Big Pharma under angreb: 68% af de øverste ledere har haft deres legitimationsbeviser lækket

I en nylig rapport med titlen 'The Path of Least Resistance' talte forskere fra BlackCloak om cyberattacks rettet mod ledere på højt niveau, der arbejder i farmaceutisk industri. Før vi kommer til de vigtigste fund, lad os se, hvorfor eksperterne valgte dette særlige navn til deres forskningsartikel.

Hvor svært er det at angribe ledere på C-niveau?

Du kunne måske tro, at det ville være meget vanskeligt at angribe en højt profileret leder i et stort firma. Du tror måske, at store organisationer ansætter cybersikkerhedseksperter, der har forudsagt alle scenarier og har truffet alle de nødvendige forholdsregler for at sikre, at virksomhedsnetværket er godt beskyttet. I nogen grad er dette sandt.

Alle store virksomheder, uanset hvilken branche de opererer i, har cybersikkerhed højt på deres prioriterede lister. Hele hold har deres arbejde udskåret og forbliver et skridt foran cybercrooks, og for det meste formår de at gøre det. Desværre er nogle ting ude af deres kontrol.

Medarbejderne selv, og dette inkluderer ledere på højt niveau, kan fortryde alt det arbejde, som sikkerhedseksperterne udfører med en enkelt fejl. Dette sker alt for ofte.

BlackCloaks eksperter ønskede at bevise, at for at komme ind i et virksomhedsnetværk af et stort farmaceutisk firma, behøver hackerne ikke nødvendigvis at slå alle de forsvarsforanstaltninger, der er oprettet af holdene, der har ansvaret for cybersikkerhed. Der er meget lettere måder, og kriminelle har udnyttet dem, deraf navnet på rapporten.

Ledernes legitimationsoplysninger kan let findes på det mørke web

Eksperterne sammensætter en liste over ledere, der arbejder for nogle af verdens største farmaceutiske virksomheder. Takket være professionelle sociale netværk som LinkedIn var dette overhovedet ikke svært, og det var også temmelig let at finde e-mail-adresser og kontaktoplysninger, som i betragtning af de stillinger disse mennesker besidder ikke burde være for overraskende.

Bevæbnet med disse oplysninger, scannede BlackCloaks forskere de mørke web-markedspladser for at se, hvor mange af de øverste ledere har fået deres personlige data brudt. Det viste sig, at 68% af e-mails er blevet udsat for en hackinghændelse i de sidste 5-10 år. Af dem var 57% kombineret med en almindelig adgangskode.

Yderligere analyse af dataene viste, at en stor del af legitimationsoplysningerne blev eksponeret under LinkedIn-dataovertrædelsen fra 2015, og det afslørede, at selv om de har bevist deres virksomhedsstyringsevner, når det kommer til adgangskodestyring, er der nogle af testpersonerne, der halter bagved ganske lidt.

Cirka 3% af de udsatte ledere har brugt navnene på de virksomheder, de arbejder for, som deres adgangskoder, og de har gjort det i et foruroligende antal år. Genbrug af adgangskode mellem personlige konti og arbejdsrelaterede konti er ifølge forskerne det største problem, og de bekymrer sig for, at det er ved at have en endnu større indflydelse.

COVID-19-pandemien og ledere på topniveau 'dårlig adgangskodeadministration

Coronavirus-pandemien har låst mange mennesker derhjemme og tvunget dem til at arbejde eksternt. Efter sandsynlighed inkluderer dette de ledere, der er inkluderet i BalckCloaks forskning, og eksperterne frygter, at dette kan være et stort problem.

Det faktum, at de har en tendens til at bruge de samme svage adgangskoder på både deres personlige og forretningskonti, kunne give angribere en chance for lettere at få adgang til målenes virksomhedsnetværk, der er vært for alle mulige vigtige virksomhedsoplysninger. Det må siges, at dette også er en mulighed på kontoret, men den potentielle tilstedeværelse af et IT-team, der kan gribe ind på kort varsel, mindsker risikoen til en vis grad.

Det er smerteligt tydeligt, at de fleste af de problemer, store virksomheder står overfor i dag, ikke er rodfæstet i opbygningen eller konfigurationen af IT-infrastrukturen. Normalt kommer problemerne fra dårligt anbefalede adgangskodeadministrationspraksis og en mangel på forståelse af grundlæggende cybersikkerhedsprincipper. Derfor er korrekt uddannelse og uddannelse for alle fra de lave medarbejdere helt til top messing værd at investere.