10 van de grootste veiligheidsincidenten in 2023- ESET’s overzicht
Het was opnieuw een jaar waarin bedreigingsactoren floreerden tegen een achtergrond van aanhoudende macro-economische en geopolitieke onzekerheid, waarbij alle instrumenten en vindingrijkheid waarover hackers beschikken gebruikt werden om zich in de veiligheidsmechanismen van bedrijven een weg te banen. Voor consumenten was het een jaar waarin ze angstvallig de krantenkoppen lazen om te zien of hun persoonlijke gegevens waren gelekt.
Volgens het Data Breach Investigations Report(DBIR) van Verizon zijn, voor de overgrote meerderheid (83%) van de inbreuken, externe actoren verantwoordelijk. Financieel gewin ligt aan de basis voor bijna alle inbreuken (95%). De meeste incidenten in de lijst zijn te wijten aan ransomware of gegevensdiefstal. Maar soms kan de oorzaak een menselijke fout zijn of een kwaadwillende insider. Soms hebben de aanvallen een bijzondere impact hoewel het aantal slachtoffers relatief klein is.
In willekeurige volgorde is hier ESET’s selectie van de 10 grootste aanvallen in 2023:
1) MOVEit
Deze aanval, die terug te brengen is tot de Lace Tempest (Storm0950) groep, een Clop-ransomware-partner, had alle kenmerken van de vorige campagnes van de groep tegen Accellion FTA (2020) en GoAnywhere MFT (2023). De werkwijze is eenvoudig: zij gebruiken een zero-day-kwetsbaarheid in een populair softwareproduct om toegang te krijgen tot klantomgevingen, en exfiltreren vervolgens zoveel mogelijk gegevens om losgeld te krijgen. Het is nog steeds onduidelijk hoeveel gegevens er precies verzameld werden en hoeveel slachtoffers er zijn. Volgens schattingen zou het om meer dan 2.600 organisaties en ruim 83 miljoen individuen gaan. Dat veel van deze organisaties zelf leveranciers of dienstverleners waren, heeft de impact alleen maar vergroot.
2) De Britse kiescommissie
In augustus liet de Britse onafhankelijke toezichthouder voor partij- en verkiezingsfinanciering weten dat bedreigingsactoren persoonlijke informatie uit het kiesregister hadden gestolen van, naar schatting, 40 miljoen kiezers. Een ‘complexe’ cyberaanval zou verantwoordelijk zijn, maar rapporten hebben nadien gesuggereerd dat de beveiliging slecht was – de organisatie had een basis-beveiligingsaudit van Cyber Essentials niet doorstaan. Een niet-gepatchte Microsoft Exchange server zou de schuldige zijn maar waarom de commissie tien maanden lang het publiek niet informeerde, is onduidelijk. Er werd beweerd dat bedreigingsactoren het netwerk mogelijk al sinds augustus 2021 hadden doorzocht.
3) De politiedienst van Noord-Ierland (PSNI)
Dit is een incident in de categorieën van zowel een insider-inbreuk als een met een relatief klein aantal slachtoffers een buitensporige impact bereiken. In augustus maakte de PSNI bekend dat een medewerker per ongeluk gevoelige interne data op de WhatDoTheyKnow-website had geplaatst als antwoord op een verzoek inn de context van de vrijheid van informatie wetgeving (FOI). De informatie bevatte de namen, rang en afdeling van ongeveer 10.000 officieren en burgerpersoneel, inclusief zij die werkzaam zijn in de toezichts- en inlichtingendienst. Hoewel de data slechts twee uur beschikbaar was voor ze verwijderd werd, was dat voldoende om de informatie te laten circuleren onder Ierse republikeinse dissidenten, die deze verder verspreid hebben. Twee mannen zijn op borg vrijgelaten nadat ze wegens terroristische misdrijven gearresteerd waren.
4) DarkBeam
Dit jaar werdenbij het grootste datalek 3,8 miljard records blootgegeven door DarkBeam, het digitale risicoplatform, nadat het een datavisualisatie-interface van Elasticsearch en Kibana verkeerd had geconfigureerd. Een beveiligingsonderzoeker merkte het probleem op en bracht het bedrijf op de hoogte, zodat het snel gecorrigeerd werd. Het is echter onduidelijk hoe lang de gegevens openbaar waren en of iemand met kwade bedoelingen er reeds toegang toe had. Het benadrukt de noodzaak om systemen nauwlettend en voortdurend te controleren op verkeerde configuraties.
5) Indiase Raad voor Medisch Onderzoek (ICMR)
Een andere mega-inbreuk, een van de grootste ooit in India, werd in oktober onthuld nadat een bedreigingsacteur persoonlijke informatie over 815 miljoen inwoners te koop had aangeboden. Het lijkt erop dat de gegevens uit de COVID-testdatabase van de ICMR geëxfiltreerd waren en naam, leeftijd, geslacht, adres, paspoortnummer en Aadhaar (ID-nummer van de overheid) bevatten. Dit is schadelijk omdat cybercriminelen zo alles hadden wat nodig is om een reeks identiteitsfraude-aanvallen uit te voeren. Aadhaar kan in India gebruikt worden als digitale ID, voor factuurbetalingen en Know Your Customer-controles.
6) 23andMe
Een bedreigingsgroep beweerde maar liefst 20 miljoen gegevens te hebben gestolen van een in de VS gevestigd genetica- en onderzoeksbedrijf. Het lijkt erop dat eerst klassieke technieken werden gebruikt voor het invullen van inloggegevens en zo toegang te krijgen tot gebruikersaccounts –met de hulp van eerder gestolen inloggegevens die gebruikers op 23andMe hadden gerecycled. Bij de gebruikers die zich hadden aangemeld voor de DNA Relatives-service op de site, kon de bedreigingsgroep vervolgens toegang krijgen tot meer gegevens van potentiële familieleden en deze inzamelen. Bij de informatie in de gegevensdump zaten profielfoto, geslacht, geboortejaar, locatie en genetische afkomstresultaten.
7) Rapid Reset DDoS aanvallen
In oktober werd een zero-day-kwetsbaarheid in het HTTP/2-protocol onthuld waardoor bedreigingsactoren enkele van de grootste DDoS-aanvallen ooit konden lanceren. Google zei dat ze een piek bereikten van 398 miljoen verzoeken per seconde (rps), tegenover het voorheen hoogste aantal van 46 miljoen rps. Internetgiganten als Google en Cloudflare hebben de bug snel gepatcht en bedrijven die hun eigen internetaanwezigheid beheren, werden aangemaand om dit onmiddellijk ook te doen.
8) T-Mobile
De Amerikaanse telecomprovider had de afgelopen jaren te maken met veel inbreuken inzake beveiliging, maar de inbreuk die in januari werd onthuld, is een van de grootste tot dusver. Deze had gevolgen voor 37 miljoen klanten, waarbij adressen, telefoonnummers en geboortedata van klanten door een bedreigingsacteur gestolen werden. Een tweede incident, dat in april werd onthuld, had gevolgen voor een 800-tal klanten maar bevatte veel meer data waaronder pincodes van T-Mobile-accounts, sociale zekerheidsnummers, identiteitsgegevens, geboortedata en interne codes die het bedrijf gebruikt voor dienstverlening aan klantenaccounts.
9) MGM International/Cesars
Twee van de bekendste namen in Las Vegas werden een paar dagen na elkaar getroffen door hetzelfde ALPHV/BlackCat ransomware-derivaat, bekend als Scattered Spider. Bij MGM slaagden ze erin om eenvoudig toegang tot het netwerk te krijgen via een LinkedIn-bevraging en vervolgens een vishing-aanval te doen op een individu in de IT-afdeling die ze om persoonlijke- en inloggegevens vroegen. Dit eiste een grote financiële tol van het bedrijf. Het werd gedwongen grote IT-systemen af te sluiten die speelautomaten, restaurantsystemen en zelfs kamersleutelkaarten dagenlang verstoorden. De kosten voor het bedrijf werden op 100 miljoen dollar geschat. De kosten voor Cesars zijn onduidelijk, hoewel het bedrijf toegaf 15 miljoen dollar aan zijn afpersers te hebben betaald.
10) De Pentagon lekken
Het laatste incident is een waarschuwing voor het Amerikaanse leger en elke grote organisatie die zich zorgen maakt over kwaadwillende insiders. Jack Teixeira, een 21-jarig lid van de inlichtingsdienst van de Massachusetts Air National Guard, lekte zeer gevoelige militaire documenten om op te scheppen bij zijn Discord-gemeenschap. Deze werden dan op andere platforms gedeeld en opnieuw gepost door Russen die de oorlog in Oekraïne volgden. Ze gaven Rusland een schat aan militaire inlichtingen over de oorlog en ondermijnden de relatie van Amerika met zijn bondgenoten. Teixeira kon uiterst geheime documenten afdrukken en naar huis meenemen om ze te fotograferen en vervolgens te uploaden.
Hopelijk zullen deze verhalen een aantal nuttige lessen opleveren voor een veiliger 2024.
Dit artikel is geschreven door een van onze partners en valt buiten de verantwoordelijkheid van de redactie.
