Когато правоприлагащите органи надникнаха зад завесата

През февруари 2024 г. коалиция от международни правоприлагащи органи разруши инфраструктурата зад LockBit, една от най-плодотворните операции с ransomware в новата история. Това, което разследващите откриха, когато получиха достъп до системите на LockBit, беше повече от просто доказателства за престъпна дейност. Те установиха, че групата е запазила копия на откраднатите данни на жертвите дори след като е уверила същите тези жертви, често в замяна на плащане, че данните са били изтрити.

Тази подробност има много по-голямо значение, отколкото може да изглежда на пръв поглед. В продължение на години стандартният наръчник за организации, засегнати от ransomware, включваше тиха, неудобна опция: плати откупа, получи обещание за изтриване от нападателя и продължи напред. Разкритието за LockBit потвърждава това, което много изследователи по сигурността отдавна подозираха. Това обещание често е безполезно и жертвите често нямат как да го разберат.

Разминаването между това, което се казва на жертвите, и действително случващото се

Преговорите за ransomware обикновено се провеждат далеч от публичното внимание, с посредничеството на фирми за реагиране при инциденти, застрахователи или самите организации жертви. Когато дадена престъпна група твърди, че е изтрила откраднати файлове, почти никога няма независим начин да се провери това твърдение. От жертвите по същество се иска да се доверят на думата на същия актьор, който е проникнал в системите им и е откраднал данните им на първо място.

Случаят с LockBit показва защо това доверие е погрешно. Дори когато едно престъпно предприятие е достатъчно сложно, за да управлява функционираща операция за „обслужване на клиенти“ за своите жертви, включително портали за преговори и сертификати за изтриване, основният стимул действително да унищожи ценните откраднати данни просто не съществува. Данните имат стойност за препродажба, стойност за влияние и стойност за бъдещо изнудване. Изтриването им противоречи на собствените интереси на нападателя.

Тази липса на съответствие рядко попада в заглавията по начина, по който го прави обявяването на пробив. Компаниите, които плащат тихо, за да накарат даден проблем да изчезне, имат малка причина да разгласяват, че обещанието за изтриване не е било спазено, особено ако никога не разберат за това. Това мълчание е част от причината неблагоприятните резултати да се случват по-често, отколкото показват публичните данни. Разбиването на инфраструктурата на LockBit е един от малкото случаи, в които разминаването между обещание и реалност изобщо стана видимо, по много сходен начин с това как прекъсването от Google на хакерска мрежа, свързана с ККП повдигна завесата върху дейност, която иначе би останала скрита от засегнатите организации.

Защо това трябва да промени начина, по който организациите мислят за ransomware

Практическият извод не е, че плащането на откуп винаги е грешният избор. Всеки инцидент има своите правни, оперативни и финансови напрежения и някои организации все още могат да решат, че плащането е най-малко лошият им вариант. Изводът е, че плащането никога не трябва да се третира като разрешение на проблем с излагане на данни.

След като данните напуснат контрола на дадена организация, те трябва да се третират като трайно компрометирани, независимо от всякакви последващи уверения. Това означава, че задълженията за уведомяване, комуникациите с клиентите и оценките на риска трябва да продължат, сякаш откраднатите данни все още циркулират, защото е много вероятно да е така. Политиките за киберзастраховане и плановете за реагиране при инциденти, които предполагат чисто разрешение след плащане, са изградени върху остаряла и все по-дискредитирана предпоставка.

Какво означава това за вас

За физическите лица, чиито данни може да са били погълнати при пробив, свързан с ransomware атака, разкритието за LockBit е напомняне да не сваляте гарда само защото дадена компания обяви, че инцидентът е „разрешен“. Обещанието за изтриване от престъпници не е гаранция и вашата информация може да остане изложена на риск дълго след като заглавията заглъхнат.

За бизнеса, особено за малките и средни предприятия без специализирани екипи по сигурност, това е аргумент за превенция пред преговори. Силните практики за архивиране, мрежовото сегментиране и основната хигиена на крайните устройства намаляват вероятността изобщо да се окажете в ситуация, в която разчитате на думата на изнудвач. Преразглеждането на начина, по който се защитават личните и професионалните акаунти, включително дали чувствителният трафик се насочва през защитени връзки, е разумно място да се започне; някои организации разглеждат опции като тези, открити на страници, сравняващи доставчици като IVPN или Mozilla VPN, като част от по-широките усилия за намаляване на излагането на риск, въпреки че нито един инструмент сам по себе си не замества пълната стратегия за сигурност.

Практически изводи

  • Приемайте, че всички данни, откраднати при инцидент с ransomware, остават в риск за неопределено време, дори ако е дадено обещание за изтриване.
  • Не позволявайте плащането на откуп да замени пълното уведомяване за пробив и мерките за защита на клиентите.
  • Дайте приоритет на архивирането и мрежовото сегментиране, така че плащането на нападателите никога да не е единствената опция на масата.
  • Ако сте уведомени, че вашите данни са били замесени в пробив, наблюдавайте акаунтите и кредитните си отчети дълго след първоначалното съобщение.
  • Настоявайте за прозрачност от всяка организация, която обработва вашите данни, относно начина, по който реагира на инциденти с ransomware, а не само дали е платила.

Разбиването на LockBit предложи рядък, нефилтриран поглед върху това как всъщност се развива киберизнудването, след като престъпниците вече не контролират наратива. Третирането на обещанията за изтриване като факт, а не като непроверени твърдения от враждебен актьор, е оставило твърде много жертви с фалшиво чувство за приключване. Да останете скептични и подготвени остава по-добрата дългосрочна стратегия.