Небезпека безкоштовних облікових записів Google для компаній

Під час усунення наслідків атаки на новинні ресурси одного з клієнтів і аналізу цього інциденту спеціалісти з кібербезпеки Digvel укотре зіштовхнулися з банальною та водночас украй поширеною причиною компрометації — використання безкоштовного облікового запису Google у корпоративних цілях. У цій статті ми розповідаємо, чому подібна практика загрожує безпеці IT-середовища компанії та на які ще типові помилки у сфері кіберзахисту слід звернути увагу.

Під час нещодавніх активних атак на засоби масової інформації один із нових клієнтів DigVel — телекомунікаційна компанія — також став жертвою нападу на свої новинні канали. За 4 хвилини після первинної компрометації наша команда розпочала активні дії з усунення наслідків і відновлення — попри те, що подія сталася близько 22:00. Завдяки оперативній і скоординованій реакції відновити постраждалі ресурси вдалося вже за 22 години, і наступного дня всі функції продовжили свою діяльність. На ранок також був готовий загальний план протидії, що передбачав комунікацію з представниками вендорів і партнерами з боку DigVel, план комунікації з боку клієнта й захисту від поширення впливу.

Організована співпраця представників клієнта, команди DigVel і партнерів допомогла не лише якнайшвидше усунути наслідки компрометації, а й зупинити подальший розвиток атаки. Після цього настав не менш важливий етап роботи з інцидентом — аналіз і визначення заходів для його запобігання.

Недбалість як основна причина порушень кібербезпеки

Сьогодні малий бізнес і установи з обмеженим бюджетом і браком технічного персоналу нерідко користуються безкоштовними обліковими записами Google для роботи з поштою, файлами та відео. Часто це стає наслідком швидкого старту «з тим, що є під рукою», а також наміром у майбутньому масштабуватися. Ось тільки згодом усе тимчасове стає постійним, а до виправлення цих боргів ті самі руки вже не доходять. Така недбалість призводить до того, що доволі важливі дані й основний канал зовнішньої комунікації залежать від єдиного активу — облікового запису Google.

Свідками такої ситуації стали й фахівці DigVel: зловмисники скомпрометували саме обліковий запис Google. Попри всі налаштування безпеки — багатофакторну автентифікацію (MFA), резервні номери та контакти — його було викрадено за лічені секунди. Подальший аналіз інциденту й реагування показали, що механізмом компрометації найімовірніше стало використання вразливості Multilogin Gaiia Cookie, активно експлуатованої зловмисниками взимку в усьому світі для викрадення даних, облікових записів і коштів.

Небезпека використання безкоштовних облікових записів у корпоративних цілях

Інциденти з компрометацією безкоштовних облікових записів є досить вірогідними, оскільки зазвичай ними користується спільно кілька осіб для різних цілей, і їхня адреса електронної пошти є публічно доступною, адже використовується для зв’язку з клієнтами. Критичність подібних порушень безпеки суттєво підвищена через високий вплив: на таких облікових записах часто зав’язана не лише пошта й файлове сховище, а й реклама та монетизація, облікові записи на інших бізнес-ресурсах, платіжні засоби тощо. Зловмисники можуть отримати доступ до інформації про авторизовані сесії та пристрої, а також здобути паролі від інших сервісів — як корпоративних, так часом і особистих, — якщо користувачі не були обережними.

У багатьох випадках правильні налаштування безпеки облікових записів суттєво зменшують імовірність їх викрадення, але, як показує практика, цього не завжди достатньо. Найбільша складність у реагуванні на подібні інциденти полягає в тому, що Google не реалізує механізми підтримки та відновлення в разі компрометації для персональних облікових записів. Окремий головний біль це приносить спеціалістам із безпеки, оскільки вони не мають ані механізмів контролю, ані засобів захисту для таких облікових записів.

У разі викрадення персонального облікового запису Google надає стандартні засоби відновлення, а якщо ті не працюють, жодні додаткові механізми підтвердження володіння обліковими записами не пропонуються. Власне ж відновлення доступу залежно від процесу може тривати кілька тижнів.

З яких заходів запобігання варто почати

У таких ситуаціях варто вчитися на чужих помилках і досвіді. Команда DigVel досі опрацьовує результати інциденту, оскільки необхідні зміни потребують і організаційних, і культурних модифікацій. Але основні питання, на які слід звернути увагу, можна визначити вже зараз.

Відмова від безкоштовних корпоративних облікових записів

Малому бізнесу слід відходити від спільного використання безкоштовних облікових записів Gmail. На початку діяльності компанії створення корпоративного облікового запису Google або Microsoft коштуватиме приблизно 6 доларів США за користувача на місяць. Рекомендовано придбати хоча б дві ліцензії, де одна використовуватиметься для адміністративних потреб, а інша — для робочих завдань. Так організація отримає і низку зручних бізнес-інструментів (розсилки, керування доменом, збільшений обсяг зберігання файлів), можливість керувати налаштуваннями безпеки та проводити аудити, а також, що не менш важливо, — корпоративну підтримку від вендора.

В Україні нескладно знайти офіційних партнерів Google або Microsoft, які можуть запропонувати знижку на свої послуги, і в підсумку приблизно за 400 грн на місяць ваша організація зможе суттєво підвищити рівень своєї стійкості перед подібними інцидентами.

Навчання персоналу

Необхідно розвивати ІТ-культуру та грамотність серед працівників. Велика частка сучасного працездатного населення «проскочила» розвиток ІТ-технологій, через що статистично люди віком понад 40 років не завжди мають розуміння базових принципів кібергігієни. Вони чудово виконують свою роботу, але не завжди усвідомлюють потенційні наслідки своїх дій у рамках організації.

Наприклад, працівник, який використовує один «зручний» пароль на своїх особистих і робочих облікових записах, уже значно підвищує ризик компрометації організації. Причиною тому є безліч витоків інформації, які стаються на популярних інтернет-ресурсах, зокрема на Facebook, LinkedIn тощо. І якщо після одного з них, скажімо, Facebook змусить користувача змінити пароль, то змінити той самий пароль на робочому комп’ютері співробітник може не здогадатися. Зловмисники ж активно збирають інформацію про працівників організації, на яку готують атаку, і витоки інформації зі сторонніх сервісів — найперше джерело паролів для підбирання. Саме тому персонал обов’язково має проходити навчання базової ІТ-гігієни на робочому місці та в мережі.

Використання сучасного антивірусу з актуальними оновленнями

Не можна недооцінювати й наявність і актуальність антивірусного програмного забезпечення. Найпоширеніша операційна система в Україні — Windows — має досить непоганий вбудований антивірус Microsoft Defender. Але його часто відключають або не оновлюють, бо він «заважав установити дуже потрібну програму» — і ця дуже потрібна програма з 99 % імовірністю була заражена шкідливим кодом або неліцензійною.

Ще одна причина блокування Microsoft Defender — «ці оновлення постійно щось ламають». Однак оновлення безпеки, даючи можливість операційній системі змогу реагувати на актуальні загрози, жодним чином не шкодять роботі інших систем.

Врахування питання кібербезпеки на адміністративному рівні

Ігнорування ризиків кібербезпеки на рівні стратегічного керування організації є недопустимим. Це найскладніше питання, адже воно є першопричиною всіх попередніх. 

Так склалося, що на рівні керівництва часто враховуються ризики, пов’язані з пожежами, змінами на ринку, кадрами, державним регулюванням, конкуренцією, але не з кібербезпекою. Саме тому такі прості речі, про які йшлося вище, не враховуються: для працівників проводять інструктаж із техніки безпеки на робочому місці, але не говорять, що не варто в корпоративний комп’ютер вставляти знайдену під дверима офісу флешку. Хоча сьогодні, враховуючи зав’язаність бізнесу на ІТ і розвиток програм-вимагачів, які шифрують дані з метою отримання викупу, потенційні збитки від пожежі та від кіберінциденту перебувають щонайменше на одному рівні.

* * *

Сучасний цифровий світ розвивається блискавичними темпами, а з ним еволюціонують і техніки й інструменти зловмисних хакерів. У таких умовах не можна залишатися байдужими до питання кіберзахисту, адже від нього залежить не лише безперервність функціонування компанії, а й безпека пов’язаних із нею людей — як працівників, так і клієнтів. Розпочати можна з простих заходів захисту й запобігання інцидентам, як-от відмови від використання безкоштовних облікових записів. А з подальшим посиленням системи кібербезпеки вашої компанії вам залюбки допоможе команда DigVel.