Brytyjska firma outsourcingowa i świadcząca usługi profesjonalne Capita potwierdziła, że hakerzy
skradli dane z jej systemów po tym, jak znana grupa ransomware zaoferowała sprzedaż rzekomo
skradzionych informacji z organizacji.
Hakerzy uderzają w Capita: Potencjalne zagrożenie dla rządu Wielkiej Brytanii
Incydent wyszedł na jaw 31 marca, kiedy Capita poinformowała o poważnym incydencie IT
uniemożliwiającym pracownikom logowanie się do systemów. Firma powiedziała wówczas mediom,
że jest jeszcze za wcześnie, aby potwierdzić, że był to cyberatak. Jednak późniejsze informacje
wykazały, że prawdopodobnie firma wiedziała, że ma do czynienia z incydentem związanym z
cyberbezpieczeństwem.
Capita jest jednym z największych dostawców usług outsourcingowych w Wielkiej Brytanii, a jej usługi
są wykorzystywane przez rząd tego kraju. Poważne naruszenie danych może mieć znaczące
konsekwencje.
Capita ofiarą grupy Black Basta: Bezpieczeństwo klientów na krawędzi
3 kwietnia Capita potwierdziła, że doświadczyła cyberprzestępstwa, który uniemożliwił dostęp do
wewnętrznych aplikacji, powodując zakłócenia w niektórych usługach. Firma stwierdziła wówczas, że
„problem dotyczył tylko części sieci Capita i nie ma dowodów na naruszenie danych klientów,
dostawców czy pracowników”.
Beaumont stwierdził, że systemy Capita prawdopodobnie zostały naruszone w wyniku kampanii e-mailowej Qakbot, uruchomionej 21 marca – w swoim ostatnim oświadczeniu firma potwierdziła
włamanie 22 marca. Qakbot, znany również jako Qbot i Pinkslipbot, to trojan bankowy
wykorzystywany przez grupę ransomware Black Basta do uzyskania początkowego dostępu do swoich
celów.
Wyciek danych ujawniony przez Capita: Wpływ na zaufanie inwestorów i klientów pod znakiem zapytania
Capita potrzebowała aż do 20 kwietnia, aby potwierdzić, że niektóre z jej systemów zostały
rzeczywiście naruszone i że dane zostały skradzione.
“W wyniku naszych dotychczasowych dochodzeń, wydaje się, że incydent wynikł z początkowego
nieautoryzowanego dostępu około 22 marca i został przerwany przez Capita 31 marca” – powiedziała
firma w oświadczeniu w czwartek. “W wyniku przerwania, incydent został znacznie ograniczony,
potencjalnie wpływając na około 4% infrastruktury serwerowej Capita. Obecnie są pewne dowody na
ograniczoną ekstrakcję danych z niewielkiej części dotkniętej infrastruktury serwerowej, która może
obejmować dane klientów, dostawców lub kolegów.”
Fakt, że Capita zmagała się z cyberatakiem 31 marca, pokazuje, że firma prawdopodobnie wiedziała o
naturze incydentu, ale nie ujawniła tego. Możliwe, że włamanie zostało odkryte 31 marca, ponieważ
napastnik próbował zaszyfrować pliki w systemach Capita.
Krytyka ze strony ekspertów: Capita zarzuca się lekceważenie incydentu i wprowadzenie w błąd inwestorów
Badacz z dziedziny cyberbezpieczeństwa, Kevin Beaumont, skrytykował Capita za próbę
zbagatelizowania incydentu zarówno dla opinii publicznej, jak i inwestorów.
Beaumont poinformował, że dane uzyskane przez Black Basta obejmowały skany paszportów i prawa
jazdy, dane płatności, plany pięter wielu budynków, informacje o weryfikacji zatrudnienia oraz oferty
pracy.
Badacz zwrócił uwagę, że w oświadczeniu przekazanym BBC w tym tygodniu, firma nadal twierdziła,
że nie ma dowodów na naruszenie wrażliwych danych. Beaumont dowiedział się, że firma
powiedziała to samo inwestorom na początku tego tygodnia.
Capita wydała oświadczenie potwierdzające naruszenie danych tuż po tym, jak Beaumont ogłosił
plany opublikowania wpisu na blogu, szczegółowo opisującego włamanie.
Kampania Qakbot ujawniona: Wnikliwe śledztwo prowadzi do potwierdzenia naruszenia danych Capita
Beaumont stwierdził, że systemy Capita prawdopodobnie zostały naruszone w wyniku kampanii e-mailowej Qakbot, uruchomionej 21 marca – w swoim ostatnim oświadczeniu firma potwierdziła
włamanie 22 marca.
Qakbot, znany również jako Qbot i Pinkslipbot, to trojan bankowy wykorzystywany przez grupę
ransomware Black Basta do uzyskania początkowego dostępu do swoich celów.
8 kwietnia grupa ransomware Black Basta umieściła Capita na swojej stronie z wyciekami i
udostępniła niektóre pliki jako dowód, że wydobyła dane z jej systemów. Wyciekające pliki
przechowywały osobiste i finansowe informacje, a hakerzy prawdopodobnie chcieli znaleźć nabywcę
danych, a nie liczyć na to, że ofiara zapłaci okup.
Źródło:
Capita Confirms Data Breach After Ransomware Group Offers to Sell Stolen Information – SecurityWeek
