Атака с ransomware срещу неправителствена организация, която обслужва оцелели от трафик на хора, повдигна нова тревога сред изследователите по киберсигурност, не заради техническата сложност, а заради това кой е жертвата. Групата зад инцидента, известна като CRPx0, публикува организацията на своя сайт в даркнет мрежата за изтичане на данни и заяви, че е ексфилтрирала лични, финансови, оперативни и управленски данни, преди да заплаши да ги публикува, освен ако неправителствената организация не плати. Според анализ, публикуван от Ransom-ISAC, организацията подкрепя оцелели от трафик на хора — група, която вече е изложена на повишен риск от вреди, ответни действия и повторна виктимизация.

Какво твърди CRPx0, че е откраднала и защо това има значение

Според публикацията на сайта за изтичане на данни на CRPx0, прегледана от Ransom-ISAC, групата твърди, че е получила достъп до широк набор от категории данни: лични записи, финансови документи, оперативни файлове и управленски материали. За повечето организации пробив, засягащ тези четири категории, вече би бил сериозен. За неправителствена организация, чиято цяла клиентска база се състои от оцелели от трафик, залозите са драстично по-високи. Личните данни на оцелелите могат да включват идентифициращи данни, досиета по случаи и информация за контакти, които, ако бъдат разкрити, биха могли да върнат хората в пряк контакт с лицата или мрежите, които са ги експлоатирали.

CRPx0 е активен оператор на двойно изнудване в множество сектори. Ransom-ISAC и други изследователи преди това са документирали твърденията на групата срещу турските операции на Hyundai, където тя твърди, че е откраднала чувствителни данни, свързани с регионалния бизнес на автомобилния производител, което илюстрира, че групата не се ограничава до един единствен отрасъл или тип жертви. За читателите, които искат да разберат механизма на това как се случва, обяснение за това как работят атаките с двойно изнудване на CRPx0 разглежда типичния подход на групата: първо открадни данните, второ криптирай системите и използвай заплахата от публично разкриване като лост, дори ако откупът не бъде платен.

Защо неправителствените организации, обслужващи уязвими групи от населението, са приоритетни цели

Групите за ransomware избират целите си въз основа на проста калкулация: колко натиск може да бъде приложен и колко вероятно е жертвата да плати, за да спре натискът. Неправителствените организации, които обслужват оцелели от трафик, се намират в неудобно пресичане на тази калкулация. Тези организации обикновено работят с ограничени ИТ бюджети и малки екипи по сигурност, което ги прави по-лесни за пробив от добре финансирана корпорация. В същото време чувствителността на данните, които притежават, и потенциалът за реални вреди, ако тези данни изтекат, дава на атакуващите необичайно силен лост.

Това е модел, наблюдаван и другаде в сферата на неправителствените и социалните услуги, където организациите управляват силно лични записи, но често нямат инфраструктурата за сигурност на по-големите институции. Това отразява динамика, наблюдавана в други сектори, обработващи чувствителни лични данни, като здравеопазването, където пробивите в болници и доставчици на грижи многократно са излагали на риск персонал и пациенти чрез слабости в системи на трети страни. Общата нишка е, че атакуващите все повече осъзнават, че чувствителността на данните, а не размерът на организацията, определя стойността на изнудването.

Двойната вреда: плащане на откуп срещу риск от повторно излагане на оцелелите

Това, което прави този инцидент различен от типичен корпоративен случай с ransomware, е двойният характер на заплашващата вреда. При стандартен пробив основната грижа е финансова: измама, кражба на самоличност или разходите за отстраняване на щетите. Тук калкулацията включва второ, по-човешко измерение. Ако CRPx0 изпълни заплахата си да публикува данни на оцелели, самото разкриване се превръща във форма на вторична вреда, потенциално информирайки трафикантите за местоположението на оцелелия, правния му статус или сътрудничеството му с властите и разследващите.

Тази структура на двойна вреда поставя неправителствените организации в особено трудна позиция, когато решават как да отговорят на искане за откуп. Плащането на откуп не дава гаранция, че откраднатите данни ще бъдат изтрити или запазени поверителни — точка, подчертана в по-широките изследвания върху групите за двойно изнудване. В същото време неплащането крие риск от публично оповестяване на записи, които биха могли да застрашат точно хората, които организацията съществува, за да защити.

Как организациите с мисия могат да укрепят практиките си за данни

Неправителствените организации, обработващи чувствителни клиентски данни, могат да предприемат конкретни стъпки, за да намалят излагането си на този вид атаки. Ограничаването на съхранението на данни е едно от най-ефективните: организациите трябва да пазят само личната информация, от която наистина се нуждаят, толкова дълго, колкото е необходимо, и да унищожават останалото. Сегментирането на мрежите, така че системите за управление на случаи да бъдат изолирани от общите административни системи, също може да ограничи докъде може да стигне натрапник, след като влезе.

Многофакторното удостоверяване на всички акаунти с достъп до клиентски записи е основна мярка, която спира много от първоначалните техники за достъп, на които разчитат групите за ransomware. Редовните, тествани офлайн резервни копия намаляват натиска да се плати откуп за възстановяване на операциите, въпреки че не правят нищо за предотвратяване на заплахата от изтичане на данни. Накрая, организациите трябва да имат план за реагиране при инциденти, който конкретно отчита възможността за излагане на чувствителни клиентски данни, включително как и кога да уведомят засегнатите лица.

Какво означава това за вас

Ако подкрепяте, доброволствате или получавате услуги от неправителствена организация, която обработва чувствителни лични данни, този инцидент е напомняне, че дори малките организации с мисия са активни цели за атаки с ransomware срещу неправителствени организации и конкретно срещу данни на оцелели от трафик. Ако някога сте споделяли лична информация с организация за услуги на оцелели, е разумно да попитате какви мерки за защита на данните имат и как биха ви уведомили в случай на пробив. За самите организации този случай е сигнал да преразгледат практиките си за минимизиране на данните сега, а не след като инцидентът се случи.

Изводи

Атака с ransomware срещу неправителствена организация, обслужваща оцелели от трафик, демонстрира, че групите за двойно изнудване ще се насочат към всяка организация, съхраняваща чувствителни данни, независимо от размера или мисията ѝ. Читателите и организациите могат да реагират, като настояват за по-силно минимизиране на данните, многофакторно удостоверяване и сегментиране на мрежите в неправителствените организации, обработващи информация за уязвими групи. За по-широк поглед върху това как тези атаки се развиват технически, разборът на двойното изнудване на CRPx0 предлага полезна информация, докато случаят с Hyundai Turkey показва как същата група действа срещу големи корпоративни цели, подчертавайки, че никой сектор не е извън обсега.