Een solide IT-beveiliging helpt om ransomware, phishing en andere cyberdreigingen tegen te houden. Maar wat als de hackers binnenkomen via een leverancier, die zijn cybersecurity niet goed op orde heeft? - zoiets heet een cyber supply chain aanval. Hoe werkt zo’n aanval precies? En welke risico’s gaan daar mee gepaard? Marcel van Oirschot van KPN Security geeft tekst en uitleg.
Cyberaanvallen zijn supply chain zorg nummer 1. Het kan iedereen overkomen, zo ervaarde Bakker Logistiek in Zeewolde. De logistieke dienstverlener was begin april doelwit van hackers waardoor leveringen aan onder meer Albert Heijn stokten.
_w732_h620_1.jpg)
Wat is een supply chain aanval
Een ‘supply chain attack’ of ‘third party attack’ is een aanvalsmethode waarbij cybercriminelen binnenkomen via een derde partij die toegang heeft tot systemen en data van de betreffende organisatie. Dat kan bijvoorbeeld een leverancier, een reseller, een dienstverlener, een distributeur of een overgenomen bedrijf zijn. Vaak begint een supplychain-aanval bij het hacken en manipuleren van software. De aanvallers voegen bijvoorbeeld een achterdeurtje toe waarmee ze toegang krijgen tot het netwerk van organisaties die deze software gebruiken.
Voor cybercriminelen is een supply chain-aanval een zeer effectief middel om in één keer bij meerdere bedrijven binnen te komen. Ze hacken bijvoorbeeld een IT-leverancier en kunnen dan zelf in het klantenbestand een doelwit uitzoeken. Bovendien biedt dit de mogelijkheid om grote bedrijven met een goede IT-beveiliging te infiltreren. Een rechtstreekse aanval op het netwerk is dan wellicht minder kansrijk of komt sneller aan het licht.
Wat zijn voorbeelden van supply chain-aanvallen?
Een recent voorbeeld van een supply chain-aanval is de hack bij softwarebedrijf SolarWinds. Hackers braken in bij SolarWinds en wisten afluistersoftware toe te voegen aan een update voor de beheersoftware Orion. Volgens SolarWinds werd de malware geïnstalleerd bij zo’n 18.000 klanten. Via Orion konden de aanvallers ongemerkt informatie verzamelen bij verschillende Amerikaanse ministeries en securitybedrijven. Vermoedelijk zit Cozy Bear hierachter. Deze hackersgroep zou banden hebben met de Russische overheid.
Maersk zwaar getroffen
Een ander bekend voorbeeld is NotPetya. Bij deze aanval in 2017 werd schadelijke code toegevoegd aan een update voor Oekraïense boekhoudsoftware. De malware verspreidde zich via bedrijven die zakendoen in Oekraïne ook naar tientallen andere landen. NotPetya deed zich voor als ransomware, maar herstel van de versleutelde data was in de praktijk onmogelijk. De totale schade liep in de miljarden euro’s, bijvoorbeeld bij transportbedrijf Maersk en farmaceut Merck. In Nederland werden onder meer containerterminals in Rotterdam getroffen. De exacte werkwijze verschilt per aanval. Zo kwamen hackers in 2013 binnen bij de Amerikaanse retailgigant Target via de leverancier van het verwarmings- en ventilatiesysteem. Op deze manier wisten ze persoons- en creditcardgegevens van miljoenen klanten te stelen.
Wat zijn de gevolgen van een supply chain-aanval?
Dat is helemaal afhankelijk van het type aanval, de intentie van de aanvallers, de reactie van het getroffen bedrijf en de nasleep van de hack. Bij NotPetya wilden de hackers simpelweg zoveel mogelijk schade aanrichten door data te vernietigen en bedrijfsprocessen te verstoren. Bij de SolarWinds-hacks was spionage waarschijnlijk het primaire doel. De impact van deze aanval is nog niet te overzien.
Naast de directe impact kan een supply chain-aanval ook andere negatieve effecten hebben. Denk hierbij aan reputatieschade en misgelopen inkomsten. In het geval van een datalek behoort ook een boete tot de mogelijkheden als er sprake is van ernstige nalatigheid. Soms krijgt een datalek een vervelend juridisch staartje. Zo moest Target voor tientallen miljoenen schikken met banken en creditcardmaatschappijen
Hoe kan ik een supply chain-aanval voorkomen?
Kijk altijd eerst naar uw eigen IT-beveiliging en breng de basis op orde. Beperk de toegang tot data en systemen, hanteer een strikt patchbeleid om systemen up-to-date te houden, gebruik een moderne antimalware-oplossing en monitor het netwerk zodat u indringers snel detecteert. Verder is het cruciaal dat u meerdere back-ups heeft van bedrijfskritische data, zowel online als offline. Daarmee verkleint u het risico op gegevensverlies, bijvoorbeeld in het geval van een ransomwarebesmetting.
Third Party Risk Management
Helaas heeft u minder grip op de informatiebeveiliging van derde partijen waarmee u samenwerkt. Gelukkig zijn er wel manieren om deze risico’s af te dekken. Dit heet Third Party Risk Management. Uitgangspunt hierbij is dat u inzicht verkrijgt in de concrete risico’s voor uw organisatie. Met welke partijen werkt u samen? Hoe belangrijk zijn zij voor uw bedrijfsvoering? En welke securitymaatregelen hebben zij getroffen? Zo maakt u altijd een gefundeerde afweging bij het selecteren én evalueren van partners en leveranciers.
