Случаят MGM: идентичност и управление на достъпа

През септември 2023 г. MGM Resorts откри проблем с киберсигурността в някои от своите системи. Няколко дни по-късно в Лас Вегас имаше затворени казино зали и гости, чиито електронни ключове за стаите не отваряха. На 5 октомври компанията съобщи на Комисията по ценните книжа и борсите на Съединените щати (SEC) за отрицателно въздействие от около 100 милиона долара върху ключов показател за резултатите ѝ през септември [1]. MGM не описа вектора на проникване в своя 8-K. Според пресата атаката е започнала в служба за поддръжка (help desk); MGM не го е потвърдила [4]. Тази статия се съсредоточава върху приложимите контроли за управление.

Тя е написана за онзи, който подписва: общо ръководство, финанси, операции, системи. Не съдържа списък с инструменти. Съдържа онова, което случаят учи, на езика на бизнеса, три въпроса за вашия следващ комитет и една идея, която си струва да задържите: днес идентичността на вашите служители е периметърът на вашата компания.

Едно уточнение, преди да започнем: Hábil не е участвала в този случай. Разказваме го с онова, което компанията е съобщила на SEC, с онова, което са публикували властите на Съединените щати, и с онова, което е отразила сериозната преса, всяко нещо с източника си. Когато нещо е твърдение на нападателите или на анонимен източник, го казваме.

Първо, един термин

За да разбираме всички на масата едно и също:

• Доставчик на идентичност: системата, която решава кой сте вие, когато влизате в пощата, в ERP или в заплатите. Известни примери: Microsoft Entra ID, Okta, Google Workspace, Keycloak. Администрирането ѝ изисква засилени контроли.

Десет дни през септември

Преди това: предупреждение, което почти никой не прие като свое

Ръководство на Okta от август 2023 г. препоръчва привилегированите сметки да се защитават особено [3]. Това ръководство не приписва инцидента в MGM.

Публичните източници не позволяват да се определи векторът при MGM. Непотвърдените приписвания от пресата и от нападателите не се използват тук, за да бъде той реконструиран.

Какво видяха гостите

MGM съобщи по-късно на SEC, че щом е открила проблема, изключила е системите си, за да защити информацията на клиентите си, и че това е причинило прекъсвания в някои от обектите ѝ [1]. Това е решение с цена: да спреш тока, за да не стигне пожарът до склада.

Отвън се видя така. NBC News съобщи на 15 септември за затворени казино зали, гости, които не можеха да влязат в стаята си с електронния ключ, и служители без достъп до корпоративната поща [5]. Компанията междувременно казваше, че огромното мнозинство от услугите ѝ продължават да работят, а по-късно потвърди пред SEC прекъсванията в някои обекти [1].

Съседната къща

Caesars Entertainment, другият голям оператор в Лас Вегас, подаде собствен доклад до SEC на 14 септември [8]. В него каза нещо, което си струва да се прочете бавно: засякла е подозрителна дейност в мрежата си в резултат на атака със социално инженерство срещу външен доставчик на ИТ поддръжка, който компанията ползвала. Нападателят си тръгнал с копие от базата данни на програмата ѝ за лоялност, с номера на шофьорски книжки или на социално осигуряване на значителен брой членове. Обслужването ѝ към клиентите не било прекъснато [8]. (Социално инженерство е техническото название на измамата, с която един човек бива подведен да предостави достъп.)

Две компании, същият месец, същият град. Случаят Caesars е различен и не позволява да се заключи какъв е бил векторът при MGM.

Сметката

На 5 октомври 2023 г. MGM подаде Form 8-K, доклада, който компаниите, търгувани на борсата в Съединените щати, подават, когато се случи нещо съществено [1]. Какво казва той, на езика на бизнеса:

• Около 100 милиона долара отрицателно въздействие през септември върху коригирана EBITDAR по обекти (Adjusted Property EBITDAR), показателя, с който мери дейността на курортите си, обединявайки Лас Вегас и регионалните си обекти.
• По-малко от 10 милиона еднократни разходи за технологични консултанти, адвокати и други съветници.
• Заетостта през септември е била 88 % срещу 93 % предходната година, заради спада в резервациите в сайта и приложенията ѝ.
• Нападателите са получили лични данни на някои клиенти, направили транзакции преди март 2019 г.: име, контакти, дата на раждане, номер на шофьорска книжка и, за ограничен брой, номер на социално осигуряване или на паспорт.
• Компанията каза, че не вярвала, че са получени пароли на клиенти, банкови сметки или данни за карти, и че очаквала застраховката ѝ за киберсигурност да е достатъчна, макар пълният обхват на разходите да не бил определен. И двете бяха предварителни оценки към 5 октомври 2023 г.

Тоест: дори с бърз отговор, изключване навреме, защита на най-чувствителното и застраховка, инцидентът доведе до засегнати клиенти, прекъсвания и оценено въздействие върху показателя, съобщен на SEC.

Епилогът

През юли 2024 г. британската полиция, в координация с FBI и Националната агенция за борба с престъпността на Обединеното кралство, задържа 17-годишен младеж в рамките на глобално разследване на хакерска общност, нападнала няколко големи компании, сред тях и MGM [9]. Разследването продължи. Предупреждението на CISA и FBI беше актуализирано през 2025 г., защото описаната в него група продължаваше да сменя методите си [2].

Какво трябва да запомни един директор

1. Идентичността е периметърът

Години наред сигурността се мислеше като крепостна стена: вътре е доверено, отвън не е. Тази стена постепенно се размива. Вашите служители влизат от къщи, от телефона и от облака на трета страна; вашите доставчици влизат във вашите системи; вашите системи си говорят помежду си. Мрежата, устройствата и резервните копия продължават да имат значение, но все повече онова, което отделя един нападател от вашата дейност, е въпросът «кой сте вие?» и колко добре отговаря на него вашата компания.

При MGM векторът не е описан публично в 8-K; случаят не позволява да бъде приписан на обаждане или на конкретна процедура.

2. Слабото място е процесът за изключения, а не ежедневният

Изключителните процеси за достъп изискват разрешение, доказателства и контроли, съразмерни с привилегията. Проверете дали дизайнът им не зависи от едно-единствено решение, което е трудно за проверка.

3. Възложената на външна фирма поддръжка изисква управление

8-K на Caesars потвърждава различен случай при доставчик [8]. Ако сте възложили поддръжката на външна фирма, прегледайте договора, процедурата и доказателствата, без да правите изводи за вектора при MGM.

4. Да изключиш навреме струва, но да не знаеш кой е влязъл струва повече

MGM изключи системите и въпреки това оцени отрицателно въздействие от около 100 милиона долара върху ключов показател за един-единствен месец [1]. Представете си сега обратния сценарий: да не знаете кои сметки са използвани, до какво са имали достъп и от кога. Достатъчна следа от сметки, достъпи и часове помага да се ограничи един инцидент и да се отговори пред одиторите, регулаторите и клиентите. Доказателството кой до какво е влязъл не е само одиторско изискване: то е онова, което помага да се разбере кога да спрете да изключвате.

5. Цифрата, която има значение, не е тази на атаката

Никой не може да ви обещае, че няма да ви нападнат. Онова, което може да се управлява, е колко вреда причинява един инцидент. Три лоста за управление: засилени контроли за привилегированите изключения, минимален достъп и проверими дневници на достъпа и на промените на права.

Нито една от трите не е продукт, който се купува и инсталира. И трите са решения за дизайн, които някой с власт трябва да вземе и да поддържа.

Какво не казва този случай

За да не извличаме излишни заключения:

• Не казва, че доставчикът на идентичност се е провалил. 8-K на MGM не позволява да се заключи, че доставчик на идентичност се е провалил, нито да се определи процедурата за достъп.
• Не казва, че обучението е безполезно. CISA и FBI продължават да го препоръчват [2]. Казва, че не стига: процедура, която се опира на това, че един-единствен човек ще долови добре разказана лъжа, под натиск, концентрира риска; затова е добре да се добавят контроли, които могат да се проверят.
• Не казва, че на вас няма да ви се случи, защото сте по-малки. Компаниите от всякакъв размер трябва да управляват изключенията си при достъпа.

Три въпроса за вашия следващ комитет

1. Как се разрешават, документират и преглеждат изключенията при достъпа, особено тези с най-високи привилегии и извършваните от трети страни?
2. Следва ли нашият доставчик на поддръжка същата процедура, която бихме изисквали от нашия персонал, и как го проверяваме?
3. Ако днес подозирахме, че една сметка е открадната, колко време ще ни трябва, за да разберем до какво е влязла и от кога? Часове, дни или седмици?

Ако някой отговор е «не знам» или «зависи кой отговори», комитетът вече има тема за възлагане: отговорник, дата за преглед и доказателството, което очаква да види.

Откъде да започнете тази седмица

Поискайте от отдела по системи писмената процедура за изключения при достъпа, онази, която наистина се използва, не тази от наръчника. Проверете дали процедурата има отговорник, засилено разрешение за привилегиите и доказателства, които могат да се прегледат. След това поискайте списъка със сметките с администраторски привилегии във вашия доставчик на идентичност. Ако списъкът е по-дълъг, отколкото сте очаквали, вече имате първата си находка.

Какво прави Hábil

Hábil е мексиканска инженерингова консултантска компания, основана през 2006 г., която свързва системите на вашата компания към една-единствена корпоративна идентичност, с правата на всеки човек и със следа от всеки достъп. Работим с доставчика на идентичност, който вече имате (Microsoft Entra ID, Okta, Google или Keycloak, между другото), и го свързваме една система след друга, като започваме с тази с най-висок риск, за да не прекъсваме онези, които вече работят.

В онова, което този случай учи, това се превръща в три неща: засилени контроли за изключенията при достъпа, най-вече за сметките с най-голяма власт; минимален достъп за всеки човек, партньор и доставчик; и проверим дневник кой до какво е влязъл и за всяка промяна на права, за Сигурността и за Одита. Вижте страницата Контрол на достъпа.

В първия разговор вашето ръководство, Системите и Сигурността могат да си тръгнат с четири ясни неща: кои процеси за достъп изискват повече контрол, кои сметки се нуждаят от засилено отношение, какво доказателство ви липсва, за да отговорите на Одита, и каква би била следващата ограничена стъпка.

Поискайте първия си разговор, безплатно. Вие си тръгвате с този преглед на достъпите. Пишете ни в WhatsApp.

Често задавани въпроси

Какво се случи в MGM Resorts през септември 2023 г.?

MGM откри проблем с киберсигурността в някои от своите системи в Съединените щати и ги изключи, за да защити информацията на клиентите си, което прекъсна част от дейността ѝ. 8-K не описва механизма на проникване. Компанията съобщи на SEC отрицателно въздействие от около 100 милиона долара върху коригираната ѝ EBITDAR по обекти за септември [1].

Какво финансово въздействие съобщи MGM?

Според нейния Form 8-K от 5 октомври 2023 г.: около 100 милиона долара отрицателно въздействие през септември върху коригираната EBITDAR по обекти, плюс по-малко от 10 милиона еднократни разходи за консултанти, адвокати и съветници. Не е нетна загуба, нито общ разход, макар пресата да го обобщи като удар от 100 милиона [7]. Компанията очакваше застраховката ѝ да е достатъчна, без да е определила още общите разходи [1].

Кой е Scattered Spider?

Това е името, с което индустрията и властите на Съединените щати назовават една престъпна група, която според съвместното предупреждение на CISA и FBI напада големи компании, представяйки се за служители или за ИТ персонал [2]. 8-K на MGM не приписва инцидента на тази група.

Не би ли предотвратил това един втори фактор?

Контролите за идентичност трябва да включват управляван процес за изключения; 8-K на MGM не позволява да се заключи кой контрол е липсвал.

Отнася ли се това за мексиканска компания, която не се търгува на борсата?

Задължението за докладване може да е различно; нуждата да се управляват изключенията при достъпа важи и извън компаниите, търгувани на борсата. Въпросите за комитета в тази статия важат еднакво за компания, която се търгува на борсата, и за такава, която не се търгува.

Участвала ли е Hábil в случая MGM?

Не. Тази статия се основава само на публични източници: докладите на MGM и на Caesars пред SEC, предупрежденията на CISA, FBI и Okta, и пресата, цитирана в източниците.

Източниците са консултирани на 20 октомври 2026 г. Цитатите са преведени от английски. Твърденията на нападателите и на анонимни източници са отбелязани като такива в текста.