Η εταιρεία κυβερνοασφάλειας SOCRadar ανέφερε στις 14 Οκτωβρίου ότι μια ομάδα κυβερνοεκβιασμού που αυτοαποκαλείται n0n έχει προσθέσει 38 ναυτιλιακές, λιμενικές και εταιρείες logistics στον ιστότοπο διαρροής δεδομένων της σε μία ενιαία παρτίδα που αναρτήθηκε στις 12 Οκτωβρίου, σηματοδοτώντας μια έντονη στροφή προς στόχους του ναυτιλιακού κλάδου. Η ομάδα έχει απειλήσει να δημοσιεύσει το φερόμενο κλεμμένο υλικό στις 13:27 UTC στις 19 Οκτωβρίου, εκτός αν ικανοποιηθούν αιτήματα λύτρων που κυμαίνονται από περίπου 2,4 εκατομμύρια έως 14 εκατομμύρια δολάρια, πληρωτέα σε Bitcoin.
Οι καταχωρισμένοι οργανισμοί εκτείνονται σε 18 χώρες και περιλαμβάνουν φορείς διαχείρισης τερματικών σταθμών εμπορευματοκιβωτίων, ναυτιλιακές εταιρείες, παρόχους πληροφορικής λιμένων και εταιρείες logistics. Μεταξύ των κατονομαζόμενων εταιρειών είναι η Ocean Network Express, η CULines, η TS Lines και η Samudera, καθώς και φορείς τερματικών σταθμών όπως η Santos Brasil, η Portonave, το Busan New Container Terminal και η Pusan Newport Company. Καμία από τις κατονομαζόμενες εταιρείες δεν είχε επιβεβαιώσει δημόσια παραβίαση μέχρι τη στιγμή της τελευταίας ενημέρωσης, και η SOCRadar τόνισε ότι οι ισχυρισμοί της n0n παραμένουν ανεπιβεβαίωτοι.
Έκταση της Φερόμενης Παραβίασης
Η ανάρτηση της 12ης Οκτωβρίου υπερδιπλασίασε τον προηγούμενο αριθμό καταγεγραμμένων θυμάτων της n0n, αφού η ομάδα εμφανίστηκε τον προηγούμενο μήνα καταχωρίζοντας 21 οργανισμούς σε τομείς όπως οι τηλεπικοινωνίες, το λιανικό εμπόριο, τα φαρμακευτικά προϊόντα και η εκπαίδευση. Η Νότια Κορέα κατείχε τη μεγαλύτερη συγκέντρωση καταχωρίσεων από μία χώρα, με 12 εγγραφές που περιλάμβαναν τους φορείς τερματικών σταθμών του Πουσάν, BNCT και Pusan Newport Co. Η ισπανική TTI Algeciras, η μαροκινή Eurogate Tanger και το βιετναμέζικο Nam Dinh Vu Port κατονομάστηκαν επίσης, μαζί με το σαουδαραβικό NEOM Ports.
Τα δείγματα που εξέτασαν οι ερευνητές φέρεται να περιλάμβαναν μηνύματα ηλεκτρονικής ανταλλαγής δεδομένων, δηλωτικά εμπορευματοκιβωτίων, δρομολόγια πλοίων, αρχεία κινήσεων πυλών, κρατήσεις, έγγραφα ανταλλαγής εξοπλισμού και αρχεία διαμόρφωσης εσωτερικών συστημάτων. Οι φερόμενοι όγκοι δεδομένων ποίκιλλαν σημαντικά, από μόλις 60 megabyte που αποδίδονται σε μια νοτιοκορεατική εταιρεία logistics έως αρχεία πολλαπλών gigabyte που συνδέονται με μεγαλύτερους φορείς τερματικών σταθμών. Το εύρος και η μορφή του υλικού έχουν τροφοδοτήσει εικασίες σχετικά με τον τρόπο που η ομάδα το απέκτησε.
Πιθανό Κοινό Σημείο Εισόδου
Η SOCRadar ανέφερε ότι το μοτίβο σχετικά μικρών, στοχευμένων συνόλων δεδομένων και επαναλαμβανόμενων τύπων εγγράφων σε άσχετες μεταξύ τους εταιρείες υποδηλώνει ένα πιθανό κοινό σημείο εισόδου αντί για 38 ξεχωριστές διεισδύσεις δικτύων. Οι ερευνητές έθεσαν την πιθανότητα τα δεδομένα να έχουν εξαχθεί από μια κοινή εφαρμογή, πλατφόρμα ενοποίησης ή υπηρεσία μεταφοράς αρχείων που χρησιμοποιείται από πολλούς ναυτιλιακούς φορείς, αντί από μεμονωμένες παραβιάσεις των βασικών συστημάτων κάθε θύματος.
Αναλυτές έκαναν συγκρίσεις με την ευπάθεια μεταφοράς αρχείων MOVEit του 2023, την οποία εκμεταλλεύτηκε η ομάδα Cl0p για να συλλέξει δεδομένα από πολυάριθμους οργανισμούς μέσω ενός παραβιασμένου λογισμικού, παρότι η SOCRadar δήλωσε ότι δεν διέθετε αποδείξεις που να συνδέουν άμεσα την n0n με εκείνη ή οποιαδήποτε άλλη γνωστή εκστρατεία. Η ομάδα έχει περιγραφεί ως μια λειτουργία εκβιασμού με βάση την κλοπή δεδομένων και οικονομικά κίνητρα, παρά ως ένας συμβατικός οργανισμός ransomware, γεγονός που σημαίνει ότι ενδέχεται να βασίζεται σε εκβιασμό χωρίς κρυπτογράφηση, στηριγμένο αποκλειστικά στην απειλή δημόσιας αποκάλυψης.
Αντίδραση του Κλάδου και Αναπάντητα Ερωτήματα
Μέχρι την πιο πρόσφατη ενημέρωση, κανένας από τους 38 κατονομαζόμενους οργανισμούς δεν είχε εκδώσει δημόσια δήλωση επιβεβαιώνοντας ότι τα συστήματά του είχαν παραβιαστεί ή ότι η n0n διέθετε πραγματικά δεδομένα, ενώ εταιρείες κυβερνοασφάλειας έχουν επανειλημμένα προειδοποιήσει ότι η συμπερίληψη σε έναν εγκληματικό ιστότοπο διαρροής δεν αποδεικνύει από μόνη της ότι σημειώθηκε παραβίαση. Ο ιστότοπος διαρροής φέρεται επίσης να προσφέρει επί πληρωμή πρόσβαση για την προβολή λεπτομερειών διαπραγμάτευσης, μια τακτική που χρησιμοποιούν όλο και περισσότερο ομάδες εκβιασμού για να ασκήσουν πίεση στα θύματα και να δημιουργήσουν δημοσιότητα.
Η εξάρτηση του ναυτιλιακού κλάδου από κοινές ψηφιακές υποδομές για την παρακολούθηση εμπορευματοκιβωτίων, τον προγραμματισμό προβλητών και τα τελωνειακά έγγραφα έχει προσελκύσει αυξανόμενη προσοχή από ερευνητές ασφαλείας, οι οποίοι σημειώνουν ότι μια μεμονωμένη παραβιασμένη πλατφόρμα προμηθευτή μπορεί να εκθέσει δεδομένα που ανήκουν σε δεκάδες διαφορετικές μεταξύ τους ναυτιλιακές εταιρείες και τερματικούς σταθμούς. Με την προθεσμία που έχει θέσει η ομάδα να λήγει στις 19 Οκτωβρίου, οι θιγόμενες εταιρείες και οι λιμενικές αρχές αντιμετωπίζουν ένα στενό χρονικό περιθώριο για να αξιολογήσουν την έκθεσή τους πριν από οποιαδήποτε απειλούμενη δημοσίευση.
Γιατί έχει σημασία
Το περιστατικό αναδεικνύει την αυξανόμενη έκθεση του ναυτιλιακού κλάδου σε κυβερνοεκβιασμό, καθώς λιμάνια, ναυτιλιακές εταιρείες και πάροχοι logistics εξαρτώνται ολοένα περισσότερο από κοινές ψηφιακές πλατφόρμες για τον προγραμματισμό, τα τελωνεία και την παρακολούθηση φορτίων. Μια επιτυχημένη διαρροή μεγάλης κλίμακας με δηλωτικά εμπορευματοκιβωτίων, δρομολόγια πλοίων και διαμορφώσεις τερματικών σταθμών θα μπορούσε να διαταράξει τις λειτουργίες σε ορισμένα από τα πιο πολυσύχναστα λιμάνια του κόσμου και να υπονομεύσει την εμπιστοσύνη στα κοινά ναυτιλιακά συστήματα πληροφορικής. Ακόμη και ανεπιβεβαίωτοι ισχυρισμοί τέτοιας κλίμακας μπορούν να προκαλέσουν δαπανηρές προληπτικές αναθεωρήσεις ασφαλείας σε ναυτιλιακές εταιρείες και φορείς τερματικών σταθμών σε πολλές χώρες, υπογραμμίζοντας την ευπάθεια του κλάδου σε κυβερνοεπιθέσεις τύπου εφοδιαστικής αλυσίδας.
Πηγή: Splash247
