Австралийският национален авиопревозвач Qantas разкри, че е станал жертва на кибератака, при която е компрометирана трета страна, използвана от компанията за обслужване на клиенти. Въпреки че основните системи на Qantas остават защитени, се предполага, че значително количество потребителски данни е било откраднато.

Според изявление на авиокомпанията, киберинцидентът е започнал с насочена атака към кол център, при която е получен неоторизиран достъп до външна клиентска платформа. Засегнатата система съдържа записи за около 6 милиона клиенти. Предварителният анализ показва, че откраднатите данни включват имена, имейл адреси, телефонни номера, дати на раждане и номера на карти за лоялност на клиентите (frequent flyer).

Qantas уверява, че пароли, ПИН кодове, потребителски имена и финансова информация не са били засегнати. След откриване на инцидента, компанията е уведомила Австралийския център по киберсигурност, Службата на австралийския комисар по защита на личните данни и Федералната полиция. Не е ясно дали в разследването участват и външни експерти по киберсигурност.

Заподозряна връзка със Scattered Spider

Макар все още да няма официално потвърждение за това, експерти подозират, че зад атаката стои хакерската група Scattered Spider (известна още като 0ktapus, UNC3944, Muddled Libra и други). Тази група е известна със своите атаки, базирани на социално инженерство, включително фишинг, SIM суапинг и злоупотреба със служби за възстановяване на достъп и техническа поддръжка.

През последните години Scattered Spider е свързана с мащабни пробиви, включително в MGM Resorts, Twilio, Coinbase, MailChimp, Riot Games, Reddit и други. В последните месеци групата изглежда е насочила вниманието си към авиационния сектор – наскоро бяха атакувани и Hawaiian Airlines и WestJet.

При пробива в WestJet е била използвана уязвимост в системата за самостоятелно възстановяване на пароли – метод, познат от тактиките на Scattered Spider.

Какво могат да направят организациите

Атаките от типа на тази срещу Qantas подчертават нуждата от цялостна видимост върху ИТ инфраструктурата, системите за управление на идентичности и критични услуги като:

• системи за възстановяване на пароли

• платформи за помощ (help desk)

• доставчици на удостоверителни услуги от трети страни

Google Threat Intelligence Group и Palo Alto Networks вече публикуваха ръководства за защита от тактиките, използвани от Scattered Spider – администраторите трябва да се запознаят с тях и да ги приложат своевременно.