Supply chain angreb: Hvad gor du nar din leverandor bliver hacket?

Telefonen ringer klokken seks om morgenen. Det er ikke jeres eget overvågningssystem, der slår alarm, men en opringning fra jeres primære softwareleverandør: Deres infrastruktur er blevet lagt ned af ransomware. På et splitsekund står én kendsgerning lysende klart: Jeres organisations modstandsdygtighed afhænger ikke længere udelukkende af jeres eget forsvar, men af hele jeres digitale værdikæde.

Supply chain angreb er ikke et teoretisk scenarie forbeholdt globale tech-giganter. I dag er en ekstern IT-driftsleverandør, et revisionshus eller en specialiseret softwarepartner den ideelle bagdør for cyberkriminelle til at ramme snesevis af slutkunder på én gang. Når et led i jeres leverandørkæde svigter, tæller hvert eneste minut for at forhindre, at truslen spreder sig til jeres egne systemer. Dette understreges også i kravene fra NIS 2 og D-mærket, hvor leverandørsikkerhed er et centralt fokusområde ifølge CFCS (Center for Cybersikkerhed).

Hvordan reagerer I omgående ved et supply chain cyberangreb mod en tredjepart?#

Kort sagt: Det akutte beredskab ved hacking af en leverandør bygger på tre grundpiller: øjeblikkelig tilbagekaldelse af eksterne adgange (VPN, delte konti og API-nøgler), teknisk isolation af indgående netværkstrafik samt etablering af en sikker out-of-band kommunikationskanal med leverandøren.

Når et alvorligt sikkerhedsbrud hos en ekstern part bekræftes, skal jeres IT-sikkerhedsafdeling skifte fra normal drift til præventiv inddæmning. Formålet er ikke at placere skyld, men at beskytte forretningskritiske data, før angriberne bevæger sig lateralt ind i jeres miljø.

• Afbryd direkte netværksforbindelser: Luk omgående for site-to-site IPsec VPN-tunneler og fjernadgange for leverandørens konsulenter. Selvom angrebet foreløbigt ser ud til kun at berøre deres mailservere, kan deres interne netværk være fuldstændig kompromitteret.
• Tilbagekald hemmeligheder og adgangstokens: Roter alle delte API-nøgler, ugyldiggør OAuth-tokens og nulstil passwords på servicekonti, som anvendes af leverandørens integrationer.
• Etabler en out-of-band kontaktlinje: Kommuniker aldrig med leverandøren via deres sædvanlige e-mails eller platforme, da disse kan være under angribernes kontrol. Benyt telefonopkald eller en forhåndsdefineret krypteret beskedtjeneste, som er beskrevet i jeres beredskabsplan.

Hvorfor skal I straks overvåge og filtrere e-mails og data fra partneren?#

Kort sagt: Hvis angriberne overtager legitime postkasser hos leverandøren, kan de udsende målrettet malware eller udføre direktørsvindel. Ved midlertidigt at isolere disse datastrømme og blokere leverandørens domæner forhindrer I, at avanceret social engineering rammer jeres økonomi- og driftsteams.

En udbredt misforståelse er, at supply chain angreb udelukkende handler om manipulation af kildekode. I praksis udnytter cyberkriminelle ofte leverandørens kompromitterede adgange til at infiltrere jeres organisation via målrettet social engineering.

Håndtering af kompromitterede mailsystemer

Når angribere får fodfæste i en leverandørs mailmiljø, kaprer de ofte eksisterende korrespondancer (en teknik kaldet thread hijacking). Almindelige spamfiltre opdager sjældent disse mails, fordi afsenderadressen og domænets omdømme er ægte. Sæt midlertidigt leverandørens domæner i skærpet karantæne på jeres mailgateways, eller aktiver udvidet inspektion af alle vedhæftede filer og links, der stammer fra partnerens miljø.

Kontrol af finansielle transaktioner og fakturaer

Informer omgående jeres økonomiafdeling. Hvis den ramte tredjepart håndterer fakturering eller modtager betalinger, ses det ofte, at angriberne forsøger fakturasvindel under påskud af ændrede bankoplysninger. Ethvert nyt kontonummer skal bekræftes mundtligt via et kendt kontrolopkald til leverandørens faste telefonnummer, før betalinger frigives. Dette understøtter også kravene til intern kontrol under Finanstilsynet og DORA for berørte finansielle aktører.

Hvordan træner I krisestaben til at håndtere nedbrud hos en strategisk leverandør?#

Det er vanskeligt at håndtere en intern IT-krise, men udfordringen vokser markant, når hændelsen udspringer uden for jeres eget ansvarsområde. Her står direktionen og bestyrelsen over for et strategisk dilemma: Skal man koble en forretningskritisk tjeneste helt fra med risiko for tabt omsætning, eller skal man opretholde integrationen og risikere lateral spredning af et angreb?

Den slags afvejninger kan ikke improviseres midt under et igangværende ransomware-angreb. Den mest effektive forberedelse er at afprøve jeres beslutningsprocesser gennem virkelighedsnære simuleringer. Vores skræddersyede krisesimulering Cybersecurity is not a game bringer krisestaben igennem realistiske scenarier, hvor hvert valg direkte påvirker forretningens overlevelse og compliance i forhold til Datatilsynet og GDPR.

Ved at træne ledelsen, juristerne og kommunikationsansvarlige i at handle koordineret over for en sårbar leverandør, styrker I jeres operationelle modstandsdygtighed. Hvis I vil teste jeres nødprocedurer og designe en øvelse målrettet jeres forretning, kan I kontakte os for at drøfte jeres behov.

BRAIN SECURITY I PRAKSIS · Cybersecurity is not a game

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Cyber-hændelsesopsamling: Gør hændelser og næsten-ulykker til fælles modstandsdygtighed (Cyber Crisis & Ransomware) : Lær at lede en blameless post-mortem efter en cyberhændelse og omdan reelle alarmer til engagerende træningsscenarier for organisationen.
• Digital hygiejne i virksomheden: De enkle vaner der blokerer 80 % af angrebene (Cyber Crisis & Ransomware) : Styrk jeres digitale hygiejne og stop opportunistiske cyberangreb med enkle daglige vaner. Læs rådene til CISO og direktionen her.
• Insidertrusler i cybersikkerhed: Skeln mellem uagtsomhed og ond vilje (Cyber Crisis & Ransomware) : Hvordan adskiller man medarbejderfejl fra bevidst sabotage? Få råd til CISO og ledelse om datasikkerhed, GDPR og afgangsprocedurer.
• DORA og kriseøvelser: Træn den finansielle sektor til cyberhændelser (Compliance (NIS 2, DORA, ISO)) : Forbered banker og forsikringsselskaber på DORA-kravene med realistiske cyberkriseøvelser: governance, eskalering og regulatorisk rapportering under pres.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Cybersecurity is not a game : Interaktiv krisesimulering og beslutningsøvelse (Cybersecurity is not a game) for direktion og sikkerhedsteams.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)