Wat zijn de meest gebruikte methodes bij supply chain attacks?

Aanvallen via de toeleveringsketen, ook wel bekend als supply chain attacks, zijn steeds populairder. Bij dit soort aanvallen zoeken hackers eerst naar kwetsbaarheden in de toeleveringsketen van een bedrijf, zoals dienstverleners die minder hoge beveiligingsnormen hanteren. Vervolgens maken ze dan gebruik van technische gebreken in de systemen van de dienstverlener om toegang te krijgen tot het eigenlijke doelwit. Om je hiertegen te kunnen wapenen is het belangrijk om te weten wat voor aanvallen je kan verwachten.

Hiervoor waarschuwt security-awareness specialist SoSafe. Het bedrijf zet de meest voorkomende methoden voor supply chain-aanvallen uiteen:

Malware-infecties

De meeste supply chain attacks beginnen met een malware-infectie. Cybercriminelen zetten stiekem schadelijke software op de systemen van een bedrijf, die zich langzaam door de hele toeleveringsketen verspreidt. Er zijn verschillende soorten malware die op hun beurt weer verschillende processen uitvoeren. Spyware houdt bijvoorbeeld de activiteiten van werknemers in de gaten en achterhaalt hun vertrouwelijke inloggegevens. Ransomware wordt gebruikt om gegevens te verzamelen en te versleutelen zodat cybercriminelen losgeld kunnen vragen. Backdoor-malware, zoals een Trojaans Paard, maakt het mogelijk om programma's op afstand te besturen en kan ook dienen als startpunt van een supply chain attack. Deze malware-infecties maken gebruik van technische beveiligingsfouten en andere kwetsbaarheden in de supply chain.

Kwetsbaarheden in software

Geen enkele software is perfect. Fabrikanten testen hun producten uitvoerig, maar er is geen absolute veiligheidsgarantie. Cybercriminelen zoeken naar zwakke plekken die ze met hun tools kunnen uitbuiten. Vaak hebben ze alleen tijdelijke gebreken nodig die ze kunnen gebruiken voor zero-day exploits, zoals het manipuleren en uitvoeren van updates. Een voorbeeld hiervan zagen we afgelopen januari toen authenticatiedienst Okta aangevallen werd door de hackersgroep Lapsus$. De aanvallers wisten gebruik te maken van een kwetsbaarheid bij Sitel, een van de dienstverleners van Okta. Ze gebruikten software die bedoeld is voor onderhoud op afstand door in te loggen op de laptop van een werknemer, en maakten zichzelf pas twee maanden later bekend aan het publiek. Dit voorbeeld laat duidelijk zien hoe lang hackers onopgemerkt in systemen kunnen blijven en hoe snel - en uitgebreid - malware zich door toeleveringsketens kan verspreiden.

Social engineering

Niet alleen de techniek, maar ook de mens wordt voortdurend op de proef gesteld door cybercriminelen. Met social engineering spelen hackers in op menselijke eigenschappen zoals vertrouwen en angst. Slachtoffers geven vertrouwelijke informatie vrij, schakelen beveiligingsfuncties uit of laten zich verleiden tot het installeren van malware. Er zijn verschillende soorten social engineering-aanvallen, zoals phishing of smishing (phishing via sms of andere berichten). Gebruikers zijn vaak onvoorzichtiger met smishing-berichten en reageren er sneller op dan op e-mails. Afgelopen juli probeerden aanvallers bijvoorbeeld Christine Lagarde, de president van de Europese Centrale Bank, te verleiden om haar bevestigingscode voor WhatsApp te onthullen. Daarvoor gebruikten ze het echte mobiele nummer van de voormalige Duitse bondskanselier Angela Merkel - maar niemand weet hoe de cybercriminelen dat in handen kregen. Gelukkig was Lagarde achterdochtig en belde Merkel om te vragen naar het bericht, en het gevaar werd afgewend.

Brute-force aanvallen

Cybercriminelen gebruiken ook zogenaamde brute-force aanvallen om gevoelige gegevens, zoals interne inloggegevens, in handen te krijgen. Deze aanvallen zijn gebaseerd op trial and error, waarbij cybercriminelen een groot aantal mogelijkheden testen om het wachtwoord van een werknemer te raden. Daarvoor gebruiken ze tools die automatisch alle mogelijke combinaties testen. Zodra ze met succes de juiste combinatie hebben gekraakt, is het voor de criminelen eenvoudig om de systemen van het bedrijf te infecteren met malware.

De rol van bewustzijn bij het voorkomen van supply chain attacks

Al deze aanvalsmethoden laten zien dat beveiligingslekken en kwetsbaarheden ernstige gevolgen kunnen hebben voor organisaties. Dr. Niklas Hellemann, CEO van SoSafe: "Ondanks, of misschien wel omdat er tegenwoordig veel technische beveiligingssystemen in gebruik zijn, worden cybercriminelen steeds hardnekkiger in hun pogingen om via mensen toegang te krijgen tot systemen. Mensen zijn immers altijd vatbaar voor één ding: emotionele manipulatie."

Dit onderstreept het belang van verdere integratie van werknemers in samenhangende cyberbeveiligingsstrategieën, zodat het risico van keten- en andere cyberaanvallen kan worden beperkt. Hellemann: "Werknemers moeten alert zijn en zich bewust zijn van de methoden van de aanvallers. Maar een eenvoudige uitleg op papier of training volstaat niet, want passieve kennis wordt zelden toegepast en is moeilijk te onthouden. Actieve kennis wordt in de praktijk gebracht en komt tot uiting in veilig gedrag. Dit is mogelijk met een moderne security awareness training: praktische oefeningen, begrijpelijke training en realistische simulaties. De focus moet altijd liggen op de behoeften van de leerling. Daarom is het gebruik van gedragswetenschappen en leerpsychologie essentieel. Gamification is bijvoorbeeld zeer effectief en verhoogt de gebruikersactivering met 54 procent. Wanneer werknemers bijvoorbeeld via simulaties leren wat ze moeten doen in geval van nood, weten ze ook hoe ze het in het echt moeten aanpakken. Cyberrisico's kunnen met dit soort systematische en individuele opleidingsmaatregelen tot 90 procent worden verminderd. Awareness is daarmee een grote stap in de richting van cyberveiligheid voor de hele organisatie."