Password comprometida foi a porta de entrada para o ataque de ransomware à Colonial Pipeline(2)

A password da conta foi descoberta num conjunto de credenciais expostas na Dark Web, o que significa que um funcionário da Colonial Pipeline poderá ter usado a mesma palavra-passe numa outra conta anteriormente comprometida, explica Charles Carmakal, vice-presidente senior da Mandiant à Bloomberg. Porém, os investigadores não têm a certeza de como é que os hackers conseguiram obter a password em questão.

“Realizamos uma análise exaustiva para tentar determinar como é que eles conseguiram aceder às credenciais”, indica o responsável, acrescentando que a empresa de cibersegurança não encontrou quaisquer sinais de phishing no caso do funcionário cujas credenciais foram usadas, ou evidências de atividade por parte dos atacantes que seja anterior a 29 de abril.

A conta da VPN também não utilizava autenticação multifactor, permintindo aos cibercriminosos entrarem facilmente na rede interna usando apenas as credenciais comprometidas. A Colonial Pipeline acabou por pagar o resgate de 4,4 milhões de dólares exigido pelo grupo DarkSide. Além disso os cibercriminosos terão também roubado quase 100 GB de informação da empresa, ameaçando expô-la caso o resgate não fosse pago.