رهان بنك على أمانة المجرمين

عندما يتعلق الأمر ببرمجيات الفدية، فإن أحد أغرب جوانب نموذج الأعمال الإجرامي بأكمله هو الوعد الذي يلي الدفع: سلّم المال، وسنقوم بحذف بياناتك المسروقة. يبدو أن شركة ريفر المالية، الشركة الأم لبنك ريفر آند ترست ومقره ألاباما، قد أخذت هذا الوعد على ظاهره. ففي إيداع للنموذج 8-K لدى هيئة الأوراق المالية والبورصات، أفصح البنك أنه "اتخذ خطوات لمحاولة قمع البيانات المتضررة، بما في ذلك الحصول على تعهدات" من المهاجمين، وهي في الأساس ضمانة مكتوبة بأن المعلومات المسروقة ستُدمر. ومن الجدير بالذكر أن الإيداع لا يؤكد صراحة ما إذا كان بنك ريفر قد دفع فدية بالفعل، رغم أن الحصول على مثل هذه "التعهدات" من مشغلي برمجيات الفدية لا يحدث عادة إلا بعد تبادل الأموال.

يأتي هذا الإفصاح في لحظة محرجة لأي شخص يميل إلى الثقة بوعد حذف بيانات برمجيات الفدية. فقد كشفت عملية إنفاذ القانون لإسقاط عملية برمجيات الفدية لوكبيت أن بيانات الضحايا كانت محفوظة في البنية التحتية للمجموعة حتى في الحالات التي كان الضحايا قد دفعوا فيها طلب الابتزاز بالفعل. بعبارة أخرى، فإن خانة الاختيار المسماة "بيانات محذوفة" التي تعتمد عليها شركات كثيرة لإغلاق الحادث وطمأنة المنظمين والعملاء ومجالس إدارتها، كانت، في بعض الحالات الموثقة على الأقل، مجرد كذبة.

لماذا نادراً ما يصمد وعد حذف بيانات برمجيات الفدية

المفهوم الكامل لدفع عصابة برمجيات فدية مقابل حذف البيانات يقوم على تناقض واضح: أنت تطلب من منظمة إجرامية، تلك التي اقتحمت شبكتك وسرقت سجلات حساسة في المقام الأول، أن تتخلى طواعية عن ورقة الضغط الخاصة بها. لا توجد آلية إنفاذ، ولا سجل تدقيق، ولا ملاذ قانوني إذا احتفظت المجموعة بنسخة، أو باعتها في سوق للويب المظلم، أو استخدمتها لجولة ابتزاز ثانية لاحقاً. لطالما حذر الباحثون الأمنيون من أن مقاطع فيديو "إثبات الحذف"، أو لقطات الشاشة، أو البيانات المكتوبة التي تقدمها أطقم برمجيات الفدية غير قابلة للتحقق بطبيعتها. لقد وضع إسقاط لوكبيت ببساطة دليلاً مادياً وراء ما كان كثيرون في مجتمع الأمن يفترضونه بالفعل.

بالنسبة للمؤسسة المالية، هذا مهم بشكل هائل. تحتفظ البنوك ببعض أكثر البيانات الشخصية حساسية في الوجود، بما في ذلك أرقام الضمان الاجتماعي، وتفاصيل الحسابات، وسجلات المعاملات. عندما يتم تسريب هذه البيانات خلال اختراق، فإن وعد المجرم بحذفها لا يوفر أي حماية فعلية للعملاء الذين تعرضت معلوماتهم. إنه يقدم، في أحسن الأحوال، نقطة حوار لملف تنظيمي.

كيف حدث الاختراق

حادثة بنك ريفر لم تحدث من فراغ. وفقاً لتقارير استخبارات التهديدات السابقة، كان الاختراق مرتبطاً بوصول جهة غير مصرح لها من خلال ثغرة في بروتوكول VPN قديم، وهو تفصيل تم استكشافه في تغطيتنا السابقة لحادثة برمجيات الفدية لبنك ريفر آند تراست. البنية التحتية للوصول عن بعد القديمة تبقى واحدة من أكثر نقاط الدخول شيوعاً لعصابات برمجيات الفدية، تحديداً لأنها غالباً ما تكون على حافة الشبكة، وسهلة المسح للبحث عنها، وكثيراً ما يتم تجاهلها في دورات إدارة التحديثات. بمجرد الدخول، يتحرك المهاجمون عادةً جانبياً، ويحددون مخازن البيانات القيمة، ويُسرّبون المعلومات قبل تفعيل حمولة برامج الفدية على الإطلاق، مما يعني أن السرقة تحدث غالباً قبل أن يلاحظ أي شخص وجود خطب.

ماذا يعني هذا لك

إذا كنت عميلاً لبنك ريفر آند تراست، أو عميلاً لأي مؤسسة أفصحت عن حادثة برامج فدية، فإن الواقع العملي هو: أي وعد من المهاجمين بحذف بياناتك لا ينبغي التعامل معه كضمان أمان. بمجرد أن تغادر المعلومات شبكة الشركة في هجوم برامج فدية، يجب التعامل معها على أنها مُخترَقة بشكل دائم، بغض النظر عن التطمينات التي يتم الحصول عليها لاحقاً. هذا يعني مراقبة حساباتك وتقارير الائتمان الخاصة بك بحثاً عن أي نشاط غير عادي، والتيقظ لمحاولات التصيد التي تشير إلى تفاصيل حساب حقيقية (تكتيك متابعة شائع عندما تدور بيانات مصرفية مسروقة بين المجموعات الإجرامية)، والنظر في تجميد الائتمان إذا كانت أرقام الضمان الاجتماعي أو أرقام الحسابات جزءاً من مجموعة البيانات المُعرَّضة.

بالنسبة للشركات والمؤسسات المالية التي تراقب تطور هذه القصة، الدرس أوسع. الاعتماد على وعد حذف بيانات برامج الفدية كجزء من استراتيجية الاستجابة للحوادث، ناهيك عن كونه شيئاً يستحق الإفصاح للمنظمين كخطوة مخففة، يرسل إشارة خاطئة عن مدى جدية تعامل المؤسسة مع حماية البيانات. النسخ الاحتياطية التي تم التحقق منها، وتقسيم الشبكة، والتصحيح الفوري للبنية التحتية للوصول عن بعد مثل بوابات VPN تفعل أكثر بكثير لحماية بيانات العملاء من أي ضمان يُستخلص من مشروع إجرامي على الإطلاق.

نقاط رئيسية

  • تعامل مع أي وعد من مجموعة برامج فدية بحذف البيانات المسروقة على أنه غير قابل للتحقق وغير قابل للتنفيذ، وليس كضمانة حقيقية.
  • إذا كنت تتعامل مصرفياً مع مؤسسة أفصحت عن خرق، راقب كشوف الحسابات وتقارير الائتمان عن كثب، وفكر في تجميد الائتمان.
  • كن حذراً جداً من رسائل التصيد التي تشير إلى تفاصيل دقيقة للحساب أو تفاصيل شخصية في الأسابيع والأشهر التالية لحادثة مُفصح عنها.
  • يجب على المؤسسات إعطاء الأولوية لتصحيح ثغرات VPN والوصول عن بعد المعروفة، حيث تظل البروتوكولات القديمة نقطة دخول رئيسية لعصابات برامج الفدية.

مع استمرار تحقيقات برامج الفدية في كشف الفجوة بين ما تعد به المجموعات الإجرامية وما تفعله فعلاً، يجب على كل من المستهلكين والشركات التخطيط كما لو أن البيانات المسروقة لم تختفِ حقاً أبداً، بغض النظر عن التعهد الذي تقدمه عصابة برامج الفدية كتابياً.