美國將調查與Lapsus$相關的網絡攻擊 - 《華爾街日報》

網絡安全審查委員會由美國國土安全部監管。圖片來源：Manuel Balce Ceneta/Associated Press華盛頓——拜登政府週五表示，將調查近期與名為Lapsus$的勒索黑客組織相關的入侵事件，該組織在過去一年中攻擊了全球多家大型科技公司並侵入關鍵基礎設施系統。

美國網絡安全審查委員會由來自多個政府機構和私營部門的專家組成，將審查該組織近期的高調入侵行為。研究人員表示，這些攻擊有時包含勒索要求，但其他時候似乎是為了追求惡名。

委員會未具體説明將調查哪些入侵事件，但據相關公司透露，知名受害者包括優步科技公司、芯片製造商英偉達、微軟、在線訪問管理供應商Okta、三星電子等。

“Lapsus$瞄準了全球一些最複雜的公司，”委員會主席、負責監管委員會活動的美國國土安全部政策副部長羅伯特·西爾弗斯表示，“作為政府與行業的聯合行動，我們將就如何抵禦和應對這類網絡勒索攻擊提供建議。”

Lapsus$是一個隱藏在匿名網絡別名背後的鬆散團隊，但該組織成員留下了足夠的數字痕跡，使得其中部分人員已被執法部門和私人研究人員識別。根據安全研究人員和執法官員的説法，該組織可能包含來自巴西和英國的成員——其中數人還是青少年。安全專家表示，雖然已有部分被捕，但該組織仍被認為構成威脅。

在短暫的存在期間，Lapsus$開發出一套技術手段——儘管技術上並不複雜，卻對每年投入數百萬美元網絡安全的全球科技公司網絡造成了極具破壞性的入侵效果。該組織常通過繞過各行業普遍使用的安全工具來攻破各類網絡，暴露出相互關聯的軟件生態系統中被忽視的重大安全漏洞。

其部分黑客攻擊雖引發高度關注，但實際造成的騷擾多於破壞性入侵。以優步為例，該公司表示Lapsus$侵入內部系統後向員工發佈了包含圖形圖像等信息。

但某些入侵事件令人震驚。根據三星、英偉達和微軟三月份發佈的聲明，該組織竊取了它們的源代碼或專有信息。

該委員會由拜登政府今年初成立，不具備監管權也無權處以罰款，旨在審查影響政府、企業和關鍵基礎設施的重大國家網絡安全事件。

該網絡委員會鬆散地效仿了調查飛機墜毀和火車脱軌事故的國家運輸安全委員會的模式，發佈其調查結果的報告並提供安全建議。它在7月發佈了關於Log4J漏洞的首份報告，結論指出這款廣泛使用的日誌記錄軟件中存在一個“普遍性漏洞”，可能持續十多年成為黑客滲透計算機網絡的途徑。

在一次媒體發佈會上，西爾弗斯先生表示委員會希望迅速完成對Lapsus$犯罪集團的審查，但未提供完成報告的具體時間表。

“Lapsus$的行為者對多個關鍵基礎設施領域實施了破壞性入侵，包括醫療保健、政府設施和關鍵製造業，”網絡安全和基礎設施安全局局長詹·伊斯特利説。“受害者的廣泛性和所用策略的多樣性要求我們瞭解Lapsus$行為者是如何執行其惡意網絡活動的，以便我們能夠減輕未來潛在受害者的風險。”

聯繫作者 達斯汀·沃爾茲，郵箱：[email protected]

本文發表於2022年12月3日的印刷版，標題為《美國將調查網絡黑客組織Lapsus$》。