Toukokuu ei ollut hyvä kuukausi Latvian kansalaiselle Deniss Zolotarjovsille. Yhdysvaltain oikeusministeriö. turvattu hänelle 102 kuukauden vankeustuomion osallisuudestaan venäläisessä Karakurt-kiristysohjelmajengissä.
Tapaus paljasti, että Karakurtin jäsenet olivat käyttäneet Venäjän hallituksen tietokantoja pelotellakseen yritysuhreja ja seuloakseen omia värväytyjiään. Tämä rikollisverkosto oli myös häirinnyt Yhdysvaltojen hätänumeropalveluita ja saanut vähintään 15 miljoonaa dollaria lunnaita yli 54 nimetyltä uhriyritykseltä.
Tämä rikollinen toimintatapa on esimerkki kasvavasta ongelmasta, jota yritysten tietoturvatiimit eivät pysty ratkaisemaan eristyksissä. Resilienssisuunnittelu, joka edelleen käsittelee uhkaa IT-osaston ongelmana, on suunnittelua väärän vastustajan varalle ja ongelman laajuuden aliarviointia.
Ketkä ovat mukana
Yritysten on muutettava toimijaprofiilia, jolle ne ovat rakentaneet jatkuvuussuunnitelmia. Nämä ryhmät eivät toimi ainoastaan kansainvälisesti; ne toimia valtion yhteistyöllä.
Yhdysvaltain valtiovarainministeriö oli jo vuonna 2024 määrännyt pakotteita kiristyshaittaohjelmaryhmä Trickbotille väitetyistä yhteyksistä Venäjän tiedustelupalveluun. Trickbot synnytti useita muita ryhmiä, mukaan lukien Contin, mikä puolestaan johti Karakurtin perustamiseen. Trickbotin johtajiin kohdistuvat pakotteet siis ulottuvat epäsuorasti Karakurtiin.
Toukokuun syyttäjäviranomaiset muuttivat aiemmin passiiviseksi valtion suvaitsevaisuudeksi luonnehditun käytäntöjen todisteeksi suorasta operatiivisesta tuesta. Karakurt maksoi lahjuksia vapauttaakseen jäseniään pakollisesta Venäjän asepalveluksesta ja kanavoi korruptiota valtiokoneistoon pitääkseen sen toiminnan käynnissä.
Moskovan kontradiktorisena pitämillä lainkäyttöalueilla pääkonttoriaan pitäville organisaatioille käytännössä seuraus on, että pöydän toisella puolella oleva uhkatoimija käyttäytyy vähemmän järjestäytyneen rikollisuuden tavoin kuin pikemminkin kuin lähes sopimusvaltuutettu valtion politiikan väline.
Mistä se alkaa
Kiristysohjelmien sietokyvyn parantaminen tarkoittaa myös sitä, että harkitaan uudelleen, mistä tietomurto itse asiassa alkaa. Security Scorecardin vuoden 2025 katsaus 1 000 tietomurrosta löytyi että 41.4 % kiristysohjelmahyökkäyksistä alkaa nyt kolmansien osapuolten pääsystä toimittajien haavoittuvuuksien kautta ja että 35.5 %:lla kaikista vuoden 2024 tietomurroista oli kolmannen osapuolen komponentti.
Eurooppalainen vastaus käsittelee yritysten raja-aluetta sellaisena, joka päättyy heikoimpaan sopimustoimittajaan: NIS2 laajentaa kyberturvallisuusvelvoitteet nimenomaisesti "paljon laajempaan kolmannen osapuolen toimittajien, toimittajien ja digitaalisten palveluntarjoajien ekosysteemiin", joka tukee kriittisiä toimintoja koko blokissa.
Hankintasopimus on nyt säännelty turvallisuusartefakti tavalla, jollainen se ei ollut kolme vuotta sitten, ja useimpien monikansallisten yritysten toimittajien perehdytysprosessit on kalibroitu paljon vähemmän toisiinsa kytkeytyneeseen versioon riskistä.
Missä se päättyy
Tietomurrot eivät enää rajoitu IT-infrastruktuuriin; ne vaikuttavat yritysten toimintaan. Vuoden 2021 Colonial Pipeline -hyökkäys pakko- toiminnan keskeytys, joka häiritsi noin 45 prosentin polttoaineen toimitusta Yhdysvaltain itärannikolla ja laukaisi liittovaltion hätätilan.
Asahi Groupin syyskuu 2025 ransomware-tapaus havainnollistaa samaa dynamiikkaa eri mittakaavassa. Tehdaslattiat eivät teknisesti olleet saastuneita, mutta jopa 30 kotimaista tehdasta pysähtynyt tuotantoa, koska tilauksia, logistiikkaa ja toisistaan riippuvia toimitusketjuja koordinoivat IT-järjestelmät olivat kaatumassa.
Asaha Groupin opetus on pikemminkin rakenteellinen kuin tekninen: pitkälle digitalisoiduissa toiminnoissa IT-kompromissi siirtyy suoraan fyysiseen toimintamalliin. Mitä tehokkaammin organisaatio on optimoinut prosessejaan, sitä laajemmaksi räjähdyssäde yleensä muuttuu.
Mitä resilienssi oikeastaan tarkoittaa nyt
Karakurtin syytteeseenpano korostaa geopoliittisen riskin tasoa ja laajuutta, jota tavallisten kybervakuutusmallien on vaikea hinnoitella. Colonial- ja Asahi-tapaukset osoittavat selvästi, että toimintamalli itsessään on hyökkäyspinta. Kiristyshaittaohjelmien käsitteleminen yrityksen sietokykyongelmana pikemminkin kuin tietoturvaongelmana on nyt sääntely- ja uhkaympäristön vaatima alin rima.
Uusia sääntöjä laativat instituutiot ovat alkaneet kuvata tietomurron sietokykyä kielellä, jonka mukaan hallitukset, eivätkä tietoturvajohtajat, toimivat. Tämä kattaa hallinnon, toimittajien valvonnan, liiketoiminnan jatkuvuuden ja oletuksen siitä, että tietomurto tapahtuu lopulta sellaisen toimittajan kautta, jota yritys ei hallitse.
Jo olemassa olevat standardit hoitavat suurimman osan käännöksestä. ISO 27001:n vuoden 2022 tarkistus on selkein tapaus, koska se kirjoitti toimittajakontrollit uudelleen täsmälleen sen kolmannen osapuolen altistumisen ympärille, jota Security Scorecardin numerot kuvaavat. Kontrolleja A.5.19–A.5.23 käytetään liiketoiminta-asiakirjan laatimiseen, jossa määritellään, kenellä on pääsy mihin, ja nämä turvallisuusvelvoitteet kirjataan toimittajasopimuksiin.
Nämä kontrollit siirtävät saman valvonnan ICT-toimitusketjussa pilvipalveluihin ja alihankkijoille, joihin perehdytystarkastukset eivät aina ulotu. Se tekee heikoimmista toimittajista sellaisia, joita yritys voi auditoida.
ISO 22301 tekee rinnakkaistyötä jatkuvuuden varmistamiseksi. Se vaatii liiketoiminnan vaikutusten analyysia ja testattuja palautumistavoitteita sen sijaan, että uskottaisiin järjestelmien palautumiseen, kuten Asahin sulkeminen paljasti.
Tämä kaikki on hyvää käytäntöä, mutta NIS2 muuttaa suuren osan siitä lakisääteiseksi velvollisuudeksi. Sen 21 artikla nimeää toimitusketjun turvallisuuden erityiseksi velvoitteeksi, ei suositukseksi.
Kehyksen valitseminen on helppo osa. Työ on pitää kymmeniä päällekkäisiä kontrolleja, toimittaja-arviointeja ja jatkuvuustestejä ajan tasalla organisaatiossa, jonka toimintapiirit kulkevat toimittajien kautta, joita se ei täysin hallitse.
Yhtenäisen alustan käyttäminen yhden todisteiden sarjan kartoittamiseen ISO 27001-, ISO 22301- ja NIS2-standardeja vasten selvittää ja ilmaisee toimittajariskin, tarjoten auditointipolun tilassa, jonka hallitus voi omaksua ja jonka perusteella se voi toimia ennen tapahtumaa eikä sen jälkeen. Kiristyshaittaohjelmien sietokyky ei ole enää kansio, jota joku päivittää tietomurron jälkeen, vaan se on jotain, mitä johto voi todistaa.
Laajenna tietosi
Blogi: Kyberrikollisuus vs. geopolitiikka: Kuinka kiristysohjelmista on tulossa geopoliittinen työkalu
Blogi: Tietojenkalastelu ongelmanratkaisussa, kausi 02, jakso 05: Olet sääntöjen mukainen. Oletko joustava?
