Primaire cyberdoelen volgens het 2022 Verizon DBIR

Het Verizon 2022 Data Breach Investigations Report (DBIR) constateerde dat, in tegenstelling tot wat vaak wordt beweerd, 75% van de datalekken het gevolg is van externe partijen. Persoonlijk identificeerbare informatie (PII) en authenticatiegegevens zijn de meest gezochte databronnen, die vaak worden misbruikt wanneer organisaties gevoelige digitale communicatie verzenden, delen en ontvangen.

Het rapport toonde ook aan dat bij veel aanvallen privégegevens—die vaak onderhevig zijn aan nalevingsregels—het doelwit waren van kwaadwillenden. Bovendien spelen mensen een cruciale rol bij veel van de succesvolle datalekken in het rapport: De oorzaak van 82% kan worden herleid tot gestolen inloggegevens, phishing, misbruik of pure fouten.

De volgende bespreking gaat dieper in op de verbanden tussen deze elementen en gevoelige communicatie-inhoud.

Samenvatting van Data-incidenten en Datalekken in het Rapport

Het afgelopen jaar was op veel vlakken uitzonderlijk als het gaat om cyberaanvallen en stond bol van de breed uitgemeten verhalen over slachtoffers (degenen die werden aangevallen) en kwaadwillenden (degenen die de aanval uitvoerden). Organisaties in diverse sectoren—financiële sector, zorgprocessen, energie en nutsbedrijven, overheid, producenten, life sciences en andere—werden getroffen door ransomware, toeleveringsketen- en andere aanvallen. De toeleveringsketen blijft een belangrijk doelwit van cybercriminelen en malafide staten, en dat is niet zonder reden; succesvolle datalekken nemen exponentieel toe—10, 100 en zelfs 1.000 keer—wanneer kwaadwillenden toegang krijgen tot niet alleen het netwerk, applicaties en de inhoud van de gehackte organisatie, maar ook tot de partners in de toeleveringsketen stroomafwaarts.

Volgens het onderzoek van Verizon zijn inloggegevens, phishing, het uitbuiten van kwetsbaarheden en botnets de vier paden die samenhangen met incidenten en datalekken. Geen enkele organisatie kan deze vier vermijden, en elk plan voor risicobeheer cyberbeveiliging moet deze gebieden omvatten. Inloggegevens voeren de lijst aan met ongeveer 50% van alle incidenten en datalekken, gevolgd door phishing met iets minder dan 20%, kwetsbaarheden met minder dan 10% en botnets met minder dan 1%.

Wat betreft aanvalsvectoren bleef ransomware volgens Verizon in 2022 een ernstig probleem, met een stijging van bijna 13%—een even grote toename als in de afgelopen vijf jaar samen (voor een totale stijging van nu 25%). Malware is sinds het begin een vast onderdeel van de Verizon DBIRs, en 2022 was daarop geen uitzondering, met meer dan 30% van de datalekken veroorzaakt door malware.

Wat betreft soorten ransomware-aanvallen waren gestolen inloggegevens en malware de grootste zorgen. Een van de redenen waarom cybercriminelen graag ransomware gebruiken, is dat ze niet hoeven te zoeken naar specifieke datatypes of data van bijzondere waarde, maar simpelweg kritieke organisatieprocessen kunnen uitschakelen door de bijbehorende data te versleutelen. Wat betreft de soorten applicaties die door ransomware worden aangevallen: 40% betrof software voor desktopdeling en nog eens 35% betrof e-mail.

Niet verrassend, gezien het nieuws van het afgelopen jaar, vond driekwart van de externe datalekken plaats doordat aanvallers een schakel in de toeleveringsketen uitbuitten. Tegelijkertijd was 62% van de incidenten met systeemindringing verbonden aan de toeleveringsketen. Tot slot, hoewel cybercriminelen vaak gemotiveerd worden door geld, hebben statelijke dreigingsactoren meestal andere doelen; zij slaan losgeld vaak over en behouden simpelweg de toegang.

Waar Kwaadwillenden op Mikken—E-mailservers, Webapplicaties en Inhoudstypen

De twee typen data die het vaakst worden aangevallen door cybercriminelen en malafide staten zijn inloggegevens en persoonlijke data. Omdat inloggegevens kunnen worden gebruikt om zich als legitieme gebruikers voor te doen op een systeem of applicatie, zijn ze een geliefd doelwit voor kwaadwillenden. Ze bieden bovendien stealth; aanvallers blijven onopgemerkt tot ze toeslaan. Diefstal van inloggegevens kan een langdurig effect hebben, waarbij gehackte gegevens langdurig op het dark web blijven circuleren—oftewel, een “gift that keeps on giving.”

Persoonlijke data, oftewel persoonlijk identificeerbare informatie (PII), is een doelwit voor zowel externe kwaadwillenden als malafide insiders. Voor de laatste groep werd in 22% van de gevallen medische data buitgemaakt. En aangezien de zorgprocessen alle andere sectoren overtreffen als het gaat om datalekken, is deze statistiek logisch.

Tijd die Nodig is om Kwetsbaarheden en Datalekken te Ontdekken

Het DBIR onderzocht ook de gemiddelde tijdsduur die een aanval nodig had om succesvol data te misbruiken. Het was enigszins verrassend dat veel datalekken slechts enkele stappen omvatten. Phishing, downloaders en ransomware waren de meest voorkomende aanvalsmethoden, waarbij vijf of meer verschillende tactieken zelden werden ingezet. Hier lijken aanvallers te kiezen voor de tactieken die ze het beste kennen en blijven ze daarbij. Daarnaast ontdekte Verizon dat hoe meer acties een aanvaller onderneemt, hoe meer kansen een verdediger heeft om te reageren, te detecteren en een datalek te verhelpen voordat data wordt geëxfiltreerd. Tegelijkertijd merkt Verizon op dat het risico toeneemt, omdat er meer potentiële kwetsbaarheidspunten zijn. Daarom moet risicobeheer cyberbeveiliging centraal staan in de beveiligingsstrategie van elke organisatie om gevoelige informatie te beschermen en te voorkomen dat kwetsbaarheden worden misbruikt.

Webapplicaties en Mailservers

Webapplicaties zijn een belangrijk doelwit voor cyberaanvallers en zijn goed voor ongeveer 70% van de beveiligingsincidenten. Gestolen inloggegevens zijn het belangrijkste middel om toegang te krijgen (meer dan 80%). Bij aanvallen op webapplicaties stonden PII en persoonlijke gezondheidsinformatie (PHI) centraal; 69% van de datalekken betrof PII, terwijl medische data (inclusief PHI) in 15% van de gevallen werd buitgemaakt.

Daarna volgen mailservers als doelwit (ongeveer 20%). Wanneer deze worden aangevallen, werd 80% gecompromitteerd met gestolen inloggegevens en 30% met een of andere vorm van exploit. Hoewel 30% misschien niet extreem hoog lijkt, is het aantal aanvallen op mailservers via exploits sterk gestegen ten opzichte van vorig jaar, toen dit slechts 3% van de datalekken betrof.

Velen denken wellicht dat dit soort aanvallen vooral het werk is van ondernemende criminelen die het internet afspeuren naar zwakke inloggegevens. Echter, malafide staten hanteren dezelfde aanpak—het is goedkoop en levert veel op, met 20% van de datalekken die aan spionage worden toegeschreven.

Foutieve Configuraties: PII Staat Centraal

Foutieve configuraties waren verantwoordelijk voor ongeveer 10% van de datalekken—en medewerkers zijn hier de belangrijkste oorzaak. Clouddata staat bovenaan als het gaat om kwetsbaarheden. Dit is niet verrassend, aangezien cloud-inzet vaak wordt gerealiseerd zonder passende toegangscontroles. Het verkeerd afleveren van privégegevens is ook een factor, waarbij e-mails in veel gevallen bij de verkeerde ontvanger terechtkomen. Tot slot is PII van klanten het vaakst betrokken bij deze data-incidenten en datalekken.

Bepalen of een beveiligingsincident heeft geleid tot een datalek is in 90% van de gevallen lastig; dit komt doordat het moeilijk is vast te stellen waar data is gecompromitteerd. Uit de bevindingen van het DBIR blijkt dat de zorgprocessen een groot aandeel hebben in organisaties met datalekken. Het onderzoeksteam van Verizon vermoedt dat strengere nalevingsregels voor het omgaan met PHI het waarschijnlijker maken dat organisaties dergelijke incidenten rapporteren.

Belang van Governance Controls en Beveiliging bij het Beperken van Datalekken

Risicobeheer door derden is een gebied waarop organisaties extra alert moeten zijn. Een blik op de belangrijkste actierichtingen in het DBIR laat zien dat derden (partners) bovenaan staan. Het instellen van de juiste governance voor beveiliging en naleving is hier cruciaal. Gevoelige inhoud, waaronder PII, PHI, financiële gegevens en vertrouwelijke bedrijfsinformatie, moet voorzien zijn van de juiste governance-tracking en -controles.

Met dat in gedachten moeten organisaties bepalen wie toegang heeft tot informatie, wie kan samenwerken en wijzigingen kan aanbrengen, aan wie het kan worden verzonden en via welke communicatiekanalen en apparaten het wordt verstuurd. Het niet naleven hiervan kan aanzienlijke risico’s door derden creëren, met gevolgen die zich uitstrekken over de gehele toeleveringsketen. In het geval van datalekken in de toeleveringsketen kunnen secundaire slachtoffers snel toenemen—en exponentieel uitgroeien tot honderden of duizenden organisaties en honderdduizenden of miljoenen individuen.

Met het Kiteworks-platform kunnen organisaties private content networks creëren, waarbij ze centraal beveiligings- en nalevingsbeleid definiëren en beheren voor het digitaal delen, verzenden en ontvangen van privé-informatie. Governance controls kunnen bepalen wie toegang heeft tot die informatie, wie wijzigingen mag aanbrengen, aan wie het mag worden verzonden, en meer. Door gebruik te maken van een defense-in-depth beveiligingsaanpak en content-defined zero trust, hanteert Kiteworks een geharde beveiliging en sleutelversleuteling om toegang tot privé-inhoud te vergrendelen wanneer deze digitaal wordt uitgewisseld, ongeacht het gebruikte communicatiekanaal—e-mail, bestandsoverdracht, beheerde bestandsoverdracht, webformulieren of application programming interfaces (API’s).