Atak na oprogramowanie MOVEit to jeden z najbardziej dotkliwych incydentów cyberbezpieczeństwa ostatnich lat — i wzorcowy przykład ataku na łańcuch dostaw, w którym jedna luka w popularnym narzędziu pociąga za sobą tysiące ofiar. Choć zaczął się w 2023 roku, jego skutki (powiadomienia o wyciekach, pozwy zbiorowe, kolejne ujawniane ofiary) ciągnęły się przez cały 2024 rok i później. Poniżej rzetelny opis tego, co naprawdę się wydarzyło.
Czym jest MOVEit i na czym polegała luka
MOVEit Transfer to oprogramowanie do zarządzanego transferu plików (Managed File Transfer, MFT) firmy Progress Software, używane przez tysiące organizacji — instytucje rządowe, banki, placówki ochrony zdrowia i uczelnie — do przesyłania wrażliwych danych. To czyni je celem szczególnie łakomym: kto włamie się do takiego węzła, uzyskuje dostęp do danych wielu podmiotów naraz.
Napastnicy wykorzystali podatność oznaczoną jako CVE-2023-34362 — krytyczną lukę typu SQL injection (wstrzyknięcie kodu SQL) o ocenie istotności 9,8 na 10. Pozwalała ona na nieuprawniony dostęp do bazy danych stojącej za aplikacją. Do utrzymania dostępu atakujący instalowali specjalnie przygotowany webshell (nazwany LEMURLOOT, podszywający się pod legalny plik oprogramowania). Progress Software w kolejnych tygodniach łatało jeszcze dwie powiązane luki (CVE-2023-35036 i CVE-2023-35708).
Kto za tym stał
Do ataku przyznała się grupa Cl0p (znana też jako Clop) — rosyjskojęzyczne, motywowane finansowo ugrupowanie ransomware działające co najmniej od 2019 roku, specjalizujące się w wymuszeniach opartych na kradzieży danych (nie tyle szyfrowaniu plików, ile groźbie ich upublicznienia). Odpowiedzialność za kampanię MOVEit Cl0p potwierdziła publicznie na swojej stronie w sieci Tor. Przypisanie ataku potwierdziły także amerykańskie CISA i FBI.
Jak przebiegał atak
Pierwsze próby wykorzystania luki wykryto już około 27 maja 2023 roku — celowo w okolicach amerykańskiego długiego weekendu, gdy czujność zespołów bezpieczeństwa jest najmniejsza. 31 maja 2023 roku Progress Software wydało ostrzeżenie i łatę. Zanim to jednak nastąpiło, dane zaczęły masowo wypływać z setek instalacji MOVEit — nie były to normalne transfery inicjowane przez użytkowników, lecz kradzież prowadzona przez Cl0p. 6 czerwca 2023 roku grupa przyznała się do ataku i zaczęła stopniowo publikować nazwy ofiar na swojej stronie wycieków, wywierając presję na te, które odmówiły zapłaty.
Skala naruszenia
Liczby rosły przez wiele miesięcy, w miarę jak kolejne organizacje składały powiadomienia o wycieku. Według danych zbieranych przez firmę Emsisoft atak dotknął ponad 2600 organizacji i doprowadził do ujawnienia danych dziesiątek milionów osób — szacunki rosły od ok. 60 mln, przez 77 mln, aż do ponad 90 mln w późniejszych zestawieniach. Około 80% ofiar stanowiły podmioty ze Stanów Zjednoczonych, a najbardziej ucierpiały sektory: edukacja, ochrona zdrowia oraz usługi finansowe i profesjonalne.
Wśród potwierdzonych ofiar znalazły się m.in. BBC, British Airways, Boots, Aer Lingus, firma płacowa Zellis, amerykański Departament Energii, rząd kanadyjskiej Nowej Szkocji oraz liczne instytucje publiczne i przedsiębiorstwa. Skradzione dane obejmowały bardzo wrażliwe informacje — dane osobowe, finansowe, kadrowe, a w części przypadków zdrowotne.
Dlaczego to było tak groźne
Siła tego ataku brała się z jego charakteru łańcucha dostaw: jedna luka w jednym, szeroko używanym narzędziu wystarczyła, by napastnik sięgnął po dane setek niepowiązanych ze sobą organizacji. Część ofiar ucierpiała nawet nie dlatego, że sama używała MOVEit, lecz dlatego, że korzystał z niego ich dostawca usług. To pokazuje, jak bardzo bezpieczeństwo organizacji zależy dziś od bezpieczeństwa jej dostawców. Mechanizm samego wycieku danych opisujemy szerzej w tekście Anatomia wycieku danych.
Czego uczy MOVEit
- Ryzyko oprogramowania firm trzecich. Bezpieczeństwo to nie tylko Twoje systemy, ale i narzędzia dostawców. Warto wiedzieć, kto i czym przetwarza Twoje dane.
- Szybkość łatania. Tempo instalacji poprawek dla znanych, krytycznych luk bywa różnicą między incydentem a katastrofą.
- Zarządzany transfer plików jako cel. Systemy MFT skupiają wrażliwe dane wielu podmiotów, więc są łakomym kąskiem — Cl0p powtórzyła później podobny schemat wobec innych narzędzi tej klasy.
- Model wymuszenia przez kradzież danych. Współczesne grupy nie muszą szyfrować plików — wystarczy, że grożą ich upublicznieniem.
MOVEit pokazuje, że najgroźniejsze bywają nie spektakularne włamania rodem z filmu, lecz cierpliwe wykorzystanie jednej luki na masową skalę. Kto za takimi atakami stoi i jakie role pełnią różni aktorzy — tłumaczymy w przewodniku Rodzaje hakerów i role różnych „kapeluszy”. A jeśli po wycieku ktoś oferuje Ci „hakera”, który „usunie dane” albo „namierzy sprawcę”, przeczytaj najpierw Haker do wynajęcia — uważaj, zanim komuś zapłacisz.
Treść informacyjno-edukacyjna. Dane liczbowe za publicznymi zestawieniami (m.in. Emsisoft, CISA) i mogły ulec zmianie wraz z napływem kolejnych zgłoszeń.
