Cyberatak na Autopay. W tle AI i dane o płatnościach
Autopay padł ofiarą cyberataku. Napastnicy dostali się do infrastruktury firmy i części danych dotyczących płatności, a szczegóły ataku brzmią szczególnie niepokojąco: w grę miała wchodzić automatyzacja wspierana przez AI.
11 listopada Autopay wykrył nieautoryzowany dostęp do swojej infrastruktury. Spółka potwierdziła, że napastnicy uzyskali dostęp również do części danych dotyczących przetwarzanych płatności. Autopay nie potwierdził wprawdzie, że dane zostały skopiowane albo później wykorzystane, ale jednocześnie uczciwie przyznaje, że nie może tego wykluczyć.
Autopay nie mówi, jakie dokładnie dane zobaczyli atakujący
Oficjalny komunikat pozostawia tutaj sporo niewiadomych. Firma mówi o „części danych dotyczących płatności przetworzonych przez Spółkę”. To sformułowanie wystarczająco poważne, aby przyciągać uwagę, ale jednocześnie na tyle szerokie, że nie pozwala określić rzeczywistego ryzyka dla klienta.
Czytaj też:
Nie ma obecnie podstaw, żeby twierdzić, że napastnicy zdobyli numery kart płatniczych, kody zabezpieczające, hasła do bankowości albo inne konkretne dane finansowe. Autopay nie podał publicznie takich informacji. Nie ujawniono również liczby osób, których dotyczy incydent.
Sama firma traktuje jednak zdarzenie wystarczająco poważnie, żeby bezpośrednio kontaktować się z osobami, których dane mogą dotyczyć incydentu. Autopay zaleca również klientom regularne sprawdzanie historii transakcji oraz natychmiastowe zgłaszanie bankowi operacji, których sami nie wykonali.
Jest jeszcze ciekawszy wątek. Napastnicy mieli wykorzystać AI
Zdecydowanie najciekawsze technicznie informacje pojawiły się jednak poza podstawowym komunikatem operatora. Serwis Sekurak otrzymał dodatkowe informacje od przedstawiciela Autopay dotyczące sposobu przeprowadzenia ataku. Według przekazanej serwisowi relacji atak był „wysoce zautomatyzowany”, a firma uważa, że sprawcy najprawdopodobniej korzystali z modeli językowych. Autopay wskazuje również na dowody zastosowania automatyzacji wspieranej przez AI.
Według informacji przekazanych Sekurakowi po początkowym etapie ataku miało nastąpić gwałtowne przyspieszenie działań. W krótkim czasie wykonywane były operacje na wielu zasobach, a kiedy kolejne drogi dostępu były blokowane, napastnicy mieli bardzo szybko zmieniać sposób działania. Autopay wskazał też na narzędzia tworzone doraźnie z myślą o konkretnym środowisku.
Jeszcze ciekawszy jest sposób poruszania się napastników po infrastrukturze. Według informacji przekazanych Sekurakowi atakujący nie koncentrowali się na infekowaniu stacji roboczych. Mieli przechodzić pomiędzy poszczególnymi częściami infrastruktury przez systemy, którym środowisko z założenia ufało, w tym mechanizmy monitorowania, CI/CD, automatyzację wdrożeń i zarządzanie hasłami.
Co szczególnie ważne, duża część operacji miała być wykonywana przy wykorzystaniu legalnych poświadczeń oraz narzędzi administracyjnych. Cyberatak zazwyczaj zakłada pojawienie się w systemie czegoś obcego. Nietypowego programu, podejrzanego pliku, dziwnego procesu albo komunikacji, która uruchomi alarm. Znacznie trudniej dostrzec przeciwnika, który korzysta z narzędzi przeznaczonych dla administratorów i dysponuje poprawnymi poświadczeniami.
Pojedyncze działanie może wtedy wyglądać zupełnie normalnie. Dopiero kiedy połączy się ze sobą dziesiątki podobnych operacji i spojrzy na ich kolejność, tempo oraz szerszy kontekst, zaczyna być widać, że administrator, który wykonuje te wszystkie czynności, wcale administratorem nie jest. Według relacji przekazanej przez Autopay właśnie dlatego poszczególne ruchy napastników nie musiały uruchamiać typowych alertów. Każdy z osobna przypominał zwyczajną operację administracyjną.
Autopay odciął dostęp. Teraz trwa sprawdzanie, co właściwie się wydarzyło
Po wykryciu zdarzenia Autopay zablokował nieuprawniony dostęp, zabezpieczył systemy i uruchomił dodatkowe mechanizmy monitorowania. W dodatkowej informacji przekazanej Sekurakowi firma podała również, że zidentyfikowane kanały dostępu zostały odcięte, poświadczenia unieważniono, a zaatakowane serwery odizolowano i zabezpieczono na potrzeby dalszego postępowania. Trwać ma także wymiana kluczy z partnerami i analiza powłamaniowa, prowadzona również ze wsparciem zewnętrznych podmiotów. Usługi, których dostępność została ograniczona, według spółki przywrócono do pełnego działania.
O incydencie powiadomiono Prezesa Urzędu Ochrony Danych Osobowych, Policję oraz CSIRT KNF, czyli zespół odpowiedzialny za reagowanie na incydenty bezpieczeństwa w sektorze rynku finansowego. Najważniejsza praca dopiero jednak trwa. Analiza powłamaniowa musi odpowiedzieć przede wszystkim na pytanie, do czego dokładnie uzyskali dostęp atakujący, co z tym dostępem zrobili i czy jakiekolwiek informacje opuściły infrastrukturę firmy. Dopiero wówczas będzie można odpowiedzialnie ocenić skalę całego zdarzenia.
Korzystasz z Autopay? Na razie najważniejsze jest konto bankowe
Z punktu widzenia przeciętnego klienta sytuacja jest dość niewdzięczna. Nie ma jeszcze informacji pozwalających dokładnie stwierdzić, jakie dane mogły zostać narażone, dlatego trudno odpowiedzialnie sporządzić uniwersalną listę czynności, które powinien natychmiast wykonać każdy użytkownik. Są natomiast dwa zalecenia bezpośrednio wskazane przez Autopay.
- Pierwszym jest obserwowanie historii transakcji. Jeżeli pojawi się operacja, której klient nie rozpoznaje, należy niezwłocznie skontaktować się ze swoim bankiem.
- Drugim jest ostrożność wobec wiadomości i telefonów powołujących się na incydent. I paradoksalnie właśnie tutaj może znajdować się najbardziej bezpośrednie zagrożenie dla wielu użytkowników.
Głośny cyberatak jest bowiem idealnym paliwem dla phishingu. Przestępca nie musi przekonywać ofiary, że wydarzyło się coś niepokojącego. Wydarzyło się naprawdę i można to sprawdzić w Internecie. Wystarczy podszyć się pod Autopay lub bank i wykorzystać powstałe zamieszanie jako pretekst do nawiązania kontaktu. Dlatego wiadomość w rodzaju „w związku z ostatnim incydentem bezpieczeństwa musisz pilnie zweryfikować swoje konto” powinna zapalać w głowie ogromną czerwoną lampkę. Szczególnie jeżeli prowadzi do logowania, podawania danych lub wykonania jakiejś operacji.
Autopay informuje jednocześnie, że osoby, których dane mogą dotyczyć zdarzenia, są powiadamiane bezpośrednio i otrzymują informacje o konkretnych krokach ograniczających ryzyko.
Najbardziej niepokojące może być nie to, co wyciekło
AI nie musi nagle nauczyć się przełamywać najlepszych zabezpieczeń świata, aby stać się potężnym narzędziem ofensywnym. Wystarczy, że pozwoli człowiekowi wykonywać tę samą pracę nieporównanie szybciej.
To trochę mniej widowiskowe od wizji sztucznej inteligencji samodzielnie włamującej się do banków, ale dla osób stojących po drugiej stronie jest prawdopodobnie znacznie bardziej problematyczne. System zabezpieczeń może przecież działać dokładnie tak, jak go zaprojektowano, i nadal przegrywać, jeżeli przeciwnik potrafi błyskawicznie zmieniać strategię oraz korzystać z tych samych zaufanych narzędzi co administrator.
Dlatego w całym incydencie Autopay warto uważać na dwie przesady. Pierwszą jest bagatelizowanie zdarzenia tylko dlatego, że firma nie potwierdziła jeszcze skopiowania danych. Drugą jest ogłaszanie katastrofalnego wycieku danych finansowych milionów Polaków, gdy na razie nie ma informacji, które pozwalałyby coś takiego stwierdzić.
Fakty są wystarczająco poważne bez ich podkręcania: doszło do cyberataku, był nieautoryzowany dostęp do infrastruktury i części danych związanych z płatnościami, trwa ustalanie pełnej skali zdarzenia, a Autopay bezpośrednio informuje osoby, których może ono dotyczyć.
Teraz warto patrzeć nie tylko na własną historię transakcji, ale również na kolejne komunikaty spółki. To one powinny odpowiedzieć na najważniejsze pytanie pozostające po tym ataku: co właściwie udało się zdobyć napastnikom?
Redaktor Spider's Web - ekspert w tematykach Microsoftu i RTV. Lubi oglądać się zarówno za siebie – wspominając przełomowe dokonania w informatyce – jak i przed siebie, będąc nieustannie ciekawym tego, co będzie dalej. Jego zainteresowania to przede wszystkim software: UI/UX, algorytmy, uczenie maszynowe, chmura czy sztuczna inteligencja. Nic dziwnego, że jako specjalizację obrał sobie pilnowanie firmy Microsoft. Uwielbia też sztukę gier i kina, przez co wyrósł na pasjonata sprzętu RTV – a i o technologii wspomnianych gier i filmów ma wiele ciekawego do opowiedzenia. Jego pierwsza obecność w mediach dotyczyła muzyki – współtworzył Overkill.pl. Ciąg dalszy jego rozwoju dotyczył już tylko nowych technologii. Zanim dołączył do zespołu Spider’s Web przez lata współtworzył CHIP.pl i Magazyn CHIP.