تطور جديد في خطة الابتزاز القديمة
اعتمدت عصابات الفدية لفترة طويلة على الخوف والإلحاح للضغط على الضحايا لدفع الفدية. الآن، وفقًا لتقرير عن مخطط يُطلق عليه اسم "مفككو الفدية"، اكتشف affiliate واحد على الأقل من شركاء الفدية زاوية جديدة: التظاهر بأنهم الأشخاص الذين من المفترض أن يساعدوا الضحايا على التعافي.
بدلاً من مجرد طلب الدفع والاختفاء بعد الهجوم، يتواصل هذا الفاعل مع الضحايا بعروض المساعدة، مقدمًا نفسه كخدمة استرداد بعد الحوادث. المشكلة أن هذه "المساعدة" ليست محايدة. يبدو أنها مصممة لتحويل مدفوعات الفدية بعيدًا عن القنوات الشرعية وإعادتها إلى جيوب نفس النظام الإجرامي الذي تسبب في الاختراق من الأساس.
هذا تحول كبير في التكتيكات. عمليات الفدية التقليدية مبنية على معاملة مباشرة، وإن كانت وحشية: تشفير البيانات، طلب الدفع، توفير مفتاح فك التشفير (ربما). من خلال إدخال طبقة استرداد وهمية في تلك العملية، يمكن للمهاجمين التلاعب بالضحايا اليائسين مرتين، مرة أثناء الاختراق الأولي، ومرة أخرى أثناء محاولتهم إيجاد طريقة للخروج من الموقف.
لماذا الضحايا عرضة بشكل خاص لهذه الحيلة؟
المنظمات التي تتعرض لهجمات الفدية غالبًا ما تعمل في وضع الأزمات. الأنظمة معطلة، والمديرون التنفيذيون تحت ضغط، وصناع القرار يتدافعون بحثًا عن أي مسار موثوق لاستعادة العمليات. هذه البيئة هي بالضبط ما يجعل "خدمة الاسترداد" المزيفة فعالة. الضحايا لا يقومون بالضرورة بتدقيق كل عرض مساعدة بعين متشككة؛ بل يبحثون عن حل سريع.
هذا التكتيك يعتمد أيضًا على اتجاه أوسع لفاعلي الفدية الذين يطمسون الخط الفاصل بين المهاجم والمساعد. إنه يردد حالات أخرى حديثة حيث انتحل فاعلون تهديديون أدوارًا موثوقة للحصول على الوصول أو النفوذ، مثل مجموعة Silent Ransom Group التي انتحلت صفة موظفي تكنولوجيا المعلومات جسديًا في مكاتب المحاماة للتلاعب بالموظفين من الداخل. سواء حدث الانتحال شخصيًا أو من خلال علامة تجارية استرداد مزيفة، فإن الهدف هو نفسه: استغلال الثقة في اللحظة التي تكون فيها المنظمة أقل قدرة على التحقق من هوية من تتعامل معه فعليًا.
أظهرت مجموعات الفدية أيضًا استعدادها لاستهداف مجموعة واسعة من القطاعات عندما تسنح الفرصة، كما رأينا عندما استهدفت مجموعة SpaceBears مزود الاتصالات الفرنسي Stellar. تشير تكتيكات مثل مخطط "مفككو الفدية" إلى أنه حتى بعد الهجوم الأولي، لا يمكن للضحايا في جميع الصناعات افتراض أن الخطر قد زال بمجرد بدء المفاوضات.
التداعيات الخصوصية لخدمات الاسترداد المزيفة
التداعيات الخصوصية هنا تتجاوز الزاوية المالية. عندما يتعامل الضحية مع ما يعتقد أنه خدمة استرداد شرعية، قد يشارك تفاصيل حساسة حول شبكته، وتعرض بياناته، وعملية اتخاذ القرار الداخلية، وحتى استعداده للدفع. إذا كانت تلك "الخدمة" خاضعة فعليًا للمهاجم أو تابعة له، فإن كل تلك المعلومات تتدفق مباشرة إلى الأشخاص المسؤولين عن الاختراق.
هذا يخلق حلقة تغذية مرتدة تفيد المهاجم في كل مرحلة: يحصل على الدفع، ويحصل على معلومات استخباراتية حول كيفية استجابة الضحية، وقد يحصل حتى على فرصة ثانية لانتزاع المال تحت غطاء المساعدة الشرعية. لأي منظمة تتعامل بالفعل مع بيانات مخترقة، هذا النوع من المخططات يضاعف التعرض بدلاً من حله.
ماذا يعني هذا بالنسبة لك؟
إذا تعرضت مؤسستك يومًا لهجوم فدية، فإن الضغط لإيجاد حل سريع يمكن أن يكون شديدًا، لكن هذا المخطط تذكير بأن ليس كل عرض مساعدة أثناء الأزمة حقيقيًا. يجب دائمًا التحقق من شركات الاسترداد والمفاوضين ومستشاري الأمن السيبراني بشكل مستقل، ويفضل أن يكون ذلك من خلال الإحالات أو السمعة الراسخة أو مزود التأمين السيبراني الخاص بك، بدلاً من جهات اتصال تظهر فجأة دون طلب مباشرة بعد الهجوم.
من الجدير أيضًا تذكير أن شركات الاستجابة للحوادث الشرعية لا تظهر عادةً من العدم بعروض غير مرغوبة مباشرة بعد الاختراق. أي تواصل غير متوقع يدعي المساعدة في مفاوضات الفدية أو استرداد البيانات يستحق تدقيقًا إضافيًا قبل تبادل أي معلومات أو أموال.
خلاصات قابلة للتنفيذ
- تحقق من أي خدمة استرداد أو مفاوضة بعد الحوادث من خلال قنوات موثوقة ومستقلة قبل التواصل معها، خاصة إذا تواصلوا معك أولاً.
- أشرك جهات إنفاذ القانون ومزود التأمين السيبراني مبكرًا؛ يمكنهم المساعدة في التمييز بين شركاء الاسترداد الشرعيين والفاعلين الانتهازيين.
- تجنب مشاركة معلومات مفصلة حول اختراقك أو أنظمتك أو نوايا الدفع مع أي طرف لم يتم تأكيد بيانات اعتماده.
- تعامل مع عروض المساعدة غير المرغوبة بعد الاختراق بنفس الشك الذي ستطبقه على ملاحظة الفدية الأصلية.
مخططات مثل "مفككو الفدية" تُظهر أن ابتزاز الفدية لا ينتهي دائمًا عندما تظهر ملاحظة الفدية. البقاء حذرًا بشأن من تثق به في أعقاب الهجوم لا يقل أهمية عن الدفاع ضد الاختراق الأولي.
