Uma visão geral do ataque cibernético da MGM

Se você já esteve em um cassino de Las Vegas, então sabe que eles são literalmente máquinas de fazer dinheiro, pois as pessoas apostam continuamente em uma variedade de jogos. Os cassinos modernos exemplificam negócios transformados digitalmente, com clientes interagindo por múltiplos canais digitais, desde sistemas de jogos até aplicativos móveis e programas de fidelidade. O ataque cibernético ao Las Vegas MGM mostrou claramente como uma interrupção digital pode rapidamente resultar em consequências substanciais para um negócio em relação à sua receita, satisfação do cliente e imagem pública.

Em 11 de setembro de 2023, a MGM resorts divulgou um comunicado no X de que um “incidente de cibersegurança” estava impactando alguns de seus sistemas. O incidente levaria a uma perda de 100 milhões de dólares para o terceiro trimestre de 2023. O ataque foi organizado por duas organizações separadas conhecidas como Scattered Spider e ALPHV. Diante da significativa interrupção de suas operações e do potencial para mais danos, a empresa teve que tomar decisões difíceis, incluindo se pagaria milhões em resgate aos atacantes como sua rival Caesars Entertainment fez.

Descoberta Inicial e Resposta

Não demora muito para determinar que você está no meio de um ataque de ransomware. Acredita-se que os atacantes invadiram a rede pela primeira vez em 8 de setembro. No dia seguinte, as equipes de segurança da MGM detectaram atividades e tráfego incomuns nos sistemas da empresa. O ataque escalou rapidamente nos dias seguintes à medida que as operações passaram a ser interrompidas publicamente.

A MGM Resorts tomou medidas rápidas que incluíram o desligamento de certos sistemas para proteger seus dados e infraestrutura, o que causou mais interrupções. Reconhecendo a gravidade da situação, a MGM rapidamente trouxe agências terceirizadas e especialistas líderes em cibersegurança para ajudar a conter e mitigar o ataque. Eles também envolveram as autoridades policiais, iniciando imediatamente uma investigação sobre a violação.

Como o Ataque Cibernético da MGM se Desenrolou

Táticas de Engenharia Social Usadas por Hackers

Para ganhar acesso à rede MGM, Scattered Spider lançou um ataque de engenharia social vishing que foi mais ou menos assim:

1. Membros do Scattered Spider pesquisaram funcionários da MGM no LinkedIn, reunindo informações sobre seus papéis e identidades.
2. Usando as informações coletadas, os atacantes escolheram um funcionário da MGM para se passar.
3. Os hackers contataram o suporte de TI da MGM, fingindo ser o funcionário e conseguiram convencer o suporte a fornecer-lhes credenciais de login.
4. Usando as credenciais obtidas, Scattered Spider ganhou privilégios de administrador nos ambientes Okta e Azure tenant da MGM.
5. Os atacantes usaram seu acesso de alto nível para se mover lateralmente dentro dos sistemas da MGM.

Foi nessa época que a Scattered Spider trouxe a ALPHV para implementar seu software de ransomware como serviço (RaaS). Eles criptografaram aproximadamente 100 hipervisores ESXi dentro da rede da MGM. Esses servidores hospedavam milhares de máquinas virtuais que suportavam sistemas críticos de hospitalidade, como máquinas de jogos, sistemas de reservas online, chaves digitais de quartos e sites. A ALPHV também afirma ter exfiltrado 6 TB de informações de clientes durante esse período, momento no qual iniciaram negociações com a MGM para evitar a divulgação pública dos dados roubados. A ALPHV também ameaçou divulgar as informações exfiltradas se um acordo não pudesse ser alcançado.

Impacto nos Sistemas e Operações da MGM

Os efeitos do ciberataque na MGM Resorts foram imediatamente aparentes com interrupções generalizadas em toda a organização:

• As operações de jogo foram interrompidas quando as máquinas caça-níqueis ficaram offline com mensagens de erro exibidas
• Os hóspedes do hotel reclamaram que suas chaves digitais dos quartos pararam de funcionar.
• Os sistemas de reserva e agendamento online foram desativados
• Os serviços móveis foram interrompidos quando o aplicativo MGM se tornou completamente inacessível.
• Os sistemas de e-mail foram afetados
• As reservas de restaurante foram interrompidas

Cronologia dos Eventos e Duração do Ataque

A duração total do ataque foi de aproximadamente 10 dias. O cronograma do ataque foi o seguinte:

• 7 de setembro de 2023: Scattered Spider lança um ataque de engenharia social contra o fornecedor de suporte de TI da Caesar’s Entertainment.
• 10 de setembro de 2023: MGM Resorts começa a enfrentar interrupções no sistema.
• 11 de setembro de 2023: A MGM divulga publicamente o incidente e iniciou uma investigação após entrar em contato com as autoridades policiais
• 12 a 13 de setembro de 2023: Os clientes relatam vários problemas que afetam a experiência deles.
• 14 de setembro de 2023: Scattered Spider afirma ter roubado 6 terabytes de dados da MGM Resorts e a MGM começa a restaurar seus sistemas.
• 20 de setembro de 2023: MGM confirma a restauração completa do serviço em todos os seus sistemas.

O dano financeiro e de reputação

Perdas Financeiras Estimadas Devido ao Ataque Cibernético da MGM

Os custos de um ataque de ransomware podem se mostrar bastante excessivos. Os custos envolvidos incluem despesas com mitigação, perda de produtividade, possíveis processos judiciais, interrupção dos negócios e o próprio pagamento potencial do resgate. Diferentemente da Caesars Entertainment, que sofreu um ataque de ransomware aproximadamente no mesmo período e optou por pagar o resgate, a MGM disse que nunca considerou essa opção. A decisão deles de não pagar estava alinhada com as recomendações de especialistas em cibersegurança, agências governamentais e forças policiais, que aconselharam contra tais ações devido aos riscos envolvidos. A MGM perdeu uma estimativa de 84 milhões de dólares em receita perdida. Eles também gastaram 10 milhões de dólares em despesas únicas com consultoria tecnológica, honorários legais e assessores terceirizados. A empresa também enfrentou custos associados à oferta de serviços cortesia e à restauração de pontos de programas de fidelidade para os clientes afetados.

Impacto na Reputação da MGM e na Confiança do Cliente

A empresa MGM Resorts enfrentou uma enxurrada de atenção negativa nas redes sociais à medida que os usuários expressavam suas frustrações. Se isso levará a uma redução da lealdade e confiança do cliente ainda está por ser visto. A recuperação da MGM foi auxiliada pela chegada oportuna da corrida de alto perfil da Fórmula Um logo após o incidente, o que ajudou a desviar o foco e potencialmente mitigar alguns danos à reputação.

Violação de Dados e Informações Comprometidas

Tipos de Informações do Cliente Expostas

Os dados exfiltrados durante o ataque consistiam em informações sobre os clientes da MGM, principalmente aqueles que haviam realizado transações com a empresa antes de março de 2019. Isso incluía informações pessoais como nomes, informações de contato, datas de nascimento e números de carteira de motorista. Um grupo menor de clientes pode ter tido seus números de segurança social, passaporte ou identificação militar expostos. Dados pessoais relacionados a reservas de hotel e detalhes de programas de fidelidade também foram comprometidos. Embora não confirmado, dados de funcionários podem ter sido expostos no ataque também.

Passos que a MGM tomou para proteger os clientes

Ter um plano de resposta a incidentes bem definido é crucial para gerir e mitigar eficazmente o impacto de um ciberataque. Abaixo estão algumas das medidas que a MGM tomou imediatamente após o ataque:

• Criou um site ou portal específico com informações sobre a violação
• Emitiu declarações públicas e atualizações por vários canais para garantir transparência
• Forneceu serviços gratuitos de monitoramento de crédito
• Ofereceu proteção contra roubo de identidade para clientes e funcionários afetados
• Implementamos um call center dedicado para tratar das preocupações e perguntas dos clientes

Consequências Legais e Processos de Clientes

Ações Coletivas Contra a MGM

Várias ações judiciais foram movidas contra a MGM como esta. As alegações desses processos afirmam que, como uma operadora líder global de cassinos e hotéis, a MGM não implementou medidas de cibersegurança adequadas para proteger os dados dos consumidores. Eles alegam que o Requerente armazenou informações sensíveis de clientes sem a devida criptografia e que a Okta já havia alertado a empresa sobre potenciais riscos de segurança, sugerindo que a MGM não atendeu a esses avisos. As ações judiciais buscam várias formas de compensação, incluindo:

• Danos materiais
• Reembolso por potencial proteção contra roubo de identidade
• Cobertura de despesas relacionadas à proteção de informações pessoais
• Danos punitivos por suposta negligência

Escrutínio Regulatório e Questões de Conformidade

A MGM divulgou adequadamente o ciberataque e seu potencial impacto financeiro em documentos da SEC, conforme exigido para empresas públicas. A FTC iniciou uma investigação sobre as práticas de segurança de dados da MGM após o ataque, no entanto, a MGM processou a FTC, alegando que a investigação excede a autoridade da agência. A empresa também alega um conflito de interesses, já que a presidente da FTC, Lina Khan, foi pessoalmente afetada pelo ciberataque enquanto estava hospedada em uma propriedade da MGM. Vários reguladores estaduais estão investigando o incidente. Diversos órgãos reguladores estaduais iniciaram investigações sobre o incidente do ciberataque na MGM. Embora agências específicas não tenham sido nomeadas, é provável que o Nevada Gaming Control Board esteja envolvido na investigação.

Lições Aprendidas e Medidas Futuras de Cibersegurança

Melhorias na Estratégia de Cibersegurança da MGM

Para fortalecer sua postura de cibersegurança, a empresa realizou uma avaliação completa dos seus sistemas e processos de cibersegurança existentes. Em seguida, implementaram medidas de segurança adicionais que incluíram:

• Controles de acesso aprimorados e processos de autenticação
• Segmentação de rede aprimorada
• Sistemas de detecção e prevenção de intrusão atualizados
• Práticas de criptografia de dados reforçadas

Além disso, a MGM também anunciou planos de investir até 40 milhões de dólares em melhorias de TI no ano seguinte.

A Importância dos Planos de Resposta a Incidentes

As ações rápidas da MGM deixam claro que eles tinham um plano de resposta a incidentes bem estruturado em vigor. Sua resposta pronta incluiu:

• Envolvendo especialistas em cibersegurança e agências de aplicação da lei
• Mobilizando profissionais de TI para conter a violação
• Tentando prevenir a propagação adicional do ransomware
• Comunicação oportuna e transparente com os clientes afetados

A MGM rapidamente reconheceu a gravidade do ataque e tomou a decisão crítica de desligar os sistemas digitais essenciais para isolar o ataque. Embora isso tenha causado inicialmente uma perturbação operacional, impediu a exfiltração adicional de dados e limitou a possível propagação do ransomware. Essa abordagem proativa demonstrou a importância de se ter um protocolo predefinido para o isolamento rápido do sistema durante um incidente de cibersegurança

Implicações Mais Amplas para a Indústria de Hospitalidade

O ciberataque aos MGM Resorts expôs a dependência do setor em sistemas digitais interconectados para operações. À medida que o setor integra cada vez mais tecnologias digitais para gerir reservas, programas de fidelidade e sistemas de pagamento, torna-se um alvo principal para cibercriminosos. O ataque mostrou o quão rapidamente vários serviços podem ser interrompidos. Para enfrentar o risco aumentado, a indústria deve implementar medidas de segurança abrangentes, testar continuamente suas defesas e fazer os ajustes necessários.

Como a Netwrix pode ajudar

A Netwrix possui um conjunto completo de soluções de segurança que podem proteger suas organizações de ataques como o ciberataque ao MGM Grand. Aqui estão alguns exemplos:

• Netwrix Privileged Access Management pode impedir que atacantes se movam lateralmente em seu ambiente eliminando privilégios permanentes. Em vez de contas estáticas que são vulneráveis quando não estão em uso, a Netwrix permite que você crie contas temporárias just-in-time com acesso suficiente apenas para realizar a tarefa em questão. Uma vez que a tarefa é concluída, a conta é excluída. Isso também pode ajudar a monitorar todas as atividades administrativas em tempo real em vários sistemas de TI.
• Netwrix Auditor pode detectar lacunas de segurança em dados e infraestrutura, como permissões diretas excessivas ou uma abundância de usuários inativos e ajudar a tomar medidas corretivas para minimizar sua superfície de ataque. Ao consolidar todos os alertas de atividades anômalas acionados por um indivíduo em uma visão abrangente, você pode identificar rapidamente insiders potencialmente maliciosos ou contas comprometidas.
• Netwrix Data Classification pode encontrar todo o conteúdo sensível espalhado pela sua organização para que você possa priorizar a segurança dele. Pode automaticamente colocar em quarentena dados críticos ou sensíveis armazenados em locais inseguros ou acessíveis por grupos abertos e amplos.

Netwrix utiliza monitoramento de atividade do usuário para sinalizar acesso não autorizado ou excessivo a contas privilegiadas, detectando quando um usuário acessa sistemas ou dados com os quais normalmente não interage. Monitoramento de integridade de arquivos identifica alterações não autorizadas em arquivos-chave ou configurações. Netwrix também oferece ferramentas de relatórios de conformidade para ajudar a MGM a permanecer alinhada com padrões e regulamentações da indústria.

FAQs

O que aconteceu com o ataque cibernético da MGM?

O Ciberataque ao MGM de Las Vegas em setembro de 2023 nos deu uma visão de como um único ataque pode interromper extensivamente as operações de um negócio digital. O ataque foi iniciado por um grupo chamado Scattered Spider que utilizou engenharia social para se passar por um funcionário alvo e convencer o suporte técnico de TI a fornecer credenciais de login, o que eles fizeram. Isso permitiu que os atacantes se infiltrássem nos sistemas de rede do MGM, momento em que passaram as operações para um grupo de ransomware chamado ALPHV, que então exfiltrou dados e criptografou sistemas críticos. O ataque acabou custando ao MGM uma estimativa de cerca de 100 milhões de dólares em receitas perdidas, honorários legais e outras despesas.

O que aconteceu no ataque cibernético em Las Vegas em 2023?

Duas organizações cibercriminosas coordenaram um ataque a dois grandes cassinos de Las Vegas em setembro de 2023, incluindo o MGM Grand. Para o MGM, o ataque perturbou as operações, fazendo com que as máquinas caça-níqueis ficassem offline, as chaves digitais dos quartos parassem de funcionar e os sistemas de reserva online fossem desativados. Os sistemas de e-mail foram afetados e muitos serviços móveis, incluindo o aplicativo MGM, tornaram-se inacessíveis.

Quem está por trás do hack da MGM?

O ataque ao MGM é atribuído a dois principais grupos. O primeiro foi o Scattered Spider, uma organização de hackers especializada em ataques de engenharia social. Eles são conhecidos pela sua fluência em inglês, o que ajuda em suas convincentes tentativas de vishing. A segunda organização foi a ALPHV, também conhecida como BlackCat. Eles operam um serviço de ransomware na Rússia e foram eles que forneceram o ransomware responsável pelo ataque principal. Acredita-se que essas duas organizações tenham algum tipo de afiliação entre si.

O ataque cibernético da MGM já terminou?

Embora o ataque que ocorreu durante um período de dez dias em setembro de 2023 tenha terminado, os efeitos posteriores do ataque ainda persistem. A MGM enfrenta várias ações coletivas relacionadas à violação e diversas agências reguladoras estão conduzindo investigações separadas sobre o ataque. A MGM também se comprometeu com $40 milhões em salvaguardas adicionais e melhorias na sua infraestrutura de TI.

Os hackers da MGM foram pegos?

Sim, várias prisões foram realizadas em relação ao ataque ao MGM. Em julho de 2024, um jovem de 17 anos do Reino Unido foi preso por envolvimento no ataque. Promotores dos EUA revelaram acusações criminais contra cinco supostos membros do Scattered Spider meses depois, em novembro de 2024. Scattered Spider é uma das organizações criminosas envolvidas no ataque.

A MGM pagou o resgate?

A MGM Resorts optou por não pagar o resgate exigido pelos hackers. Essa decisão estava alinhada com as recomendações de especialistas em cibersegurança, agências governamentais e forças policiais, que aconselharam contra tais ações devido aos riscos envolvidos. Essa abordagem foi diferente da Caesars Entertainment, que supostamente pagou aproximadamente 15 milhões de dólares ao mesmo grupo de hackers. Claro, não se pode saber ao certo se a MGM pagou ou não.

O que foi roubado da MGM Resorts?
No caso do ciberataque ao cassino MGM Las Vegas, o que foi roubado foram informações, principalmente as informações pessoais de seus clientes. Os dados comprometidos incluíam nomes, informações de contato e números de identificação, como carteira de motorista, identidade militar e passaportes. Dados pessoais relacionados a reservas de hotel e detalhes de programas de fidelidade também foram comprometidos. É possível também que alguns dados de funcionários possam ter sido expostos no ataque.

Quanto dinheiro o MGM perdeu com o ataque cibernético?

De acordo com um arquivo da SEC, a MGM Resorts teve um prejuízo de $100 milhões no terceiro trimestre de 2023 devido ao ciberataque. Isso incluiu $84 milhões em receitas perdidas de operações interrompidas e $10 milhões em despesas únicas para consultoria tecnológica, honorários advocatícios e assessores terceirizados. A empresa pode enfrentar perdas futuras adicionais decorrentes de possíveis prêmios de litígios e multas de conformidade.

A MGM pagou o resgate do ataque de ransomware?

É sempre uma decisão importante decidir se deve pagar o resgate para acelerar a recuperação ou não. No caso do Ciberataque aos MGM Resorts, a liderança da empresa decidiu seguir o conselho de especialistas em cibersegurança, agências governamentais e forças policiais, que aconselharam contra o pagamento devido aos riscos envolvidos.