Laurence CadieuxNår Reddit normalt kommer på forsiderne, er det, fordi nogen et sted i verden har brugt den sociale nyhedstjeneste til at lægge noget interessant, oplysende, sjovt, vidunderligt eller bare mærkeligt op. For et par dage siden gik Reddit dog fra at formidle historien til at VÆRE historien — og ikke på en god måde.
Om angrebet
Reddit oplyste, at det den 5. februar 2023 blev ramt af et spearphishing-angreb. En hacker sendte troværdigt udseende beskeder, der ledte medarbejdere hen til et websted, som kopierede adfærden i virksomhedens intranet-gateway.
Da hackeren havde skaffet en medarbejders legitimationsoplysninger, fik vedkommende adgang til noget intern kode, dokumentation, dashboards og forretningssystemer. En efterfølgende undersøgelse viste, at de eksponerede data omfattede kontaktoplysninger på nogle af Reddits kontakter og annoncører samt data om nuværende og tidligere medarbejdere.
Virksomheden har oplyst, at Reddit-brugeres adgangskoder og konti ikke blev kompromitteret. Alligevel har de opfordret brugerne til at nulstille deres adgangskode og, hvis de ikke allerede gør det, bruge en adgangskodeadministrator (mere om det senere).
Hvad gør det her anderledes?
Spearphishing og andre angreb er så almindelige i dag, at hvis vi begyndte at skrive blogindlæg om hvert eneste, ville vi aldrig holde op med at skrive. På verdensplan bliver over 30.000 websteder hacket hver dag.
Så hvad gør det seneste Reddit-hack bemærkelsesværdigt? Det er ikke, fordi vi har vores helt eget subreddit (r/Devolutions). Det er, fordi noget — eller rettere nogen — gjorde hændelsen anderledes og værd at bemærke.
Hacket blev ikke bragt til Reddits kendskab af en løsning i virksomhedens cybersikkerhedsværktøjskasse, men af den samme medarbejder, som var blevet narret af spearphishing-angrebet. Medarbejderens hurtige beslutning spillede en afgørende rolle for at inddæmme kampagnen og begrænse skaden.
Pointen er, at omfattende træning i cybersikkerhed bør ses som nødvendig og ikke valgfri. I en kommentar til Hackread.com sagde Sam Humphries fra cybersikkerhedsfirmaet Exabeam: „Den seneste [Reddit]-hændelse er endnu en påmindelse om, at det kun kræver, at én medarbejders legitimationsoplysninger bliver stjålet, før døren til en organisations interne systemer står åben. Heldigvis meldte den ramte medarbejder i Reddits tilfælde selv hændelsen til sikkerhedsteamet, så der kunne undersøges og reageres med det samme.“
Hvad med adgangskodeadministratorer?
Som nævnt tidligere råder Reddit også sine brugere til at bruge en adgangskodeadministrator. Det er et godt og grundlæggende råd. Men der er meget mere i historien.
Vores Sales Ops Manager, Gabriel, udgav for nylig en artikel, der fremhæver, at de fleste virksomheder også har brug for administration af privilegerede sessioner (PSM) og/eller privilegeret adgangsstyring (PAM). Det skyldes, at fritstående adgangskodeadministratorer i bund og grund er værktøjer til forretningskontinuitet — og IKKE sikkerhedsløsninger — fordi de mangler funktioner som:
- Sikker indsprøjtning af legitimationsoplysninger
- Kontoopdagelse
- Automatisk adgangskoderotation
- Advarsler og notifikationer
- Proces for godkendelse af check-out-anmodninger
Det sidste ord
Der findes ingen måde at fjerne cyberangreb på. Men der findes praktiske, gennemprøvede og omkostningseffektive måder, hvorpå virksomheder kan gøre den eksponerede angrebsflade mindre og flytte paradigmet fra reaktivt til proaktivt. Omfattende træning, 2FA og adgangskodeadministrator plus PSM/PAM bør være bærende søjler i en robust og pålidelig cybersikkerhedsprofil.
Virksomheder, der kommer på forkant, bruger mindre tid på at undersøge og udbedre angreb og mere tid på det, der virkelig betyder noget: at nå forretningsmål, betjene kunder, holde standarder — og selvfølgelig kigge forbi Reddit (vi anbefaler r/MadeMeSmile, hvis dagen trænger til at blive lysere!).