Útoky na Uber a Rockstar Games působí, jako bychom znovu prožívali útoky skupiny Lapsus$ z přelomu let 2021 a 2022. Uber přitom následně skutečně připsal napadení právě této skupině.
Zatímco napadení společnosti Electronic Arts v roce 2021 začalo odcizenými cookies, díky kterým se v červenci 2021 podařilo infiltrovaly její Slack kanál, tentokrát to vypadá, že útok na společnost Uber začal použitím jiné metody obcházení vícefaktorového ověřování pomocí sociálního inženýrství k získání přístupu do služby Slack. Řetězec zabezpečení je totiž jen tak odolný, jak silný je jeho nejslabší článek – a tím jsou až příliš často lidé.
V tuto chvíli není jasné, jak přesně došlo ke kompromitování společnosti Rockstar Games, ale někdo prohlašující se za stejného hackera, jaký napadl Uber, zveřejňuje záběry ze hry a tvrdí, že útok začal využitím sociálního inženýrství, podobně jako v případě společnosti Uber. To není překvapivé, protože se jedná o neuvěřitelně účinnou techniku počáteční kompromitace, která využívá důvěry vkládané do privilegovaných uživatelů uvnitř firmy.
Bezpečnost je ale komplexní systém a vyžaduje stejnou redundanci, jako letadlo nebo vesmírná loď. Musíte jej navrhnout tak, aby byl odolný vůči selhání. Ve všech těchto případech se zdá, že získání přístupu jako důvěryhodný uživatel zevnitř firmy stačilo k tomu, aby si prohnaný zločinec proklestil cestu mnoha systémy. Sítě ale musí být navrženy tak, aby při každém přístupu k novému nebo privilegovanému prostředku zpochybnily identitu a pověření osoby, která o něj usiluje.
Jakmile se objeví podrobnosti, dozvíme se o obou těchto útocích více, ale již nyní poslouží jako dobrá připomínka pro to, abyste zaměstnancům osvěžili pravidla kyberbezpečnosti a vyhodnotili, jak a kdy vyzýváte uživatele k dodatečnému ověření. Sociální inženýrství může obejít některá řešení vícefaktorového ověřování, takže stojí za to zvážit přísnější zásady pro přístup ke kriticky důležitým systémům.
