La violación de datos militares británicos sirve como recordatorio del riesgo de terceros

La divulgación de una filtración que expuso datos de más de 225.000 militares británicos pone de relieve los riesgos de seguridad global asociados con los contratistas de defensa externos.

La revelación, que salió a la luz esta semana, surgió de un actor de amenazas que accedió a los nombres, detalles de cuentas bancarias y otra información del personal actual, anterior y de reserva del ejército británico, el servicio naval y la Royal Air Force desde una empresa que procesa pagos. y nómina para el Ministerio de Defensa del Reino Unido (MoD).

Culpa del contratista externo

El bbc y otros medios de comunicación británicos identificaron al contratista externo como Shared Services Connected Ltd y dijeron que el sistema de nómina pirateado contenía información de varios años sobre el personal militar. En Comentarios a los diputados, el secretario de Defensa británico, Grant Shapps, identificó el ataque como obra de un “actor malicioso” que probablemente contaba con el apoyo del Estado-nación. Si bien algunos altos funcionarios del gobierno citaron a China como el sospechoso más probable, el propio Shapps no llegó a atribuir el ataque a nadie por su nombre.

En cambio, culpó al proveedor externo por no proteger adecuadamente sus sistemas contra ataques. Los actores maliciosos obtuvieron acceso a parte de la red de pagos de la fuerza a través de un sistema externo que está completamente separado de la red central del Departamento de Defensa y no está conectado al sistema principal de gestión de personal militar, dijo Shapps. “Es operado por un contratista y hay evidencia de posibles fallas de ese contratista que pueden haber facilitado el ingreso del actor malicioso”, enfatizó. Shapps añadió que el gobierno del Reino Unido había iniciado una revisión especial de seguridad del contratista y sus operaciones.

El último incidente marca la segunda vez en menos de un año que un contratista externo es responsable de revelar datos relacionados con el ejército británico. En agosto pasado, la banda de ransomware LockBit logró robar alrededor de 10 GB de datos de Zaun, una empresa que proporciona cercas de alambre a instalaciones militares británicas. Zaun describió la violación como resultado de un sistema Windows 7 fraudulento en su red. La compañía afirmó que los actores de LockBit accedieron a un sistema que contenía “correos electrónicos históricos, pedidos, dibujos y archivos de proyectos”, pero no información clasificada ni secretos militares.

Riesgos de la cadena de suministro en el sector de defensa

Infracciones como estas resaltan las vulnerabilidades que los contratistas externos plantean a los atacantes que tienen como objetivo datos y sistemas militares y de defensa. En junio de 2023, Adlumin informó sobre un actor de amenazas que utilizaba una novedosa puerta trasera llamada » PowerDrop en sistemas propiedad de al menos un contratista de defensa estadounidense. Y el mes pasado, el gobierno de Estados Unidos publicó detalles de un esfuerzo de varios años. Ciberespías iraníes roban secretos militares estadounidenses apuntando a empleados de contratistas de defensa que poseen autorizaciones de seguridad de alto nivel.

Eric Noonan, director ejecutivo de CyberSheath, dice que los proveedores externos que trabajan con el ejército son un objetivo atractivo porque estas organizaciones a menudo pasan por alto importantes medidas de seguridad. “En Estados Unidos, el Departamento de Defensa ha estado luchando por imponer estándares mínimos de seguridad a contratistas externos durante más de una década. [Cybersecurity Maturity Model Certification] «Pero hasta que los contratistas se enfrenten a la pérdida de contratos debido a la falta de seguridad, no espero que cambien mucho».

puntos de mediodía Investigación El estudio CyberSheath del año pasado mostró que un alto porcentaje de la base industrial de defensa carece de controles básicos de ciberseguridad, lo que pone en riesgo toda la cadena de suministro del Pentágono. Por ejemplo, el 81% de los contratistas del estudio de CyberSheath no tenían un sistema formal de gestión de vulnerabilidades; El 75% no ha implementado la autenticación multifactor; y el 75% no tenía ningún plan de respaldo.

Un estudio de mayo de 2022 realizado por Dragón Negro de las 100 mayores empresas de defensa estadounidenses han descubierto problemas similares: el 72%, por ejemplo. haber experimentado al menos una fuga de identificación en los 90 días anteriores; El 32% era vulnerable a ataques de ransomware; y el 17% utilizaba sistemas obsoletos y, por tanto, sin soporte.

¿Es hora de establecer normas mínimas vinculantes?

«Industrias como la defensa y otros sectores de infraestructura crítica deben estar regulados para implementar estándares mínimos obligatorios de ciberseguridad», dice Noonan. «Las empresas privadas que operan en estos sectores no han realizado las inversiones necesarias en ciberseguridad y no lo harán a menos que se apliquen regulaciones como CMMC».

Stephen Gates, PYME líder en seguridad en Horizon3.ai, dice que el riesgo cibernético de terceros en general nunca ha sido tan alto. «Ésta es una de las razones por las que las empresas ahora casi exigen a sus proveedores externos que realicen evaluaciones continuas del riesgo cibernético de sus propias infraestructuras para garantizar que no transfieren su riesgo a otros, en particular a sus compradores».

El desafío para las organizaciones es realizar evaluaciones cibernéticas continuas. Los ejercicios de autoevaluación de casillas de verificación y las pruebas de penetración externas que sólo prueban una pequeña porción de la red han fracasado en gran medida, dice Gates. «Es por eso que están surgiendo iniciativas, todas las cuales exigen una mayor evaluación continua de los riesgos cibernéticos», dice.

Gates cita una iniciativa como ejemplo Nosotros marina de guerra se lanzó en noviembre de 2023 para proporcionar evaluaciones cibernéticas realistas mediante pruebas automatizadas y manuales de medidas de seguridad, y otro del Departamento de Defensa de EE. UU. llamado Evaluación de preparación cibernética (CORA) programa.