Amerikanska myndigheten CISA, ungefär USA:s nationella cyberförsvarsmyndighet, gick nyligen ut med cybersäkerhetsinstruktioner till företag och myndigheter med anledningen av den omfattande cybersäkerhetsattacken mot det internationella medicinteknikföretaget Stryker.

I en tid präglad av AI-baserade hot genomfördes attacken med förvånansvärt enkla och grundläggande metoder, vilket borde oroa företag. Angriparna lyckades radera över 200 000 enheter, som datorer, system, servrar och mobila enheter. Det har lett till att Stryker har fått stänga sina kontor i ett dussintal länder, kunder kan inte längre beställa produkter digitalt samt att produktion och leveranser försenats eller omöjliggjorts. Vissa anställda har också haft sina personliga datorer eller mobiler anslutna till företagssystemen, vilket har gjort att personuppgifter och filer raderats även från dem.

– Vi pratar mycket om AI och avancerade nya attacker, men denna allvarliga attack har kunnat utföras för att verksamheten brustit i grundläggande cyberhygien, säger Peter Larsson, CTO på Orange Cyberdefense. Vi möter alltför ofta denna typ av brister även hos svenska organisationer, där grundläggande cybersäkerhetsrutiner, processer och lösningar inte har implementerats.

Angriparna kunde genomföra attacken efter att ha fått tillgång till ett priviligierat konto i Microsoft Intune, som används för att managera organisationens enheter. Genom förändringar utförda via Microsoft Intune blev tusentals enheter oanvändbara. Det här visar hur kraftfulla den här typen av system är och vikten av att skydda dem.

Peter Larssons rekommendation till svenska företag, för att undvika liknande attacker, är att:

Skydda priviligierade konton

Införa rollbaserad tillgång (RBAC)

Att alltid ha nätfiskeresistent multifaktorautenticering (MFA)

Använda ”Least privilige” som en grundläggande säkerhetsprincip, vilket innebär att en användare, process eller applikation endast ska ha den exakta åtkomstbehörighet som krävs för att utföra den specifika uppgiften, varken mer eller mindre.

Konfigurera åtkomstpolicyer så att de kräver godkännande av flera administratörer i Microsoft Intune

I den här attacken nyttjades Microsoft Intune, men det är viktigt att påpeka att det finns applikationer för enhetshantering även från andra tillverkare. Attacken visar på vikten av att skydda och hantera dessa applikationer enligt tillverkarens rekommendationer och med samma grundläggande cybershygien. Den här attacken visar på hur sårbara verksamheter är när säkerheten brister och en hotaktör får åtkomst till ett system som hanterar alla enheter inom verksamheten.