האקרים סינים מפרים את מערכות משרד האוצר האמריקאי בתקרית אבטחת סייבר מדאיגה

משרד האוצר האמריקני אישר כי האקרים סינים ניגשו מרחוק לתחנות עבודה מחלקתיות ולמסמכים לא מסווגים במה שגורמים רשמיים מכנים "תקרית אבטחת סייבר גדולה". הפרצה התרחשה לאחר שהאקרים התפשרו על שירות מבוסס ענן המופעל על ידי BeyondTrust, חברה המתמחה בניהול גישה מועדפת.

בעוד שפקידי האוצר הכירו בחומרת התקרית, פרטים קריטיים נותרו לא ברורים. המחלקה לא חשפה את מספר תחנות העבודה שהושפעו או את אופי המסמכים שניגשו אליהם.

הפרה קשורה לאיום מתמשך מתקדם הקשור לסין

המתקפה, המיוחסת לקבוצת Advanced Persistent Threat (APT) בחסות המדינה מסין, התפתחה לאחר שההאקרים ניצלו מפתח API גנוב ששימש את BeyondTrust. לדברי אדיטי הרדיקאר, עוזרת מזכירת הניהול במשרד האוצר, BeyondTrust הודיעה לאוצר ב-8 בדצמבר על פעילות חשודה הקשורה לשירות התמיכה הטכנית מבוסס הענן שלה.

"עם גישה למפתח הגנוב, שחקן האיום הצליח לעקוף את אבטחת השירות, לגשת מרחוק לתחנות העבודה של משרדי האוצר (DO), ולאחזר מסמכים לא מסווגים שנשמרו על ידי אותם משתמשים", הסביר הרדיקאר במכתב למחוקקים.

בעוד שמערכות לא מסווגות בדרך כלל פחות רגישות מרשתות מסווגות, הפשרה שלהן עדיין יכולה להוות סיכון משמעותי, שעלולה לחשוף פעולות ממשלתיות או לאפשר התקפות נוספות.

תגובה מתואמת יוצאת לדרך

משרד האוצר גייס את הסוכנות לאבטחת סייבר ותשתיות (CISA), ה-FBI, קהילת המודיעין וחוקרי זיהוי פלילי פרטיים כדי לנתח את הפרצה ולהעריך את השפעתה. לדברי הרדיקאר, סוכנויות אלה משתפות פעולה כדי להבטיח שהאירוע יהיה מוכל וכדי לחזק את ההגנות מפני איומים עתידיים.

התגובה המהירה של CISA, יחד עם החלטת משרד האוצר להעביר מיד את השירות שנפגע לא מקוון, לא חשפה עד כה סימנים לכך שלהאקרים עדיין יש גישה למערכות מחלקתיות.

ניצול פגיעות BeyondTrust

BeyondTrust, הספקית בלב התקרית, הוציאה לאחרונה תיקונים לפגיעות קריטית (CVE-2024-12356) במוצרי גישה מרחוק מועדפת (PRA) ותמיכה מרחוק (RS). ב-5 בדצמבר, החברה גילתה שמפתח API עבור התמיכה מרחוק SaaS שלה נפרץ, מה שגרם לכיבוי מיידי של המופעים המושפעים והודעה ללקוחות המושפעים.

הקשר: גל רחב יותר של ריגול סייבר סיני

ההתקפה הזו על משרד האוצר מגיעה על רקע החששות המוגברים לגבי קמפיין ריגול סייבר סיני גדול יותר, שזכה לכינוי " טייפון המלח ". על פי הדיווחים, הקמפיין הזה העניק לבייג'ין גישה לתקשורת רגישה, כולל הודעות טקסט ושיחות טלפון, הכוללות אזרחים אמריקאים.

נכון לסוף דצמבר, פקידים אמריקאים אישרו כי תשע חברות טלקומוניקציה נפגעו על ידי סולט טייפון. הפרת משרד האוצר, למרות שלכאורה לא קשורה, מדגישה את ההיקף והתחכום של פעולות סייבר בחסות המדינה הסינית המכוונות לתשתיות ומערכות ממשלתיות בארה"ב.

טייק אווי מפתח

תקרית זו היא תזכורת מוחלטת לפגיעויות הקריטיות הנובעות מהתלות בתוכנה של צד שלישי. שירותים מבוססי ענן, הנתפסים לרוב כנוחים ומאובטחים, יכולים להפוך לשער לתוקפים אם הם מנוצלים.

ארגונים - ממשלתיים ופרטיים כאחד - חייבים לשמור על ערנות, להבטיח פרוטוקולי אבטחה חזקים, תיקון קבוע ותוכניות תגובה מקיפות לאירועים. המעורבות המהירה של ממשלת ארה"ב עם סוכנויות אבטחת סייבר מדגישה את החשיבות של תגובה מתואמת לאיומי סייבר.

ככל שהחקירה מתפתחת, דבר אחד ברור: הסיכונים של אבטחת סייבר גבוהים מאי פעם בעידן של מתחים גיאופוליטיים מתגברים והתקפות סייבר מתוחכמות יותר ויותר.