56.000 ansatte sendt hjem. Alle enheder slettet midt om natten. Hackerne brugte ikke malware.
De loggede ind som admin i virksomhedens eget enhedsstyringssystem og trykkede slet alt.
Sorte skærme i 60 lande
I går morges vågnede medarbejdere hos en stor global medicinalteknik-virksomhed op til slettede telefoner, sorte skærme og login-sider med et ukendt logo. Ikke kun på hovedkontoret, men i mere end 60 lande.
Ifølge sikkerhedsanalytikere havde angriberne fået adgang til administrative konti i virksomhedens enhedsstyringssystem. Derfra udløste de fjernsletsning af computere, telefoner og tablets.
Alle endpoints på én gang.
Baggrunden er beskrevet i gennemgangen af hvorfor træning i mails ikke dækker telefonen.
Det er ikke en sårbarhed. Det er en funktion.
Virksomheden har ikke bekræftet den specifikke metode, men medarbejdere i flere lande blev bedt om at afinstallere enhedsstyringssoftwaren akut.
Virksomheden har bekræftet angrebet i en officiel filing. Internt kaldte de det “severe”. Medarbejdere i fire lande bekræfter uafhængigt, at endpoints er slettet.
Hvad der ramte serverinfrastrukturen er endnu ikke offentliggjort.
Private telefoner med
Private telefoner blev også ramt, hvis medarbejderen havde registreret dem til arbejdsbrug.
Ansatte mistede personlige billeder, beskeder og apps midt om natten, fordi telefonen var registreret i virksomhedens system.
Gengældelse, ikke afpresning
En hackergruppe med forbindelser til en stats efterretningstjeneste har taget ansvar.
Motivationen var gengældelse, ikke afpresning. Et wiper-angreb har til formål at ødelægge. Der var ingen forhandling.
150 millioner patienter årligt
Virksomheden leverer kirurgisk udstyr og implantater til 150 millioner patienter årligt i 75 lande, herunder danske hospitaler.
Virksomheden har en nordisk salgsorganisation med medarbejdere i Danmark. Et produktionsstop kan betyde, at planlagte operationer mangler udstyr.
Har I samme funktion?
Microsofts enhedsstyringssystem er inkluderet i Microsoft 365 Business Premium, standardlicensen for danske virksomheder.
Har jeres IT-leverandør sat det op, har I sandsynligvis samme funktion. Fjernsletsning er en sikkerhedsfunktion. Men i de forkerte hænder er det et våben.
Tre ting du kan gøre nu
Kræv phishing-resistent MFA på alle konti med administratorrettigheder til enhedsstyring. Hardwarenøgle, ikke SMS. En kompromitteret admin-konto giver adgang til samtlige endpoints i virksomheden.
Aktivér godkendelse fra flere administratorer ved fjernsletsning. Funktionen findes i de fleste enhedsstyringssystemer, men er sjældent slået til som standard. Det sikrer, at én kompromitteret konto ikke kan slette alt.
Overvej app-beskyttelse frem for fuld enhedsregistrering på private enheder. Det giver mindre kontrol, men sikrer at en fjernsletsning kun rammer virksomhedens data, ikke medarbejderens private fotos. For virksomhedsejede enheder er fuld styring stadig det rigtige.
Én konto. Én knap. Alt væk.
Angriberne hackede ikke sig ind. De loggede ind. Med en admin-konto, der havde rettigheder til at gøre præcis det, den gjorde.
Forskellen mellem sikkerhed og katastrofe var ikke en firewall. Det var hvem der kontrollerede admin-kontoen.
Få gennemgået jeres enhedsstyring
En teknisk sikkerhedsgennemgang kortlægger, hvem der har administratorrettigheder i jeres enhedsstyringssystem, og om de rettigheder er beskyttet tilstrækkeligt.
Et leverandøraudit afslører, om jeres IT-leverandør har sikret enhedsstyringen med phishing-resistent MFA og multi-admin godkendelse, eller om én kompromitteret konto kan slette alt.
Og en cybersikkerhedsaudit giver jer det samlede billede af jeres sikkerhedsposition, inklusiv de administrative rettigheder, ingen har gennemgået i årevis.
56.000 sendt hjem. Alle endpoints slettet. Én admin-konto. Hvem har den hos jer?
Har du brug for at få gennemgået jeres enhedsstyring? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
