گزارش جدید شرکت SpyCloud نشان می‌دهد که تقریباً ۲۰ درصد از سازمان‌های مدیریت آب و فاضلاب در ایالات متحده با مشکل افشای داده‌های هویتی مواجه هستند. این داده‌ها توسط بدافزارهای Infostealer جمع‌آوری شده و اکنون در فضای سایبری در دسترس مهاجمان قرار دارند.
تحلیل داده‌ها و دامنه اثرگذاری
در این پژوهش، ۱۰,۰۰۰ سازمان از میان سیستم‌های ثبت شده در سازمان حفاظت محیط زیست (EPA) مورد بررسی قرار گرفتند که از این تعداد، ۱,۷۸۷ سازمان دارای افشای فعال داده‌های هویتی بودند. یکی از تکان‌دهنده‌ترین یافته‌های این گزارش، مفهوم «افشای آبشاری زنجیره تامین» (Cascading Supply Chain Exposure) است. برای مثال، آلودگی تنها یک دستگاه در یک تامین‌کننده فناوری کنتورهای هوشمند، منجر به دسترسی به اطلاعات ورود (Logins) مربوط به ۱۶۷ مشتری مختلف در بخش خدمات شهری شد.
مکانیسم حمله و دور زدن MFA
به گفته جیسون لنکستر، مدیر تحقیقات SpyCloud، دسترسی به لاگ‌های Infostealer به این معناست که مهاجم دیگر نیازی به حدس زدن رمز عبور ندارد و دارای نقاط ورود قانونی است. این داده‌ها معمولاً شامل موارد زیر هستند:
- Session Cookies: برای ربودن نشست‌های فعال و دور زدن احراز هویت چندعاملی (MFA).
- Credentials: نام کاربری و رمزهای عبور ذخیره شده.
- Autofill Info: اطلاعات تکمیل خودکار مرورگرها.
این دسترسی‌ها به مهاجم اجازه می‌دهد بدون ایجاد هیچ‌گونه هشدار امنیتی، وارد ایمیل‌های سازمانی یا VPNها شده و برای هفته‌ها شبکه را شناسایی (Mapping) کند.
ارتباط با زیرساخت‌های عملیاتی (OT)
اگرچه تمرکز این مطالعه بر دستگاه‌های OT نبود، اما یافته‌ها نشان داد که ۲۵۸ سازمان از ۱,۷۸۷ مورد شناسایی شده، دارای اطلاعات دسترسی به سیستم‌های فناوری عملیاتی (Operational Technology) یا سیستم‌های دسترسی از راه دور بودند. این موضوع ریسک انتقال حمله از شبکه IT به محیط‌های حساس صنعتی را به‌شدت افزایش می‌دهد.
نقش Access Brokerها و تهدید باج‌افزاری
لاگ‌های به‌دست آمده توسط Infostealerها معمولاً توسط Access Brokerها خریداری و سپس به گروه‌های باج‌افزاری (Ransomware) یا کلاهبرداران فروخته می‌شوند. در واقع، افشای هویت تنها نقطه شروع یک حادثه است و سوال اصلی این است که چه مدت زمان تا تبدیل این داده‌های مسروقه به یک حمله فعال فاصله دارد.
