Кража налоговых данных во Франции: слабые пароли и семь недель незамеченной утечки

Национальное агентство кибербезопасности Франции ANSSI опубликовало отчёт о краже данных из налоговой службы страны (DGFIP). Злоумышленник воспользовался украденными паролями сотрудников и в июне и июле получил доступ к налоговым сведениям чуть более 350 тысяч физических лиц и свыше 250 тысяч компаний. Ни налоговая, ни ANSSI не заметили, как данные утекали.

Вопреки прежним заявлениям министерства, которое ссылалось на «изощрённость атаки», ANSSI констатирует обратное: взлом удался из-за слабой защиты входа, плохо разделённых сетей и провалов в наблюдении.

Как вошли

Данные брали из E-Contact — сервиса, через который налогоплательщики переписываются с DGFIP. Для граждан речь идёт о налоговом номере, контактах, семейном положении, доходе и ставке удержания, а также списке сообщений; у менее чем 250 человек могли похитить и сам текст переписки. Для бизнеса — название, регистрационный номер SIREN, адрес; содержание сообщений — у менее чем 2076 компаний. Личные кабинеты и пароли самих налогоплательщиков не пострадали.

Пароли нескольких десятков сотрудников, вероятно, украли инфостилеры с их личных, неуправляемых устройств. Порталы PIGP и ADER запрашивали только пароль, поэтому краденого хватало. До сети госведомств RIE атакующий добрался через взломанные системы министерства образования; чувствительные приложения DGFIP не были отделены от остальной сети. Использованные учётные записи не имели особых привилегий, но открывали доступ к огромному массиву данных.

Второй путь вёл к данным земельного кадастра через портал APEX. Компьютер землемера в частной фирме, по-видимому, был скомпрометирован, что позволило обойти одноразовый код. Эти данные касаются почти 435 тысяч домохозяйств.

Почему не заметили

У DGFIP была процедура на случай кражи логинов: центр мониторинга (SOC) сбрасывал пароль скомпрометированной учётной записи. Она срабатывала на отдельные действия, но не на саму кражу. 23 июня сброс пароля закрыл доступ через PIGP, но не оборвал открытую сессию в ADER — данные текли ещё почти 16 часов. За ADER SOC вообще не следил.

Ничто не связывало тревожные признаки — ночные входы, подключения через VPN и с адресов в Индии, известных вредоносных адресов. Не отслеживались ни объёмы (11 ГБ за трое суток в июне), ни число запросов, хотя скрейпинг требует запроса на каждую страницу. По отдельности такие сигналы дают ложные тревоги, но вместе могли бы поднять тревогу.

Сенсоры ANSSI стоят лишь на входах и выходах сети, доступа к логам приложений у агентства нет. Кражу раскрыли лишь 12 августа, когда сам злоумышленник объявил о ней на форуме — спустя семь недель после первого хищения.

Что изменилось

Доступ сотрудников к ADER и PIGP закрыт, возвращать его не планируют. APEX заблокирован. ANSSI рекомендует: сбрасывая пароль, обрывать все активные сессии; включить многофакторную аутентификацию на каждом приложении (код по почте не годится, если тот же пароль открывает почтовый ящик); собирать логи всех бизнес-приложений в SIEM с квотами на объём данных; запретить доступ к рабочим ресурсам с личных устройств.

Источник: The Hacker News