Experten: Därför kunde EU-kommissionens moln hackas

Enligt säkerhetsföretaget Integrity360 har över 350 gigabyte data som omfattar bland annat databaser, kontrakt och e-postdata läckt. Det handlar alltså om känslig information som kan orsaka skada om den hamnar i fel händer.

– Det här angreppet visar varför identitetshantering, användarutbildning och flera lager av skydd har blivit avgörande för dagens it-säkerhetsarbete, säger Emil Olofsson, it-säkerhetsexpert på Integrity360 till Techtidningen.

Emil Olofsson stöttar Integrity360:s kunder i deras cybersäkerhetsarbete och när han beskriver intrånget mot EU-kommissionen framträder en attack som visserligen riktats mot publika webbsidor, men som ändå fått stor tyngd eftersom angriparna har kommit över en betydande mängd data.

Även om attacken inte ska ha lett vidare in i andra interna system pekar Emil Olofsson på att det i den aktuella molninfrastrukturen fanns databaser, och det ska enligt angriparna röra sig om mycket känslig information, bland annat uppgifter om anställda, dokument och kontrakt. Någon fullständig bild av materialet finns ännu inte, men vissa delar har redan publicerats på nätet.

Ekonomisk vinning står i centrum

Motivet framstår som tydligt. Det handlar enligt Emil Olofsson om ett klassiskt utpressningsupplägg där syftet är att få betalt för att inte publicera materialet. Gruppen som pekas ut är Shiny Hunters, som enligt honom arbetar utifrån en affärsmodell där ekonomisk vinning står i centrum. Det innebär att de skiljer sig från de statsnära aktörer som ofta stått i fokus under senare år.

– Shiny Hunters har utpressning som sin affärsmodell. De skiljer sig från det som har varit i fokus de senaste åren, där det har handlat om hackergrupper från stater som Ryssland, Iran och Kina.

Emil Olofsson beskriver gruppen bakom attacken som ett löst sammansatt community snarare än en traditionellt organiserad aktör. Medlemmarna ska finnas i västvärlden, både i Europa och USA, och samarbetar med andra grupperingar. Emil Olofsson nämner också hur flera grupper tillsammans kopplats till stora attacker mot välkända verksamheter. Drivkraften är dock inte geopolitik eller ideologi, utan pengar.

Det som gör utvecklingen särskilt intressant är att den här typen av attacker inte nödvändigtvis bygger på avancerad teknisk förmåga. Tvärtom beskriver Emil Olofsson hur fokus ofta ligger på phishing och voice phishing, där angriparna utger sig för att vara någon på helpdesk eller en annan legitim funktion. Att de talar språken och har västerländska dialekter gör dem dessutom mer trovärdiga i kontakten med sina offer.

– Det som också sticker ut är att de inte har särskilt hög teknisk kompetens och inte utvecklar komplicerade attacker. Deras fokus har istället varit på phishing, eller vishing, alltså voice phishing.

AI bidrar till att öka volymen av attacker

Det här tillvägagångssättet gör att tröskeln för angrepp sänks. Enligt Emil Olofsson räcker det i många fall med en grundläggande förståelse för att lyckas, och AI bidrar dessutom till att öka volymen av enklare attacker. Resultatet blir att fler angrepp kan genomföras, och att konsekvenserna fortfarande kan bli mycket allvarliga när angriparna väl lyckas ta sig in.

– AI sänker tröskeln för att komma in och kunna börja utföra enklare angrepp. Så det som snarare skett är att det blir en väldigt hög volym av enklare attacker.

När Techtidningen frågar om attacken mot EU-kommissionen hade kunnat undvikas är Emil Olofsson tydlig med att svaret är ja, även om alla detaljer ännu inte är kända. Hans bedömning är att någon form av phishing sannolikt låg i början av attackkedjan och att den mänskliga faktorn därmed spelade en viktig roll.

– Vi brukar ofta tala om att det ska vara svårt att göra fel, så tanken är att inte hela kedjan ska brista när en användare begår ett misstag. Vi behöver ha flera lager av säkerhet.

Just den principen, flera lager av skydd, blir central. Även om angriparna i det här fallet tog sig in i AWS-miljön och kom åt filer, lyckades de enligt uppgift inte ta sig vidare in i interna system. Därmed begränsades skadan, trots att intrånget redan i sig är allvarligt.

Ser en ökning för alla branscher

På frågan om attackerna mot samhällskritisk infrastruktur inom EU ökar svarar Emil Olofsson att ökningen i praktiken gäller alla branscher. De framgångar som grupperna haft i stora angrepp sporrar dem att fortsätta, vilket driver på utvecklingen ytterligare.

Emil Olofsson ser att många it-chefer fortfarande föreställer sig hotet som något som främst handlar om mycket avancerade attacker mot särskilt utvalda mål. I verkligheten är det ofta mer vardagliga och ekonomiskt drivna angrepp som utgör den största risken, eftersom de riktas mot alla.

– Det är ingen som inte är utsatt och vi ser att angriparna fokuserar mycket på just social engineering.

Hans viktigaste råd är därför att fokusera på utbildning av användare och på identitetshantering. I en värld där allt fler it-funktioner ligger i molnet har också säkerhetens yttersta gräns flyttats. Där brandväggar och nätverk tidigare utgjorde perimetern är det nu identiteterna som är det främsta skyddslagret.

– När det idag är så mycket molntjänster men även infrastruktur i molnet så är det identitetslagret som utgör perimetern. När angriparna får tillgång till ett konto så är de inne i systemet.