Travelex и сбой из-за программы-вымогателя, обнаживший зависимость от аутсорсинга валютных услуг

Резюме

• Подтверждённый публичный факт:атака программы-вымогателя, начавшаяся примерно 31 декабря 2019 года, вынудила Travelex отключить системы и нарушила валютные сервисы в январе 2020 года. В публичных сообщениях фигурировали заявления Sodinokibi/REvil, требование выкупа и предполагаемая кража данных, при этом Travelex, по сообщениям, заявлял, что у него нет доказательств компрометации данных клиентов. Более позднее объявление Travelex о реструктуризации и материалы администратора PwC показывают, что в 2020 году компания вошла в масштабную реструктуризацию долга и административную процедуру после жёсткого торгового давления. (материал The Guardian от января 2020 года,материал The Guardian о бумажных счетах,объявление Travelex о реструктуризации,страница администратора PwC)
• Проблема зависимости:Travelex был не просто розничным обменным пунктом. Он предоставлял услуги дорожных денег для банков-партнёров и розничных брендов, поэтому его сбой затронул и клиентов, которые считали, что взаимодействуют со своим банком или супермаркетом. Коммуникация с партнёрами, обработка возвратов, обходная работа отделений и экономика контактов с клиентами стали частью инцидента. (материал BBC от января 2020 года,материал The Guardian о возобновлении сервисов)
• Граница проблемы исправлений:публичные сообщения и более поздние комментарии экспертов по безопасности связывали атаку с эксплуатацией неисправленной уязвимости Pulse Secure VPN — CVE-2019-11510. CISA ещё в январе 2020 года предупреждала, что неисправленные серверы Pulse Secure VPN эксплуатируются, а в сообщениях СМИ описывалось применение против таких систем программы-вымогателя REvil/Sodinokibi. Это поднимает вопрос об ответственности за управление уязвимостями, но в открытом доступе по-прежнему нет опубликованного Travelex форензического отчёта, доказывающего каждый шаг первоначального доступа. (консультация CISA по Pulse Secure,запись CVE-2019-11510)
• Оценка:преступники контролировали вымогательство. Travelex контролировал управление экспозицией, восстановление, запасные варианты для партнёров и прямую коммуникацию. Банки и розничные партнёры контролировали обещания клиентам и возвраты. Кредиторы и администраторы контролировали последующий путь реструктуризации. Путешественники, сотрудники отделений и более мелкие контрагенты принимали на себя значительную часть неопределённости, пока финансовая реструктуризация не сделала провал непрерывности видимым в корпоративной форме.

Валютный сервис кажется мелочью, пока не останавливается

Валютно-обменная услуга может выглядеть как удобный довесок: сайт дорожных денег, киоск, стойка в аэропорту, предоплаченная карта, страница заказа под брендом банка, пункт выдачи в супермаркете. Этот образ занижает масштаб зависимости. Travelex стоял за многими видимыми клиентскими интерфейсами. Когда его системы отключили, клиенты переживали сбой не как чисто проблему Travelex. Некоторые воспринимали его как проблему банка, супермаркета, возврата, отделения, поездки или наличных в начале путешествия.

Именно поэтому инцидент с программой-вымогателем 2020 года входит в серию материалов о рисках и ответственности. Вопрос не только в том, было ли у Travelex вредоносное ПО в сети. Вопрос в том, сколько организаций построили свои обещания о дорожных деньгах на допущении, что системы специализированного провайдера будут доступны, исправлены, восстановимы и готовы к коммуникации во время кризиса.

Инцидент начался на границе календаря. В канун Нового года, 31 декабря 2019-го, Travelex отключил системы после кибератаки. В начале января сайты и онлайн-сервисы компании оставались недоступны, а публичные сообщения описывали сбои в отделениях и у партнёров. The Guardian сообщал, что злоумышленники, называвшие себя группой программы-вымогателя Sodinokibi, требовали выплаты и грозились опубликовать данные, которые, по их словам, похитили. Travelex, по сообщениям, заявлял, что на тот момент у него не было доказательств компрометации персональных данных или данных клиентов. (материал The Guardian от 7 января)

Операционный эффект был прямым. По сообщениям, в некоторых местах сотрудники выписывали бумажные счета-фактуры, пока сайты оставались недоступны. Клиенты банков и розничных партнёров сталкивались с недоступностью валютных сервисов. Партнёрским брендам приходилось объяснять сбой, который они не вызывали напрямую, но который был выставлен перед их собственными клиентами. (материал The Guardian о бумажных счетах,материал BBC)

Для путешественника сбой заказа валюты в абстракции не экзистенциален. Но в конкретный момент он может быть дорогим и стрессовым. Клиенту могут понадобиться наличные для направления, где карты принимают неравномерно, предоплаченная карта для ребёнка, возврат перед вылетом или подтверждение заказа, оформленного через банк. Для сотрудников сбой означал ухудшенные инструменты, ручные процессы, обеспокоенных клиентов и неясные инструкции. Для банков-партнёров и ритейлеров — нагрузку на колл-центры, репутационные риски и обходные процедуры.

Для кредиторов Travelex это стало ещё одним давлением на бизнес, который уже нёс долги, а затем столкнулся с обвалом поездок из-за COVID-19.

Хронология смешала реагирование на инцидент с публичным давлением

Публичная хронология зашумлена, потому что многие официальные обновления Travelex об инциденте за январь 2020 года сейчас сложно рассматривать как единый авторитетный архив. Наиболее устойчивая запись сочетает современные сообщения авторитетных СМИ, публичное предупреждение CISA об уязвимости, августовское объявление Travelex о реструктуризации и материалы администратора PwC.

7 января 2020 года The Guardian сообщил, что Travelex подвергся атаке программы-вымогателя, его сайты были недоступны, злоумышленники заявили о копировании данных, а компания сказала, что у неё нет доказательств компрометации персональных данных или данных клиентов. BBC в тот же день сообщил о требовании выкупа и нарушении сервисов, назвав инцидент проблемой, затрагивающей Travelex и его партнёров. (материал The Guardian от 7 января,материал BBC)

8 января The Guardian описал сотрудников, использующих бумажные счета-фактуры, пока сайты оставались офлайн, и назвал затронутые банковские и розничные каналы. Этот материал важен, потому что показывает деградацию запасного режима на практике. Ручной обходной процесс может поддерживать часть транзакций, но он также меняет уровень ошибок, сверку, контроль мошенничества, время ожидания клиентов и нагрузку на сотрудников. (материал The Guardian о бумажных счетах)

13 января The Guardian сообщил, что часть сервисов Travelex начала возобновляться после атаки программы-вымогателя, включая отдельные элементы обслуживания в магазинах, хотя не все системы вернулись в норму. Эта дата важна, потому что показывает: восстановление не было однократным нажатием рубильника. Сервисы могли возобновляться неравномерно: один канал восстановлен, другой ожидает, один партнёр переподключён, другой сам управляет уведомлениями своих клиентов. (материал The Guardian о возобновлении сервисов)

10 января CISA выпустила консультацию о продолжающейся эксплуатации уязвимости Pulse Secure VPN CVE-2019-11510. В консультации предупреждалось, что организациям следует немедленно исправить затронутые системы, и отмечались сообщения СМИ о том, что киберпреступники нацеливаются на неисправленные серверы Pulse Secure VPN для установки программы-вымогателя REvil/Sodinokibi. (консультация CISA по Pulse Secure) Эта консультация не является форензическим отчётом Travelex. Но она центральна, поскольку помещает публично обсуждавшуюся уязвимость в то же временное окно и ту же экосистему программ-вымогателей.

К августу 2020 года инцидент стал частью более широкой записи о финансовой реструктуризации. Travelex Financing Plc объявила о завершении реструктуризации долга, заявив, что задолженность будет снижена с более чем 385 млн фунтов до 160 млн фунтов и что новая группа получит 84 млн фунтов новой ликвидности. В объявлении подчёркивался обвал поездок из-за COVID-19, но оно появилось после года, в котором кибератака уже ослабила доступность услуг и доверие. (объявление Travelex о реструктуризации)

На странице администратора PwC зафиксировано, что Travelex Banknotes Limited вошла в административную процедуру 21 июля 2020 года, а несколько других компаний Travelex — 6 августа 2020 года в рамках реструктуризации. Там же зафиксировано последующее управление этими компаниями в интересах кредиторов и процесс после завершения администрации. (страница администратора PwC,PDF-объявление PwC о начале процедуры)

Таким образом, в хронологии два слоя. Первый — реагирование на инцидент: системы офлайн, ручные обходные процедуры, сбои у партнёров, предполагаемое давление выкупа и поэтапное восстановление. Второй — финансовая непрерывность: сильно нарушенный бизнес дорожных денег, входящий в реструктуризацию и административную процедуру в том же году. Было бы небрежно утверждать, что реструктуризацию вызвала только программа-вымогателя: обвал поездок из-за COVID-19 был огромным независимым шоком. Но было бы столь же небрежно вычеркнуть инцидент с программой-вымогателем из записи о непрерывности бизнеса.

Аутсорсинг сделал партнёрские бренды частью сбоя

Сбой Travelex стал уроком зависимости от белых меток. Клиент может заказать дорожные деньги на сайте банка или супермаркета и воспринимать этот бренд как ответственного поставщика услуги. За кулисами специализированный валютный провайдер может обеспечивать ценообразование, обработку заказов, исполнение, инвентаризацию, расчёты и процессы отделений или доставки. Когда специализированный провайдер выходит из строя, видимый бренд всё равно отвечает за доверие клиента.

Материалы The Guardian и BBC выявили сбои для клиентов нескольких партнёрских каналов. Детали различались в зависимости от партнёра, но картина была единообразной: клиенты, у которых не было прямых отношений безопасности с Travelex, пострадали от того, что системы Travelex были офлайн. (материал BBC,материал The Guardian о бумажных счетах)

Это сделало сбой практической проверкой операционной устойчивости на аутсорсинге. Банки и финансовые компании могут передать функцию на аутсорсинг, но они не передают ответственность перед клиентом. Современные британские финансовые правила позже сделали этот момент явным через требования к операционной устойчивости, которые обязывают фирмы определять важные бизнес-сервисы, устанавливать допустимые пределы воздействия и управлять зависимостями от третьих сторон.

Материалы FCA об операционной устойчивости — это не ретроспективный вывод о Travelex или его партнёрах, но они фиксируют урок: фирма, работающая с клиентом, должна понимать, может ли аутсорсинговый сервис выйти из строя в допустимых пределах.

(операционная устойчивость FCA,FCA PS21/3)

Инцидент Travelex также вскрыл слабость партнёрских страниц статуса и скриптов обслуживания клиентов, когда реальная проблема находится у провайдера. Банк может сказать клиентам, что заказы дорожных денег недоступны, но может не знать, вернутся ли системы провайдера через часы, дни или недели. Сотрудник поддержки может предложить возвраты или альтернативы, но может не иметь доступа к деталям транзакций, если платформа провайдера лежит. Партнёр может быть прозрачным в отношении симптомов, не имея возможности доказать причину или сроки восстановления.

Эту зависимость следовало смоделировать до инцидента. Партнёрские контракты могли бы требовать доказательств управления уязвимостями, протестированного реагирования на инциденты, максимальных сроков простоя, ручных процедур исполнения, уведомлений о защите данных, сроков коммуникации об утечках и полномочий на возвраты. Некоторые контракты могли это предусматривать, но публичная запись не показывает партнёрских оценочных карт непрерывности. Видимым результатом стала сеть брендов, объясняющих сбой, вызванный провайдером.

Вопрос об исправлениях подтверждён доказательствами, но остаётся ограниченным

Наиболее повторяемое техническое утверждение об инциденте Travelex состоит в том, что злоумышленники воспользовались неисправленной уязвимостью Pulse Secure VPN — CVE-2019-11510. Запись CVE описывает серьёзный дефект Pulse Connect Secure. Консультация CISA от января 2020 года предупреждала, что неисправленные серверы Pulse Secure VPN эксплуатируются и что в сообщениях СМИ описывается развёртывание REvil/Sodinokibi против таких систем. (запись CVE-2019-11510,консультация CISA по Pulse Secure)

Эти публичные доказательства поддерживают вопрос об ответственности за управление уязвимостями. Сами по себе они не заменяют опубликованный Travelex посмертный разбор. Ответственный отчёт должен говорить, что публичные сообщения и комментарии экспертов по безопасности связывали атаку с неисправленной уязвимостью VPN и что CISA предупреждала о том же классе эксплуатации в тот же период. Он не должен утверждать, что известны каждые учётные данные, хост, путь бокового перемещения или решение о восстановлении, если этого не говорит первичная форензическая запись.

Вопрос об исправлениях всё же критичен. Уязвимость периметрового устройства — не мелкий сбой хозяйственной деятельности, когда устройство выступает посредником удалённого доступа в корпоративные системы. Если исправление или компенсирующая мера доступны и о них широко предупреждали, компания обязана контролировать инвентаризацию активов, сканирование экспозиции, экстренное согласование изменений, компенсирующие меры, сброс учётных данных и форензическую проверку. Она также должна знать, какие сторонние системы и управляемые сервисы зависят от уязвимого продукта.

Публичный урок меньше про «патчить быстрее» и больше про «быстрее доказывать экспозицию». У уязвимого устройства удалённого доступа в валютном провайдере — не просто ИТ-актив. Оно может стать шарниром между интернет-экспозицией и транзакционными системами, партнёрскими сервисами, файловыми ресурсами, хранилищами идентичности, данными клиентов и задержками восстановления. Ответственный контроль — это весь цикл управления уязвимостями: знать, что актив существует, знать, что он экспонирован, применить исправление, проверить исправление, просмотреть логи на предмет компрометации, ротировать учётные данные и сообщить о риске партнёрам.

Руководства NCSC и CISA по программам-вымогателям делают тот же вывод в более общих терминах. Хорошая подготовка к атакам программ-вымогателей включает исправления, контроль доступа, резервные копии, протестированное восстановление, планирование реагирования, сегментацию сети, логирование и коммуникацию. (руководство NCSC по программам-вымогателям,руководство CISA StopRansomware,руководство FBI по программам-вымогателям) Эти меры не декоративны. Они определяют, станет ли эксплуатация сдерживаемым событием, бизнес-сбоем или каскадным отказом сервиса.

Ручной обходной режим работал, но лишь частично

Образом, который сохранился от инцидента Travelex, была не записка с требованием выкупа, а бумага. Сообщения о том, что сотрудники выписывают бумажные счета-фактуры, показали: компания сохранила некоторую способность работать в деградированном режиме. Это лучше полной остановки. Но это также доказательство того, что цифровые системы были настолько центральны, что деградированный режим стал видим клиентам. (материал The Guardian о бумажных счетах)

Ручной обходной режим часто понимают неправильно. Бумажная форма может сохранить транзакцию, но не может полностью воспроизвести современную валютную платформу. Она может не подключаться к живым курсам, санкционному скринингу, инвентаризации, расчётам, статусу заказа, проверке личности клиента, обработке карт, возвратам, сверке отделений, мониторингу мошенничества, партнёрской отчётности или финансовым системам. Она также может создать отложенную работу, которую позже придётся вводить заново, порождая риск ошибок и усталость сотрудников.

Для Travelex обходной режим также зависел от канала. Стойка в аэропорту могла продавать наличные вручную. Страница онлайн-заказа под брендом банка — возможно, нет. Партнёрский колл-центр мог оформить возврат, но не выполнить заказ. Процесс предоплаченной карты или денежного перевода мог требовать конкретных цифровых сервисов. Отделение обменного пункта могло продолжать работу только по ограниченному набору продуктов. Восстановление поэтому происходило по каналам, а не в едином корпоративном состоянии.

Правильный вопрос об ответственности — был ли обходной режим спроектирован под реальную цепочку зависимостей. Был ли у банков-партнёров протестированный сценарий? Знали ли сотрудники Travelex, когда использовать бумажные формы и как их сверять? Были ли адаптированы антифрод-контроли? Говорили ли клиентам, какие продукты доступны, а какие нет? Были ли возвраты делегированы видимому партнёру или остались за Travelex? Получали ли мелкие турагентства, стойки в аэропортах и местные партнёры такую же ясность, как крупные банки?

Публичные сообщения не дают полных ответов. Они показывают, что ручная работа велась и что сервисы возобновлялись поэтапно. Они не показывают протестированного плана непрерывности бизнеса, данных об очередях клиентов, объёмов возвратов, претензий партнёров, ошибок сверки или сверхурочной работы сотрудников. Это отсутствие — повторяющийся паттерн сбоев аутсорсинговых сервисов: публика видит сбой и перезапуск, но не цену работы в промежутке.

Разные продукты создавали разный ущерб

Фраза «дорожные деньги» скрывает несколько продуктов с разными режимами отказа. Наличные, заказанные к выдаче в отделении, — не то же самое, что наличные с доставкой на дом. Предоплаченная карта дорожных денег — не то же самое, что обмен на стойке обменного пункта. Оптовый заказ банкнот для корпоративных клиентов — не то же самое, что возврат потребителю. Онлайн-заказ под брендом партнёра — не то же самое, что транзакция в отделении Travelex.

Устойчивый провайдер должен знать, какие из этих продуктов могут работать вручную, какие можно безопасно приостановить, какие требуют живых расчётов, а какие создают наибольший ущерб для клиента, если откажут вблизи даты поездки.

Наличные создают ущерб во времени. Путешественник, возможно, сможет вместо этого воспользоваться картой, но не всегда. Некоторым нужны наличные, потому что они едут в места, где приём карт неопределён, потому что им нужны мелкие купюры сразу по прибытии, потому что они путешествуют с иждивенцами или потому что не доверяют комиссиям зарубежных банкоматов. Если заранее заказанный сбор наличных срывается за день до вылета, один только возврат не восстанавливает обещание сервиса. Клиенту, возможно, придётся искать другого провайдера, платить по худшему курсу, ехать в другое отделение или уезжать без желаемого запаса.

Карты и онлайн-заказы создают другой ущерб. Предоплаченная дорожная карта может включать доступ к счёту, пополнение, балансы, PIN-коды, мобильные приложения, перевыпуск карты и аутентификацию клиента. Сбой сайта может помешать клиенту проверить статус или завершить заказ, даже если физические наличные существуют. Банку-партнёру, возможно, придётся отвечать на вопросы о заказе, который он не видит. Если системы провайдера офлайн, видимый партнёр может превратиться в маршрутизатор жалоб без достаточных фактов для решения проблемы.

Оптовые и корпоративные клиенты создают ещё один слой. Банки, туристические компании, аэропорты и розничные партнёры могут зависеть от расчётных файлов, прогнозов инвентаризации, распределения по отделениям и отчётов о сверке. Если они задерживаются, инцидент становится проблемой финансов и операций, а не просто розничным неудобством. У более мелких партнёров может быть меньше рычагов, чтобы требовать немедленных индивидуальных обновлений, но они всё равно сталкиваются с клиентами через стойку.

Эти различия важны для ответственности, потому что «сервисы возобновились» — слишком широкий показатель восстановления. Одна продуктовая линия может вернуться, пока другая остаётся нарушенной. Один партнёр может восстановить заказы, пока другой ждёт сертификации или разбора отложенной работы. Один канал может принимать новые транзакции, пока возвраты остаются медленными. Хороший отчёт о непрерывности разделил бы эти состояния и объяснил, какие клиенты оставались под риском после первого публичного заголовка о восстановлении.

Запасные механизмы партнёров были проблемой управленческого проектирования

Запасные механизмы партнёров должны проектироваться до сбоя, потому что самые трудные решения принимаются при недостатке информации. Банк, полагающийся на валютного провайдера, должен заранее знать, что произойдёт, если платформа провайдера будет офлайн день, три дня или две недели. План должен определять, приостановит ли банк новые заказы, воспользуется ли альтернативным провайдером, вернёт ли деньги автоматически, направит ли клиентов в отделения, сохранит ли действующие курсы, сообщит ли о неопределённости риска данных или эскалирует уязвимых клиентов, которые вот-вот поедут.

Инцидент Travelex показал, почему это нельзя оставлять на общий кризисный язык. Банк-партнёр может не контролировать реакцию провайдера на программу-вымогателя, но он контролирует собственный сайт, уведомления в приложении, скрипты отделений, рекомендации колл-центра и полномочия на возвраты. Он также контролирует, сколько раскрывает о зависимости от провайдера. Если клиент вошёл через сервис под брендом банка, клиент может обоснованно ожидать, что банк владеет решением, даже когда технический сбой находится у Travelex.

Для Travelex запасные механизмы партнёров требовали другой дисциплины. Компании нужен был способ предоставлять крупным партнёрам последовательные обновления статуса, формулировки о риске данных, оценки восстановления по каналам, доступность продуктов и правила ручной обработки. Ей также нужно было избегать обещаний одному партнёру, которые нельзя выполнить в отношении других. В сети белых меток неравная информация становится собственным риском, потому что клиенты сравнивают уведомления и делают выводы либо о сокрытии, либо о путанице.

Именно здесь могут быть ущемлены более мелкие контрагенты. Крупные банки и ритейлеры могут иметь прямые линии эскалации, юридические команды и согласованные условия обслуживания. Мелкие точки, турагентства или региональные партнёры могут полагаться на общие обновления или местные контакты. Если внимание провайдера концентрируется на крупнейших контрагентах, малые бизнесы могут нести непропорциональную долю неопределённости, гнева клиентов и работы по сверке.

Рамки операционной устойчивости позже формализовали большую часть этого мышления, но практический урок был виден уже в январе 2020 года. Передача видимой клиентской услуги на аутсорсинг требует общего сценария сбоя, общих правил возврата, общих порогов уведомления о данных, общих триггеров эскалации и протестированных ручных процедур. Иначе первые дни инцидента с программой-вымогателем становятся живым экспериментом о том, кто владеет клиентом.

Качество доказательств зависит от называния неопределённости

Запись о Travelex полезна именно потому, что она несовершенна. Она сочетает пресс-сообщения, предупреждения об уязвимостях, более поздние документы о несостоятельности и объявления о реструктуризации, а не единый публичный форензический отчёт. Поэтому материал должен рассматривать доказательства послойно. Сбой сервиса и ручной обходной режим сильно подтверждены современными сообщениями. Административная процедура и реструктуризация подтверждены записями Travelex и PwC.

Теория об уязвимости подтверждена публичными сообщениями и общей консультацией CISA об эксплуатации серверов Pulse Secure VPN, но не опубликованным Travelex описанием цепочки атаки.

Этот послойный стандарт доказательств защищает клиентов и читателей от двух противоположных ошибок. Одна ошибка — принимать заявления злоумышленников за факты, потому что они были драматичны и конкретны. Другая — полностью игнорировать заявления злоумышленников, потому что они исходят от преступников. Ответственная середина — сказать, что преступники заявляли о краже данных и требовали денег, что Travelex, по сообщениям, говорил об отсутствии доказательств компрометации данных клиентов и что публика не получила достаточно форензических доказательств, чтобы превратить любое из этих утверждений в полный окончательный отчёт.

Тот же стандарт применяется к восстановлению. Сообщения о том, что сервисы начали возобновляться, не доказывают полного операционного восстановления. Отделение может быть открыто, пока онлайн-заказы остаются нарушенными. Партнёр может принимать новые заказы, пока возвраты медленные. Система может быть восстановлена, пока ручные счета-фактуры ждут сверки. Для аутсорсинговых сервисов публика должна требовать доказательств восстановления по продуктам, каналам и партнёрам, а не просто заявления, что компания снова онлайн.

Злоумышленники эксплуатировали и внимание, и системы

Экономика контактов при злоупотреблениях в инциденте Travelex была необычно видимой. Злоумышленники не просто зашифровали системы. Они использовали публичное давление. По сообщениям, они связывались с журналистами, заявляли о краже данных, называли сумму выкупа и грозили раскрытием. Это превратило инцидент из приватной проблемы восстановления в публичную среду переговоров. (материал The Guardian от 7 января,материал CyberScoop)

Эта тактика меняет экономику контактов с клиентами. Каждое публичное заявление злоумышленников может увеличить звонки в банки, письма в Travelex, вопросы регуляторов, запросы СМИ, тревогу сотрудников, эскалации партнёров и требования возвратов от клиентов. Даже если злоумышленники преувеличивают, компания обязана отвечать. Если компания отвечает слишком мало, доверие размывается. Если отвечает слишком много до завершения форензики, ей позже, возможно, придётся исправлять запись. Преступники эксплуатируют эту неопределённость.

Программа-вымогатель с двойным вымогательством зависит от такого давления. Заявления о краже данных создают риск приватности и репутации ещё до проверки данных. Клиенты слышат, что злоумышленники заявляют о наличии данных, и хотят немедленного заверения. Партнёры хотят знать, должны ли они уведомлять собственных клиентов. Регуляторы хотят знать, достигнуты ли законодательные пороги уведомления. Сотрудники хотят знать, затрагиваются ли их записи. Злоумышленники выигрывают от того, что заставляют все эти каналы контакта становиться дорогими.

Travelex, по сообщениям, заявлял, что у него нет доказательств компрометации данных клиентов. Это было важное заверение, но не то же самое, что публикация независимого форензического отчёта. Ответственный стандарт — различать «доказательств на тот момент не было» и «доказано отсутствие утечки данных». Первое может быть правдой и ответственно заявлено в ходе расследования. Второе требует доказательств, которые публика не получила в полном объёме.

Именно здесь у клиентоориентированных партнёров была своя ответственность. Банк или супермаркет не мог просто повторять неопределённость провайдера, не решив, что делать для собственных клиентов. Ему приходилось выбирать: приостановить заказы, предложить возвраты, направить клиентов в отделения, использовать альтернативных провайдеров, предупреждать о фишинге или давать обновления статуса. Партнёр не отвечал за вторжение программы-вымогателя, но он контролировал слой контакта с клиентами, который определял, насколько дорогим и запутанным инцидент стал для обычных пользователей.

Финансовая реструктуризация сделала проблему непрерывности видимой

В августе 2020 года Travelex объявила о завершении реструктуризации долга, которая снизила финансовую задолженность и предоставила новой группе дополнительную ликвидность. В объявлении говорилось, что New Travelex будет значительно менее закредитован и продолжит партнёрство с существующими банками-партнёрами. Там также описывалась продажа ряда британских компаний в рамках административной процедуры pre-pack и смена руководства. (объявление Travelex о реструктуризации)

Страница администратора PwC подтверждает назначения администраторов и контекст реструктуризации. Она также показывает длинный хвост административных материалов для кредиторов: уведомления, отчёты о прогрессе, требования кредиторов и изменения наименований компаний. (страница администратора PwC)

Реструктуризацию не следует сводить к утверждению о киберпричинности. COVID-19 опустошил международные поездки в 2020 году, а выручка дорожных денег зависит от поездок. Долговая структура и пандемийные условия были главными драйверами. В объявлении Travelex подчёркивались COVID-19 и необходимость устойчивой структуры капитала. Инцидент с программой-вымогателем следует понимать скорее как более ранний операционный шок, который истощил доверие, сжёг наличные, нарушил работу партнёров и показал, что у бизнеса меньше устойчивости, чем требовала его сервисная роль.

Это различие важно, потому что ответственность можно преувеличить после корпоративного провала. Если компания входит в административную процедуру спустя месяцы после киберинцидента, возникает соблазн сказать, что киберинцидент вызвал администрацию. Доказательства не поддерживают такую простую линию. Лучший вывод — что программа-вымогатель обнажила и усугубила слабость непрерывности внутри закредитованного, зависимого от поездок бизнеса, который затем столкнулся с пандемическим обвалом спроса.

Для сотрудников и кредиторов различие может казаться академическим. Они пережили неуверенность в занятости, переводы компаний, процессы требований и бизнес-неопределённость. Материалы PwC показывают формальный административный механизм, который последовал. Для анализа рисков урок резче: цифровая устойчивость и финансовая устойчивость связаны. Компания может восстановить системы, но всё ещё не иметь ликвидности, доверия и операционного запаса, необходимых для восстановления своей рыночной позиции.

Что должны были вынести регуляторы и партнёры

Travelex предшествовала самой сильной фазе внедрения британских требований операционной устойчивости, но событие читается как практический кейс для этих правил. Важным бизнес-сервисом был не «обмен валюты» в расплывчатом смысле. Это была способность клиентов нескольких видимых брендов заказывать, получать, возвращать и управлять дорожными деньгами в приемлемое время. Зависимость от третьей стороны не была скрыта от специалистов, но была скрыта от многих клиентов.

Рамка операционной устойчивости FCA требует от фирм определять важные бизнес-сервисы, устанавливать допустимые пределы воздействия и тестировать способность оставаться в этих пределах при серьёзных, но правдоподобных нарушениях. (операционная устойчивость FCA) Для банков, использующих Travelex, тест должен включать программу-вымогателя провайдера, неопределённость данных провайдера, сбой сайта провайдера, ручную обработку возвратов, коммуникации под брендом партнёра и запасных поставщиков. Для Travelex тест должен включать отказ контроля удалённого доступа, потерю транзакционных систем, заявления о вымогательстве данных, нагрузку на контакты партнёров и поэтапное восстановление.

Рамка кибербезопасности NIST даёт межсекторальную структуру для того же урока. Управление, идентификация, защита, обнаружение, реагирование и восстановление — все они появляются в истории Travelex. Управление спрашивает, понимали ли совет директоров и руководство экспозицию и аутсорсинговую зависимость. Идентификация спрашивает, были ли инвентаризованы активы, доступные из интернета, и партнёрские сервисы. Защита спрашивает, были ли на месте исправления, MFA и сегментация. Обнаружение спрашивает, была ли эксплуатация найдена до программы-вымогателя. Реагирование спрашивает, получали ли клиенты и партнёры ясные обновления.

Восстановление спрашивает, вернулись ли сервисы без неприемлемого ручного отставания или неопределённости данных. (рамка кибербезопасности NIST)

Bank of England, PRA и FCA позже подчеркнули операционную устойчивость в финансовом секторе, включая риск третьих сторон и важные бизнес-сервисы. (операционная устойчивость Bank of England,FCA PS21/3) Travelex показывает, почему этот язык важен за пределами базового банкинга. Специализированный провайдер может заставить, казалось бы, периферийный сервис отказать сразу у многих клиентоориентированных брендов.

Для МСП и более мелких контрагентов урок труднее. Крупные банки могут договариваться о детальных условиях непрерывности. Мелкие турагентства, местные партнёры или операторы отделений могут принимать стандартные условия и нести практические нарушения. Программа управления рисками, защищающая только крупнейшего партнёра, оставляет мелких пользователей со слабой переговорной силой и плохой видимостью. Поэтому доказательства непрерывности сервиса должны быть достаточно публичными, чтобы поддерживать всех затронутых контрагентов, а не только крупнейших клиентов на конфиденциальных брифингах.

Что остаётся неизвестным

Публичная запись оставляет крупные пробелы. Travelex не опубликовал полный форензический отчёт, устанавливающий путь первоначального доступа, хронологию, время пребывания злоумышленников, затронутые активы, объём шифрования, вывод о доступе к данным, историю переговоров о выкупе или последовательность восстановления. Публичные сообщения связывали инцидент с Sodinokibi/REvil и уязвимостью Pulse Secure VPN, но публичные первичные доказательства не дают полной цепочки атаки от интернет-экспозиции до корпоративного сбоя.

Запись о данных также неполна. Злоумышленники, по сообщениям, заявляли о копировании данных. Travelex, по сообщениям, говорил, что у него нет доказательств компрометации данных клиентов. Публичная запись не содержит окончательной независимой инвентаризации данных, числа оценённых лиц, категорий проверенных данных, форензического метода или решений об уведомлении. Это не значит, что данные точно украдены. Это значит, что публика не может независимо проверить заверение.

Запись о непрерывности тоже неполна. У нас нет по партнёрам хронологии сбоя, суммы возвратов, числа жалоб клиентов, числа ручных транзакций, уровня ошибок сверки, оценок сверхурочных часов сотрудников, карты сервисов по отделениям или плана альтернативных провайдеров. Мы не знаем, у каких партнёров были протестированные запасные варианты, а какие импровизировали. Мы не знаем, скольких клиентов обслужили вручную или сколько заказов было отменено.

Финансовая запись яснее, но всё же ограничена. Августовское объявление Travelex о реструктуризации и материалы PwC показывают путь реструктуризации и администрации. Они не выделяют стоимость программы-вымогателя отдельно от пандемического обвала выручки, долговой нагрузки, переговоров с кредиторами и управленческих решений. Любой материал, приписывающий администрацию только программе-вымогателю, преувеличивает. Любой материал, трактующий программу-вымогателя как незначительность, недочитывает запись о непрерывности.

Ответственность следует за обещанием сервиса

Инцидент Travelex легко рассказывать как сбой исправления, и исправление центрально. Если публичное повествование об уязвимости верно, то известный дефект удалённого доступа стал маршрутом к провайдеру, чьи системы поддерживали многие видимые клиентские сервисы. Но ответственность не остановилась на исправлении. Она распространялась на инвентаризацию активов, экстренный контроль изменений, сегментацию, сброс учётных данных, восстановление из резервных копий, ручной обходной режим, уведомление партнёров, поддержку клиентов, контроль мошенничества, полномочия на возвраты и финансовую устойчивость на уровне совета директоров.

Преступники контролировали вымогательство и злоупотребления. Они использовали программу-вымогателя, заявления о краже данных и медийное давление, чтобы повысить цену задержки. Travelex контролировал экспонированную среду, реагирование, восстановление, сообщения партнёрам, которые он обеспечивал, и доказательства, которые публиковал или не публиковал. Банки и розничные партнёры контролировали обещания клиентам, возвраты, альтернативные каналы и обновления статуса. Кредиторы контролировали переговоры о реструктуризации, которые решали, какие части бизнеса движутся вперёд, а какие остаются в старой структуре.

Регуляторы контролировали более поздние стандарты, которые сделали эти зависимости труднее игнорировать.

Постоянный урок инцидента в том, что устойчивость аутсорсингового сервиса должна измеряться от первой неудавшейся транзакции клиента, а не от финального заявления провайдера о восстановлении. Клиенту банка, который не может получить дорожные деньги, всё равно, называет ли провайдер это внутренним киберинцидентом. Сотруднику отделения, использующему бумажные счета-фактуры, всё равно, правильно ли написано название группы программы-вымогателя. Кредитору всё равно, классифицирован ли сбой как ИТ или операционный. Каждый участник ощущает последствие через обещание сервиса, на которое он полагался.

Поэтому Travelex входит в запись об ответственности как случай, где программа-вымогатель вскрыла экономику зависимости. Злоумышленник эксплуатировал системы и внимание. Провайдер боролся с восстановлением и коммуникацией. Партнёры обнаружили операционный вес поставщика белых меток. Сотрудники и клиенты несли ручную работу и неопределённость. Последующая реструктуризация показала, что цифровое доверие, ликвидность и непрерывность — не отдельные темы. В валютных сервисах киберсбой может одновременно стать кризисом контактов с клиентами, проверкой партнёрского управления и событием финансовой устойчивости.