Вымогатели атаковали транспортное управление и школы Лондона, городской совет в графстве Глостершир обнаружил чужака в системе, а Агентство по кибербезопасности и защите инфраструктуры США запустило новый портал.
Добровольно принудительно
Агентство по кибербезопасности и защите инфраструктуры США (CISA) запустило новый портал, который призван облегчить информирование регулятора о киберинцидентах и утечках данных. Использование портала является добровольным, но пострадавшим настоятельно рекомендуется передавать сообщения об инцидентах, поскольку такая информация полезна как для субъекта, подвергшегося кибератаке, так и для широкой общественности.
Кибератаки могут быть разрушительными для пострадавших, однако CISA и его правительственные партнеры могут предложить помощь. Они обладают ресурсами и инструментами, которые помогут правильно отреагировать на инцидент и восстановить работоспособность систем. Своевременное информирование гарантирует, что эти ресурсы будут доступны пострадавшим в случае необходимости, отмечают специалисты CISA. Они также подчеркивают, что в случае одной успешной операции хакеры будут повторять использованные тактику, методы и процедуры для атаки на другие объекты.
Отчетность о киберинцидентах даст CISA в реальном времени доступ к данным о ландшафте киберугроз и позволит федеральному правительству быстрее реагировать на текущие кампании и смягчать последствия атак. Эти меры включают обмен данными об использованных уязвимостях и действия по ликвидации последствий, чтобы улучшить защиту других компаний прежде, чем они тоже станут жертвами атак. Информация об уязвимостях может быть передана разработчикам и поставщикам ПО, которые смогут выделить ресурсы для предотвращения, сдерживания, защиты, реагирования и смягчения серьезных киберугроз.
Оперативный обмен подробностями инцидентов позволит всем партнерам CISA на ранних этапах обнаруживать и противодействовать сложным хакерским кампаниям, ограничивая негативное воздействие на критическую инфраструктуру и национальную безопасность. CISA также сможет анализировать данные для выявления тенденций и отслеживания киберугроз за пределами федеральных агентств, которые обязаны сообщать об инцидентах в Агентство. Информация будет оперативно передаваться в правоохранительные органы, что позволит проводить сократить время, необходимое для выявления и преследования виновных, и предотвратить множество будущих атак.
Сведения, запрашиваемые на новом портале CISA, включают описание инцидента, любые использованные уязвимости, идентифицированные TTP, историю обнаружения инцидента, влияние атаки на организацию, товары и услуги, предоставляемые третьим лицам, и любое влияние на жизнь и безопасность. CISA также запрашивает техническую информацию, включая индикаторы компрометации (IoCs), фишинговые письма, URL-адреса, адреса электронной почты, сообщения с субъектами угроз, вредоносное ПО или предполагаемое вредоносное ПО, а также шаги, предпринятые для смягчения инцидента, включая оценку того, насколько эффективными, как считается, были эти меры по смягчению.
Новый портал предоставляет расширенные функциональные возможности и возможности совместной работы, позволяет сохранять, обновлять отчеты и делиться ими с коллегами или клиентами. Пользователи смогут проводить неформальные обсуждения с CISA через сервисы сайта.
Вымогатели атаковали транспортное управление Лондона
Объединенное транспортное управление Лондона Transport for London (TfL) подтвердило длящийся инцидент кибербезопасности, который был обнаружен 2 сентября и вывел из строя ряд сервисов компании. По сообщениям на сайте TfL, сеть общественного транспорта работает в обычном режиме, однако информация о прибытии поездом метро в режиме реального времени недоступна на некоторых цифровых сервисах, включая TfL Go и веб-сайт TfL. Также временно приостановлен прием заявок на новые смарткарты Oyster, включая карты Zip. Клиенты, использующие бесконтактную систему оплаты по факту использования, не могут получить доступ к истории онлайн-поездок.
Сотрудники TfL имеют ограниченный доступ к системам и электронной почте, поэтому ответы на запросы граждан обрабатываются с задержкой. Все финансовые вопросы, связные с оплатой проезда смарткартами или с использованием бесконтактных платежей, TfL обещает рассмотреть по завершению инцидента.
Спустя три дня после инцидента перевозчик Лондона подтвердил, что в результате инцидента пострадали пользователи с ограниченными возможностями. Хакеры атаковали сервис Dial-a-Ride, предназначенный для маломобильных жителей и людей с ограниченными возможностями. После атаки на TfL им недоступны системы бронирования, которые отключены компанией в рамках внутренних мер безопасности, и сервисы поддержки клиентов, включая телефонную связь с оператором и электронную почту.
Предполагается, что за атакой на сервисы TfL стоят программы-вымогатели. Наблюдатели отмечают, что ранее принятые TfL меры по планированию реагирования на инциденты помогли ограничить ландшафт атаки и смягчить последствия инцидента. Компания TfL работает с регуляторами и правоохранительными органами, введется расследование инцидента и восстановление затронутых систем.
Учеников отправили по домам
Средняя школа имени Чарльза Дарвина на юге Лондона объявила о закрытии из-за атаки вируса-вымогателя. Около 1300 учеников были вынуждены остаться дома на протяжении нескольких дней. В минувший четверг учеников отпустили домой из школы, а в пятницу родители получили письмо от администрации учебного заведения, в котором сообщалось о серьезном инциденте с вирусом-вымогателем.
Школа оставалась закрытой как минимум на три дня текущей неделе. Все устройства персонала были изъяты для проверки, учителям потребуется время для перепланирования уроков. Администрация вынуждена создать системы для продолжения работы школы.
В качестве меры предосторожности у всех школьников были отключены учетные записи в Microsoft 365. Руководство школы просит родителей и учеников внимательнее относится к получаемой корреспонденции якобы от имени администрации учебного заведения и не переходить по ссылкам.
Школа также предупреждает, что ведется расследование инцидента, в ходе которого могут быть приняты дополнительные меры безопасности. Не исключается и вероятность утечки персональных данных.
Атака на лондонскую школу стала продолжением серии атак с целью вымогательства на образовательные учреждения Великобритании. За последние годы число атак программ-вымогателей на сектор образования и ухода за детьми в Соединенном Королевстве достигло рекордного уровня. В 2023 г. в Управление комиссара по информации было сообщено о 126 инцидентах, что значительно превышает показатели прошлых лет. Только за первый квартал 2024 года стало известно о 27 новых атаках, что более чем вдвое превышает количество инцидентов, зарегистрированных за аналогичный период прошлого года. Атаки с использованием программ-вымогателей также стали широко распространенной проблемой для образовательных учреждений США.
Пусть растет трава у дома
4 сентября городской совет Тьюксбери (Глостершир, Великобритания) сообщил жителям о кибератаке на свои системы. Они были отключены после обнаружения инцидента. Глава совета Алистер Каннингем заявил, что город предпринял «все необходимые меры реагирования на кибератаку» и «нет никаких доказательств утечки данных из городских систем».
В интервью BBC Каннингем сообщил, что в среду совет «узнал о несанкционированном доступе к учетным записям пользователей в городской системе», в результате чего «были немедленно отключены все сервисы и начато расследование происходящего». Расследование атаки проводится правоохранительными органами совместно с Национальным центром кибербезопасности и Агентством по борьбе с мошенничеством Великобритании.
В приоритетном порядке городской совет планирует восстановить предоставление услуг уязвимым слоям населения. Уже работает телефонная связь, Тьюксбери закупает новые компьютеры, чтобы обеспечить больше телефонных линий, заявили в городском совете. Инцидент не затронул работу сайта.
Глава совета призвал жителей адекватно оценивать свои проблемы и в этот напряженный момент не беспокоить городские службы Тьюксбери по поводу мелких проблем, например, с неподстриженной изгородью или травой возле дома. В первую очередь город намерен решать проблемы социально незащищенных жителей, которые рискуют потерять дом или не могут прокормить детей.
До восстановления работоспособности сервисов сотрудники совета проводят встречи с жителями по расписанию, которое размещено на сайте. Каннингем полагает, что было бы халатностью возобновлять работу всех служб до того, как будут установлены причины и масштабы атаки. Перед возобновлением работы служб городской совет планирует оценить риски безопасности и будет внимательно следить за работой сервисов.
(1).gif)