Според съобщения федерални разследващи са идентифицирали ръководители в две отделни фирми за преговори при киберинциденти, които са поддържали необичайно близки отношения с изнудващата група ShinyHunters. Според репортажа на KrebsOnSecurity, обобщен от Security Arsenal, един ръководител със седалище в САЩ се твърди, че е отишъл по-далеч и е помогнал за управлението на уебсайта, използван за оказване на натиск върху жертвите да платят. Твърдението за изнудващия сайт на преговарящия по откупи на ShinyHunters все още е точно това – твърдение, но то повдига труден въпрос за всеки, чиито данни се намират в компания, която един ден може да бъде компрометирана: кой всъщност е от другата страна на масата?

Какво твърдят разследващите за преговарящите и ShinyHunters

Репортажът твърди, че федерални разследващи, работещи с данни от ФБР, са идентифицирали ръководители в две фирми за преговори, които са имали близък контакт с ShinyHunters. Един от тях, ръководител със седалище в САЩ, се твърди, че е помогнал за управлението на сайта, който групата е използвала, за да оказва натиск върху жертвите да плащат откупи.

Няколко точки заслужават внимание. Наличният текст не излага обвинения, а твърденията идват от репортаж за това, което разследващите подозират. Нито ръководителите, нито техните фирми са назовени в материалите, които прегледахме, така че няма да спекулираме с идентичности. Отнасяйте се към това като към развиваща се история и очаквайте подробностите да се променят с потвърждаването на повече информация.

Как работят сайтовете за преговори за откуп и изнудване

Когато компания бъде засегната от кражба на данни или атака с ransomware, тя често наема външна фирма, която да води комуникацията с атакуващите. Тези преговарящи обикновено проверяват какво е откраднато, опитват се да намалят исканата сума и уреждат плащането, ако компанията реши да плати. Тъй като говорят директно с престъпниците, те притежават чувствителни знания: колко може да си позволи жертвата, какви данни са откраднати и колко спешен е крайният срок на компанията.

Сайтовете за изнудване са инструментът за натиск от другата страна. Групи като ShinyHunters използват уебсайт, за да посочват жертви, да заплашват с публикуване на откраднати данни и да тласкат компаниите към сделка. Сайтът е част от предложението за продажба: колкото по-убедителна и плашеща е заплахата, толкова по-вероятно е жертвата да плати.

Ето защо твърдението е важно. Ако преговарящ също е помагал за управлението на сайта за натиск, същият човек теоретично би могъл да бъде едновременно доверен съветник на жертвата и участник в заплахата. Това е класически конфликт на интереси и жертвата може да не знае за него.

Защо конфликтът на интереси при реагиране на инциденти е важен

Реагирането на инциденти зависи от доверието. Компрометирана компания предоставя логове, подробности за мрежата и чувствителна бизнес информация на хората, които ѝ помагат да се възстанови. Ако някой от тези съветници има връзки с атакуващите, няколко неща могат да се объркат:

  • Лостът за преговори може да изтече. Познаването на бюджета или крайния срок на жертвата помага на изнудвача да определи цената.
  • Съветите може да бъдат изкривени. Съветник с конфликт на интереси може да тласне компанията към плащане, вместо към възстановяване по друг начин.
  • Обработката на данни става несигурна. Плащането уж купува изтриване на откраднатите данни, но, както при други скорошни случаи на изнудване, няма начин да се гарантира, че данните наистина са изчезнали.

За клиенти, пациенти, студенти или служители, чиито записи се намират в компрометираната компания, това е извън техния контрол. Вие не избирате преговарящия и рядко научавате кой е бил. В цялата индустрия това е причина да се изисква по-ясна проверка и разкриване на конфликти на интереси, както и регулаторите и застрахователите да разгледат как се проверяват тези фирми.

Какво означава това за вас

Не можете да одитирате партньорите за реагиране на инциденти на вашите доставчици. Това, което можете да направите, е да ограничите щетите, ако данните ви попаднат в грешни ръце, независимо кой е водил преговорите. Приемете, че плащането не гарантира, че информацията ви е унищожена, и че откраднатите данни може да бъдат използвани повторно в последващи измами. Изнудващите групи и подражателите също се възползват от новините за пробиви: например фалшив имейл за сексуално изнудване от името на ShinyHunters, според съобщения, е използвал истински подробности за пробива, за да направи заплахите правдоподобни.

Какво да направите, ако компания, която използвате, бъде компрометирана

Когато пристигне известие за пробив, действайте, вместо да чакате историята да се изясни:

  1. Сменете повторно използваните пароли. Започнете с компрометираната услуга, след това с всеки друг акаунт, който споделя същата парола. Използвайте уникална парола за всеки акаунт, за предпочитане съхранявана в мениджър на пароли.
  2. Включете многофакторна автентикация. Предпочитайте приложение за автентикация или хардуерен ключ пред SMS, когато е възможно.
  3. Следете за фишинг и изнудващи имейли. Бъдете скептични към съобщения, които цитират истински подробности за вас и изискват пари или спешни действия. Не отговаряйте, не кликвайте на връзки и не отваряйте прикачени файлове. Вместо това отидете директно на официалния сайт на компанията.
  4. Проверете самото известие. Потвърдете, че е дошло от компанията чрез канал, който можете да проверите, тъй като атакуващите имитират известия за пробиви.
  5. Наблюдавайте акаунтите си. Преглеждайте банковите и кредитните извлечения и обмислете замразяване на кредита, ако известието съобщава, че са били изложени финансови или идентификационни данни.

Заключение

Предполагаемата връзка между преговарящ по откуп и изнудващ сайт на ShinyHunters все още не е установен случай, но тя показва колко голяма част от реагирането на пробиви разчита на доверие, което отделните хора не могат да видят. Докато фактите не бъдат напълно установени, разумният подход е да се защитавате по един и същ начин всеки път: уникални пароли, многофакторна автентикация и здравословна доза подозрение към всяко съобщение, което разчита на изтеклите ви данни, за да ви уплаши. Правете тези неща след всяко известие за пробив и ще намалите стойността на каквото и да държат атакуващите или техните посредници.