Атакуващ е използвал откраднати пароли на служители във френската данъчна администрация, за да заграби данъчни данни на стотици хиляди данъкоплатци и бизнеси през юни и юли.

Нито данъчната администрация, нито Националната агенция за киберсигурност на Франция (ANSSI) са забелязали изтичането на данните. Атаката не е била сложна, посочва агенцията ANSSI в доклад, публикуван във вторник: тя е успяла поради слаба защита при вход, лошо изолирани мрежи и пропуски в мониторинга.

Данъчната администрация, известна като DGFIP, управлява френския данъчен уебсайт impots.gouv.fr. Данните са източени от E-Contact – инструмента, който данъкоплатците използват за изпращане на съобщения до данъчната администрация.

Откраднатите данни обхващат малко над 350 000 физически лица и малко над 250 000 бизнеса, съобщават от DGFIP. Собствените онлайн профили и пароли на данъкоплатците не са компрометирани.

За физическите лица данните, които може да са били преглеждани или копирани, включват техния данъчен идентификационен номер, данни за контакт, семейно положение, референтен облагаем доход и ставка за удържане на данък, както и списък с съобщенията, разменени с DGFIP. За по-малко от 250 души може да са били взети и самите съобщения.

За бизнесите данните включват името на компанията, регистрационния номер SIREN, адреса и основни подробности за техните съобщения. За по-малко от 2076 бизнеса съдържанието на тези съобщения може да е било прегледано.

Кражбата става известна на 12 август, когато атакуващият я обявява в онлайн форум, седем седмици след като е взета първата партида данни. Премиерът Себастиан Лекорню поиска от ANSSI задълбочен одит. През август министерството, надзорник на DGFIP, представи различно обяснение.

Тогава то заяви, че проверките за достъп на DGFIP не са разкрили кражбата „поради сложността на атаката“.

Как атакуващият е проникнал

Атакуващият е използвал два отделни маршрута, според доклада. Първият започва със съмнителни влизания в системата в началото на май и води до E-Contact.

Първият маршрут разчита на няколко десетки пароли, принадлежащи на персонала на DGFIP, откраднати в продължение на три месеца. Те най-вероятно са откраднати от infostealers – зловреден софтуер, който тихо копира запазени данни за вход, от компютри, които не са били управлявани от DGFIP, най-вероятно лични устройства на персонала.

Два портала, използвани от киберпрестъпника – PIGP и ADER, са изисквали само парола, така че откраднатата парола е проработила веднага. PIGP е уеб портал, използван от персонала на DGFIP за имейл и HR услуги. ADER осигурява достъп до определени приложения на DGFIP чрез RIE – мрежата, която свързва френските правителствени министерства.

Атакуващият е достигнал до RIE чрез компрометирани системи на Министерството на образованието, свързани към нея. Чуствителните приложения на DGFIP не са били изолирани от останалата част на RIE, което е позволило достъп до тях от части на мрежата без явна нужда от това. Разследващите са открили и следи от множество опити за преминаване към други правителствени органи в мрежата.

Профилите, използвани от атакуващия, не са имали специални привилегии, но въпреки това са имали достъп до голям обем данни. ANSSI не е разглеждала как са управлявани потребителските права за този доклад.

Вторият маршрут е водил до данни от имотния регистър. Той е преминал през APEX – портал за партньори като нотариуси и геодезисти, който е изисквал парола и еднократен код, изпратен по имейл.

Разследването на DGFIP установи, че компютър на геодезист в частна фирма вероятно е бил компрометиран, което е позволило на атакуващия да заобиколи този код. Данните са взети между 27 юли и 8 август. Те засягат близо 435 000 домакинства, според бележка от комисията по финанси към Сената от 4 септември, цитирана от Public Sénat.

Защо никой не е забелязал кражбата

DGFIP вече е имала рутинна процедура за откраднати данни за вход на персонала, заявява ANSSI. Неговият оперативен център за сигурност (SOC) е екипът, който следи за атаки. Когато SOC открие компрометиран профил или доставчик на разузнавателна информация за заплахи го маркира, той нулира паролата.

Тази рутинна процедура е засякла част от дейността на атакуващия, но не и кражбата. На 7 юни търсения с използване на откраднат профил задействат предупреждение и нулиране на паролата в същия ден, но SOC не е забелязал, че атакуващият преминава от PIGP към ADER.

На 23 юни доставчикът отбелязва друг профил, използван от киберпрестъпника, и търсенията, направени с него, отварят тикет в SOC в 20:50 ч. парижко време. В 4:26 ч. на следващата сутрин атакуващият започва да извлича данни от E-Contact през ADER с помощта на автоматизирани инструменти за скрапинг, които копират данни страница по страница.

SOC обработва тикета в 10:40 ч., като нулира паролата на профила. Нулирането решава проблема с предупреждението в PIGP, но не прекратява отворената сесия на атакуващия в ADER. Изтичането на данни продължава още почти 16 часа, до 2:31 ч. на 25 юни.

През юли SOC отново засича търсенията на атакуващия, но не и кражбата. Атакуващият рестартира автоматизираното извличане на 22 юли с друг откраднат профил. На следващия ден SOC забелязва съмнителни търсения с този профил и го нулира на 24 юли.

SOC на DGFIP изобщо не е наблюдавал ADER. Нито една система не е свързала предупредителните знаци, като влизания през нощта и връзки от VPN, от адреси в Индия или от адреси, за които е известно, че са зловредни. Обемите данни също не са предизвикали тревога, включително обменът на 11 GB между 22 и 25 юни.

Броят заявки, направени от всеки потребител, също не е проверяван, въпреки че скрапингът изисква по една заявка на страница. Сами по себе си такива сигнали обикновено предизвикват много фалшиви аларми, но заедно те са могли да задействат предупреждение, казва ANSSI.

Собственият мониторинг на ANSSI също е пропуснал кражбата. Неговите сензори за откриване се намират само на входните и изходните точки на RIE и интернет, а агенцията няма достъп до логовете на приложенията.

Тъй като атакуващият е използвал реални профили на персонала, мрежовият мониторинг на ANSSI не е видял необичайна дейност. Въпреки това общият брой заявки е трябвало да задейства предупреждения, заявява агенцията.

На 9 юни екипът по сигурността на Министерството на образованието уведомява екипите по сигурността на всички министерства за инцидент в неговата мрежа, споделя 17 индикатора за компрометиране и ги моли да следят връзките от адресите на министерството. Атакуващият вече е използвал един от тези адреси и го прави отново в края на юни. ANSSI заявява, че времето за анализ и споделяне на такива индикатори е трябвало да бъде сведено до минимум.

На 6 август ANSSI предава на DGFIP два съмнителни адреса, намерени при търсене в минали данни от сензорите. DGFIP ги блокира и нулира пет профила, но нито една от агенциите не идентифицира кражбата, докато атакуващият не я обявява на 12 август.

Какво се промени и какво препоръчва ANSSI

Към момента на писане на доклада профилите на персонала на DGFIP са били блокирани от ADER от 13 август и от PIGP от 18 август. DGFIP не очаква да отвори отново нито един от двата портала за тях.

APEX беше заключен, а профилът на геодезиста – деактивиран на 14 август, а останалите профили на фирмата бяха деактивирани четири дни по-късно. Тези прекъсвания сериозно нарушиха някои услуги на DGFIP и партньорски организации.

Изготвен е план за действие за разширяване на мониторинга върху всички бизнес приложения на DGFIP, внедряване на съвременна автентификация и определяне на лимити за обема данни, до които може да се осъществява достъп. От ANSSI заявяват, че само по-пълен одит, който вече е планиран, ще идентифицира всички слабости, които биха могли да бъдат експлоатирани.

E-Contact, който нямаше втора стъпка при вход, ще получи такава, а инструменти за откриване на необичайни обеми преглеждани или копирани данни ще бъдат внедрени, според бележката на Сената. До датата на бележката персоналът вече не е могъл да достига до инструментите на DGFIP от личните си устройства.

Препоръките на ANSSI за DGFIP включват:

  • Прекратяване на всяка активна сесия, във всички приложения и портали, когато се нулира парола.
  • Когато се съобщи, че даден профил е компрометиран, да се проверява какво е извършвано от вероятната дата на компрометиране.
  • Използване на многофакторна автентификация (MFA) за всяко приложение, с втори фактор, който защитава профила, дори ако паролата е открадната. Еднократен код, изпратен по имейл, не е достатъчен, ако същата парола отваря пощенската кутия. Хардуерните токени или приложенията за автентификация (за предпочитане на отделно устройство) са за предпочитане.
  • Мониторинг на всяко бизнес приложение в SIEM – система, която събира логове за сигурност. Задаване на квоти за достъпните записи, направените заявки и обменените данни за даден период.
  • Да не се разрешава на лични устройства да осъществяват достъп до служебни ресурси.