in handen.

Talrijke bedrijven gebruiken verwarming, ventilatie en airconditioning (HVAC) systemen die met het internet verbonden zijn maar adequate beveiligingsmaatregelen missen. Deze geven hackers een potentiële toegangspoort tot corporate systemen, zoals het geval was met de massive Target-schending van 2014.

Hackers kregen toegang tot inloggegevens die toe behoorden aan het bedrijf dat Target's HVAC-systeem leverde. Ze logden in en kregen toegang tot de betalingssystemen, en stahlen informatie van een geschatte 70 miljoen mensen. Het omvatte namen, fysieke adressen, e-mailadressen en telefoonnummers, onder andere gevoelige data.

Een ander risico vorm zijn cloud service providers die bedrijfsvertrouwelijke data opslaan. Zeker, dergelijke entiteiten investeren aanzienlijk in de beveiliging van hun systemen; hun reputaties hangen ervan af.

Maar net als elke andere organisationele systemen, zijn deze ook vatbaar voor compromittering. Dat was het geval bij de beruchte Paradise Papers hack in 2018. Ongeveer 13,4 miljoen gevoelige bestanden lekten, onthullende gevoelige financiële dealings van mondiale corporaties en superrijke individuen over de hele wereld. Ten minste de helft van deze bestanden, ongeveer 6,8 miljoen, kwam van Appleby, een offshore juridische dienstverlener.

Een vergelijkbare aanval vond plaats in de zomer van 2018, toen Deep Root Analytics de persoonlijke data van ongeveer 200 miljoen kiezers lekte. Deep Root is een marketingfirma gebruikt door zowel de Republikeinse als Democratische partij. De schending was het resultaat van het per ongeluk plaatsen van de data op een server die publiekelijk toegankelijk was.

Terwijl dat een relatief klein bedrijf is met slechts ongeveer 50 werknemers, hebben vergelijkbare incidenten plaatsgevonden bij grotere organisaties. In het geval van de Verizon-schending, plaatste Nice Systems 6 miljoen klantrecords op een publieke Amazon S3-opslagserver. De records bestonden uit zes maanden aan klantenservice-bellogboeken. Ze bevatten persoonlijke en accountinformatie. Nice heeft meer dan 3.500 werknemers.

Deloitte, met meer dan 250.000 werknemers, heeft een vergelijkbare datalekkage ervaren. In september 2018, kregen hackers toegang tot vertrouwelijke plannen en e-mails van enkele van hun blue-chip klanten. De lek, in dit geval, was zwakke toegangscontroles op een van hun administratieve accounts.

Voor grote bedrijven kan beveiliging intern waterdicht zijn. Echter, dit is misschien niet waar, zelfs voor leveranciers IT-systemen. Dat lijkt wat er gebeurde bij Domino's Pizza in Australia vorige herfst. Volgens rapporten op dat moment, was het incident het resultaat van zwakke cybersecurity-systemen van een ehemalige leverancier. Als gevolg lekte het systeem klantnamen en e-mailadressen. De schending kwam alleen aan het licht toen getroffenen klanten begingen gepersonaliseerde spam-e-mails te ontvangen. Hoewel Domino's insisteerde dat er geen kwaadwillende hack van persoonlijke data was en dat hun systemen niet in de fout waren, was de schade al angericht.

Een ander gat dat cybercriminelen kunnen misbruiken zijn internet of things (IoT) sensoren. Veel bedrijfsoperators zijn alert op computer, telefoon en netwerkbeveiligingsrisico's. Maar ze overzien vaak IoT-apparaten, die aanvallers kunnen laten 'leapfrogen' in corporate systemen.

Deze apparaten hebben sensoren die ze met het internet verbinden voor communicatiedoeleinden. Ze zijn veelvoorkomend in toeleveringsketens, omdat ze kunnen helpen bij machinefalenvvoorspelling en voorraadsmanagement, onder andere. Ondanks hun functionele waarde, zijn ze een populaire aanvalsvector die aanvallers toegang kan geven tot gevoelige data, en sabotage en botnet-aanvallen kan faciliteren.

Een voorbeeld van zo'n aanval gebruikte een botnet bekend als Mirai om Dyn te compromitteren, een bedrijf dat domeinnaamdiensten levert aan Reddit, Netflix en Github, onder andere. Mirai is een IoT-specifiek botnet ontworpen om gedistribueerde denial-of-service (DDOS) aanvallen te plegen.

De bovenstaande voorbeelden geven geloofwaardigheid aan het feit dat aanvallers een zwakke schakel in jouw toeleveringsketen kunnen gebruiken om toegang te krijgen tot systemen. Helaas kun je geen directe controle uitoefenen over de beveiligingsmaatregelen die jouw toeleveringsketenpartners implementeren. Maar aan het einde van de dag, klanten gaan niet om hoe je gecompromitteerd bent. Ze willen simpelweg weten dat hun data veilig is. En dit legt de verantwoordelijkheid voor het waarborgen van strakke beveiliging in jouw handen.

Nauwkeurige due diligence in het beoordelen van derde-partij beveiligingssystemen en hun privacybeleid is essentieel. Zoals we gezien hebben, kunnen organisaties groot en klein slachtoffer vallen van deze tactieken. Ongeacht de grootte van je partners, is het essentieel hun toewijding aan beveiliging te beoordelen.

Maak het een topdoelstelling om te beoordelen waar je zwaktes liggen, en prioriteer het dichten van alle gaten.

Olivia Scott is marketing manager bij VPNpro.com.