Kuzey Kore bağlantılı olduğundan şüphelenilen sahte BT çalışanlarından 27'si onboarding aşamasına ulaştı; içeride açık paylaşılmış yüz binlerce hassas dosya vardı
Material Security, izlediği kuruluşların işe alım süreçlerinde bir yılda 2.429 şüpheli sahte adayı takip etti; 27'si teklif mektubu, ekipman ve hesap açılışı aşamasına geldi. Bu kuruluşlardan birinde Social Security numarası içeren yaklaşık 277 bin dosya şirket geneline ya da herkese açık linkle paylaşılmıştı.
Material Security, Kuzey Kore bağlantılı olduğundan şüphelenilen sahte BT çalışanlarını, izlediği kuruluşların işe alım süreçleri boyunca takip etti. Help Net Security'nin 13 Kasım'da aktardığı araştırmaya göre bir yılda 27 sahte kimlik (persona) onboarding aşamasına ulaştı: teklif mektubu, geçmiş taraması, ekipman talebi ya da ilk gün BT kurulumu.
Persona'lar, uzaktan mühendislik pozisyonlarına başvuran, özgeçmişi ve yüzü olan kurgu adaylar. Bir yıl içinde 2.429'u kuruluşlarla temas kurdu, 1.100'ü mülakat ya da sonrasına geçti, 27'si onboarding'e geldi; kabaca 90'da bir. Oran küçük, ancak credential alan her persona ilk günden güvenilen, yetkilendirilmiş bir iç kullanıcı oluyor.
Aynı kimlik, birçok şirket
Araştırmaya göre persona'ların yüzde 41'i birden fazla kuruluşta görüldü; 15'i on ya da daha fazla kuruluşta, biri 19 kuruluşta ortaya çıktı. Onboarding'e ulaşan 27 persona'nın 18'i aynı anda başka yerlerde de süreçteydi. Biri, bir şirkette onboarding evraklarını tamamlarken yedi şirkette daha iş kovalıyordu.
Son 30 günde 232 şüpheli persona 99 kuruluşla temas kurdu. Bunların 42'sinde en az biri mülakat ya da teklif aşamasına, dördünde onboarding'e geçti.
İçeride ne bekliyordu?
Material, bu dört kuruluştaki hassas dosyaların dökümünü çıkardı:
- Birincisinde yaklaşık 15 milyon kaynak kod dosyası ve banka ya da routing numarası içeren 130 bin dosya vardı; neredeyse yalnızca sahipleriyle paylaşılmıştı.
- İkincisinde Social Security numarası içeren yaklaşık 400 bin, banka bilgisi içeren 345 bin dosya bulunuyordu. Social Security dosyalarının yüzde 68'i, banka dosyalarının yüzde 71'i şirketteki her hesaba ya da linke sahip herkese açıktı. Haberdeki ifadeyle yeni işe giren birinin bir oturum açması yeterliydi.
- Üçüncüsünde yaklaşık 14 milyon kaynak kod dosyasının 1.900 kadarı URL'yi bilen herkesçe okunabiliyordu.
- En küçüğü olan dördüncüsünde yaklaşık 1,5 milyon kaynak kod dosyası ve özel kriptografik anahtar içeren dosyalar vardı; finans dosyalarının yüzde 21'i, kredi kartı dosyalarının yüzde 17'si sahiplerinin dışına paylaşılmıştı.
Rakamlar Material Security'nin kendi müşteri tabanındaki gözlemlerine dayanıyor; persona'ların Kuzey Kore bağlantısı araştırmada "şüpheli" olarak nitelendiriliyor.
Ne yapılmalı?
- İşe alım kontrollerini erişim kontrolleriyle birlikte ele alın; süreci geçen sahte çalışan geçerli credential taşır.
- İşe alım ve onboarding sinyallerini threat intelligence ile ilişkilendirin; geçmiş taramasında tutmayan her ayrıntının peşine düşün.
- Onboarding sırasındaki bir eşleşmeyi ilk temastakinden daha acil sayın: kimliği ve kanıtı doğrulayın, hesap ya da ekipman verilip verilmediğini kontrol edin.
- Hesap açılmışsa yetkilerini, uygulama izinlerini ve aktivitesini inceleyin.
- Şirket geneline ya da herkese açık linkle paylaşılan dosyaları tarayın; kimlik, banka ve kaynak kod içeren dosyalarda paylaşımı daraltın.
- Her rolün ilk gün hangi dosya, mesaj, credential ve bağlı uygulamaya erişebildiğini belgeleyin; olay müdahalesi ilk oraya bakacaktır.
