Критична уязвимост от тип нулев ден в Oracle PeopleSoft изложи Съвета на Европа и десетки други организации на кражба на данни и изнудване през май и началото на юни 2026 г.

Хакерската група ShinyHunters е експлоатирала уязвимостта в около 100 организации и 300 инстанции по целия свят, според доклади, цитирани от The Register.

Атакуващите са се насочили към слоевете за управление и конфигурация на системите за планиране на ресурсите на предприятието (ERP), крадейки чувствителни записи.

Сред тях са лични данни на служители и студенти, информация за заплати, данъци и финансови отчети, здравни досиета, както и документи за имиграция и паспорти.

AgentCypher.ai изчислява исканията за откуп на стойност между 400 000 и 2,3 милиона долара на жертва – често в Bitcoin, въпреки че общата сума остава неразкрита. Съветът на Европа отказа да преговаря или да плати.

Защо традиционните модели за сигурност, базирани на периметър, вече не са достатъчни?

Инцидентът показа защо традиционният периметър на сигурност вече не е надеждна граница.

Потребителите, приложенията и данните вече обхващат облачни платформи, SaaS услуги, отдалечени устройства и среди на трети страни, така че сигурността вече не може да зависи от това дали даден актив се намира вътре или извън корпоративната мрежа.

Идентичността, надеждността на устройствата, достъпът с минимални привилегии и непрекъснатата верификация са от по-голямо значение.

Основната нагласа е да се приеме, че компрометирането е възможно, и защитата да се изгради около предотвратяване, откриване, ограничаване и възстановяване.

Марк Чайлд, главен изпълнителен директор на Quantum Evolve, заявява, че сигурността на периметъра е предполагала, че организациите могат да защитават ясна граница с защитни стени (firewalls), VPN мрежи и мрежова сегментация.

Този модел става все по-неустойчив, тъй като приложенията, работните натоварвания и потребителите се разпростират в облачни услуги, API интерфейси, мобилни среди и екосистеми на трети страни.

Изкуственият интелект ускорява тази промяна, като помага на атакуващите да автоматизират разузнаването, да създават убедителни кампании за социално инженерство и да откриват слабости в мащаб.

Квантовите изчисления представляват по-дългосрочен риск за надеждната в момента криптография, така че организациите трябва да планират своята криптографска устойчивост още сега.

Архитектурата Zero Trust (нулево доверие) следователно е от решаващо значение. Тя третира периметъра като пропусклив и поставя акцент върху идентичността, непрекъснатата проверка, минималните привилегии, защитата на данните и възстановяването.

Целта е не само да се предотврати компрометиране, но и да се откриват, локализират и преодоляват сривове в контролните механизми.

Веригите за доставки на SaaS и облачни услуги разширяват повърхността на атака за организациите

Всяка облачна или SaaS услуга добавя нова зависимост, а доставчиците често зависят от други подизпълнители. Дадена организация може да има строг вътрешен контрол и въпреки това да бъде изложена на риск чрез компрометиране няколко нива надолу по веригата.

Рискът по веригата за доставки е наследен риск, така че организациите трябва да познават не само преките си доставчици, но и критичните услуги, които тези доставчици използват.

Чайлд отбелязва, че облачните и SaaS платформите подобряват гъвкавостта и намаляват тежестта по управление на инфраструктурата, като същевременно създават концентрация на риска.

Организациите разчитат все повече на малка група от доставчици на облачни услуги, управление на идентичността и управлявани услуги (MSP) с привилегирован достъп до чувствителни данни и основни процеси.

AI моделите, API интерфейсите, автономните агенти и услугите за обработка на данни добавят допълнителни зависимости и въпроси относно това къде се обработват данните, кои модели имат достъп до тях и какво се случва, ако даден доставчик бъде компрометиран.

Забавеното инсталиране на корекции за сигурност може да превърне тези слабости в масови кампании за експлоатация.

Забавеното инсталиране на корекции за сигурност увеличава въздействието от масовата експлоатация

Времевият прозорец между разкриването на уязвимост и активната ѝ експлоатация вече е изключително малък. Автоматизираното сканиране позволява на киберпрестъпниците бързо да откриват уязвими системи с директен достъп от интернет, без да е необходимо да се прицелват в конкретна организация.

Издадената корекция за сигурност не премахва риска, докато не бъде внедрена или уязвимостта не бъде смекчена по друг начин. Системите, достъпни от интернет, инфраструктурата за идентичност и уязвимостите, за които е известно, че се експлоатират активно, трябва да бъдат с приоритет.

Чайлд предупреждава, че публичните уязвимости могат бързо да бъдат индустриализирани чрез автоматизирано сканиране, рамки за експлоатация и инструменти с изкуствен интелект.

Без ефективно откриване на активи, категоризиране по приоритет и навременно отстраняване на уязвимостите на базата на риска, теоретичната слабост може да доведе до реално компрометиране в рамките на дни или дори часове.

Оперативни последици от компрометиране на облачни услуги

Компрометирането на облачна среда може да прерасне в инцидент, засягащ целия бизнес, нарушавайки едновременно наличността, целостта, достъпа до данни, услугите за идентичност и критичните процеси.

Ако критична услуга спре, организациите могат едновременно да загубят автентикация, комуникации, клиентски системи и среди за разработка.

Възстановяването на наличността не е достатъчно, ако идентичностите, конфигурациите или данните вече не са надеждни.

Възстановяването означава връщане към надеждни бизнес операции, включително за AI моделите, агентите, API интерфейсите, конвейерите за данни и профилите, чрез които те функционират.

Ролята на криптираните, географски разпределени резервни копия

Криптираните, географски разпределени резервни копия остават сред най-сигурните мерки за устойчивост.

Те трябва да бъдат изолирани от продукционната среда, където е възможно, за да не може единичен облачен срив, кибератака или физически инцидент да унищожи едновременно работната и възстановителната среда.

Неизменимите (immutable) или офлайн копия трябва да защитават най-критичните системи. Атакуващ, който компрометира продукционната среда, не бива автоматично да получава възможност да изтрие капацитета за възстановяване.

Определяне на целево време за възстановяване (RTO)

Целите за време за възстановяване (RTO) трябва да се определят от нуждите на бизнеса. Ключовият въпрос е колко дълго дадена услуга може да бъде недостъпна, преди последствията да станат неприемливи.

След това екипите по ИТ и киберсигурност могат да проектират системи и процеси за възстановяване, които да отговарят на тези изисквания.

Не всяка услуга изисква петминутно възстановяване. Приоритетите трябва да отразяват критичността за бизнеса, регулаторните изисквания и оперативното въздействие; RTO са бизнес решения, подкрепени от технологиите, а не цели, наложени от тях.

Редовно тестване на процесите по репликация и възстановяване

Резервните копия и плановете за възстановяване трябва да се тестват регулярно. Репликацията може да прекъсне, идентификационните данни да изтекат, зависимостите да се променят, а документацията да остарее.

Тестването трябва да докаже, че системите могат да бъдат възстановени и че бизнесът може да продължи дейността си след това. Наличието на резервно копие е различно от реалната способност за възстановяване.

Новият периметър: Сигурност на идентичността и облачна устойчивост

Идентичността е новият периметър. Злонамерените субекти може дори да не се налага да пробиват мрежата, ако успеят да придобият привилегирован акаунт, сесиен токен или API ключ.

Многофакторната автентикация (MFA), управлението на привилегирования достъп (PAM), принципът на минималните привилегии и задълбоченият мониторинг са от съществено значение.

Устойчивостта изисква и план за действие при срив на идентичността: ако доставчикът на автентикация е недостъпен или компрометиран, как администраторите ще възстановят контрола? Този въпрос трябва да присъства във всеки сериозен план за аварийно възстановяване (disaster recovery).

Подготовка за едновременни сривове при трети страни

Организациите трябва да осъзнаят риска от концентрация. Няколко на пръв поглед независими доставчици могат да разчитат на един и същ облачен хиперскейлър, доставчик на идентичност, телеком оператор или платформа.

Картографирането на зависимостите е от критично значение. За ключови услуги организациите трябва да обмислят независими резервни копия, алтернативни комуникационни канали, вторични доставчици и документирани ръчни процеси, фокусирайки се върху зависимостите, чийто едновременен отказ би нанесъл най-големи щети.

Прилагане на практическите уроци

Основният извод е, че киберсигурността и непрекъсваемостта на бизнес процесите вече не могат да функционират изолирано. Екипите по сигурност трябва да приемат, че превантивните мерки могат да се провалят, докато екипите по непрекъсваемост трябва да разберат, че възстановяването след кибератака се различава от стандартно прекъсване, тъй като системите, идентификационните данни и самите данни може вече да не са надеждни.

Приоритетите са ясни: картографиране на критичните зависимости, защита на идентичностите, бързо инсталиране на корекции за високорискови уязвимости, поддържане на изолирани резервни копия и редовно тестване на възстановяването.

Устойчивостта трябва да обхваща и доставчиците – от етапа на подбор и договаряне през мониторинга до стратегиите за прекратяване на взаимоотношенията.

Целта не е да се направи провалът невъзможен, а да се гарантира, че възникнал срив няма да прерасне в катастрофа.

Авторски права: Михай Попа, главен директор по информационните технологии (CIO) в Bridgeworks Ltd. Той е специалист по киберсигурност, защита на данните и опазване на корпоративни мрежи.