Πώς ένα EDI/ERP compromise πλήττει έναν freight forwarder

Offensive Scenario — Logistics / Freight forwarding. Ένας freight forwarder
ζει μέσα από EDI και ERP: εντολές μεταφοράς, τελωνειακά έγγραφα, τιμολόγηση. Ένα
EDI ERP compromise δεν χρειάζεται να σταματήσει τα συστήματα — αρκεί να αλλοιώσει
δεδομένα ή να εκθέσει εμπορικά ευαίσθητη πληροφορία. Το ερώτημα για τη διοίκηση: θα εντοπίζατε την
πρόσβαση στα EDI/τελωνειακά δεδομένα πριν αλλοιωθεί μια εντολή μεταφοράς;

Σημείωση: το παρακάτω σενάριο παρουσιάζεται σε υψηλό, υπεύθυνο επίπεδο. Δεν περιλαμβάνει λειτουργικά payloads ή copy-paste βήματα εκμετάλλευσης. Όλα τα ονόματα, IP, domains και χρήστες είναι ανωνυμοποιημένα εργαστηριακά παραδείγματα (π.χ. contoso.local, 10.10.x.x, CORP-DC01) και αντιστοιχούν σε πραγματικά μοτίβα που έχει συναντήσει η Audax σε ελεγχόμενα έργα υπό NDA.

Executive Summary

Το σενάριο δείχνει πώς ένα EDI ERP compromise εξελίσσεται από ένα public-facing,
παρωχημένο ERP/EDI gateway έως την πρόσβαση και πιθανή αλλοίωση κρίσιμων δεδομένων μεταφοράς. Η
Audax το αναπαράγει ελεγχόμενα ώστε να αποδειχθεί αν το SOC βλέπει την πρόσβαση και τη χειραγώγηση —
και πόσο γρήγορα.

Το επιχειρησιακό ρίσκο

Για έναν freight forwarder, ένα EDI/ERP compromise σημαίνει λανθασμένες ή αλλοιωμένες εντολές
μεταφοράς, καθυστερήσεις σε τελωνεία, απάτη τιμολόγησης, έκθεση εμπορικών δεδομένων πελατών,
υποχρεώσεις NIS2 (εφοδιαστική αλυσίδα) και ζημιά φήμης. Η ακεραιότητα των δεδομένων
εδώ είναι εξίσου κρίσιμη με τη διαθεσιμότητα.

Πώς θα μπορούσε να εξελιχθεί ένα αντίστοιχο σενάριο επίθεσης

1. Exploit Public-Facing App (T1190): εκτεθειμένο/παρωχημένο ERP web console ή EDI
   gateway με weak auth ή default credentials.
2. Valid Accounts (T1078): χρήση over-privileged app accounts.
3. Collection (T1213/T1005): πρόσβαση σε EDI μηνύματα, τελωνειακά και δεδομένα
   πελατών.
4. Data Manipulation (T1565): αλλοίωση εντολών μεταφοράς ή τιμολόγησης.

Μετά την πρόσβαση, το πρόβλημα μεγεθύνεται από τα δικαιώματα του λογαριασμού εφαρμογής:

Τι δοκιμάζει η Audax ελεγχόμενα

• Web, API & Mobile penetration testing: έλεγχος ERP
  web console, EDI gateway, authentication και authorization.
• External & internal penetration testing: αποτύπωση
  έκθεσης και attack paths προς τις βάσεις.
• ATT&CK emulation & attack-path validation:
  αναπαραγωγή της διαδρομής έως τα EDI/τελωνειακά δεδομένα, χωρίς πραγματική αλλοίωση παραγωγής.
• SOC/SIEM/EDR effectiveness: επικύρωση ανίχνευσης πρόσβασης
  και χειραγώγησης δεδομένων.

Τι πρέπει να ανιχνεύσει το SOC, το SIEM και το EDR

• logins χωρίς MFA σε ERP/EDI και χρήση default credentials·
• πρόσβαση σε βάσεις EDI/τελωνειακών από ασυνήθιστες πηγές·
• over-privileged app accounts που εκτελούν ευρείες queries·
• τροποποίηση εγγραφών εντολών/τιμολόγησης (data manipulation)·
• συσχέτιση application + database logs και ο χρόνος μέχρι το πρώτο alert.

Τι τεχνική απόδειξη παράγεται

Επικυρωμένη διαδρομή έως τα EDI/ERP δεδομένα με anonymized αποδείξεις, χάρτη δικαιωμάτων app
accounts, σημεία όπου η ανίχνευση απέτυχε, αξιολόγηση σοβαρότητας και business impact mapping.
Ενδεικτικοί δείκτες:

Τι παραδίδεται στη διοίκηση

Executive summary με επίπτωση σε ακεραιότητα δεδομένων και λειτουργία, ιεραρχημένο remediation
roadmap (patching, MFA, least privilege, integrity monitoring), παρατηρήσεις ανίχνευσης, συσχέτιση
με NIS2 και πλάνο retesting.

Πώς μειώνεται ο κίνδυνος

• patching/hardening ERP/EDI, κατάργηση default credentials, MFA·
• least privilege στους app/db λογαριασμούς·
• integrity monitoring σε κρίσιμες εγγραφές (εντολές/τιμολόγηση)·
• vulnerability management validation και τακτικό testing στο SDLC·
• purple teaming για επικύρωση ανιχνεύσεων και retesting.