Смело твърдение, все още без потвърждение

Група за рансъмуер публично твърди, че е проникнала в системите на голям доставчик на платежни услуги, като заявява, че е изтекла огромно количество данни: приблизително 86,7 милиона записа на сесии, заедно с вътрешни карти на инфраструктурата. Групата също така е отправила заплахи, насочени към осем физически локации, свързани с компанията. Според репортаж на CybersecAsia нито едно от тези твърдения не е независимо потвърдено и, което е показателно, не е оповестено публично искане за откуп.

Тази комбинация от конкретика (точен брой записи, подробности за инфраструктурата и заплахи, свързани с локации) е предназначена да изглежда достоверна и тревожна. Но в света на изнудването чрез рансъмуер подобни твърдения се публикуват преди да е извършена каквато и да е форензична проверка. Именно в тази разлика между твърдение и потвърждение потребителите и бизнесът трябва да проявяват предпазливост, а не паника.

Защо непотвърдените твърдения за рансъмуер заслужават scrutinи

Групите за рансъмуер и изнудване с данни все по-често използват публични твърдения като тактика за натиск, понякога дори преди жертвата да е потвърдила, че е имало проникване. Публикуването на число, което привлича вниманието, като 86,7 милиона записа на сесии, служи за двойна цел: оказва натиск върху предполагаемата жертва да преговаря и генерира медийно отразяване, което засилва репутацията на групата в подземни форуми.

Записите на сесии заслужават специално разбиране. За разлика от пълните бази данни с акаунти, съдържащи пароли или финансови данни, записите на сесии обикновено улавят метаданни за активността на потребителя: времеви марки на влизане, информация за устройство или браузър, IP адреси и понякога токени за удостоверяване. Това не ги прави безобидни. Данните от сесии потенциално могат да бъдат използвани за отвличане на активни входове, очертаване на потребителското поведение или изграждане на профили за последващи фишинг кампании. Но чувствителността на данните от сесии се различава съществено от breaches на пълни номера на платежни карти или съхранени идентификационни данни.

Липсата на оповестено искане за откуп също е показателна. Някои групи пропускат изцяло фазата на преговори и преминават директно към публично засрамване, особено когато вярват, че самите откраднати данни или заплахата от публикуването им са достатъчен лост. Заплахите срещу физически локации добавят още един слой на безпокойство, което подсказва, че групата може да се опитва да сигнализира оперативна дълбочина отвъд чисто дигиталното проникване, макар че отново това остава непотвърдено.

Този модел наподобява други скорошни инциденти с изнудване, при които киберпрестъпни групи твърдяха за мащабна кражба на данни от големи компании, преди всички подробности да бъдат потвърдени. Вишинг атаката срещу Cushman & Wakefield, например, включваше подобна динамика: известна заплаха група публично пое отговорност и посочи конкретен брой записи, свързани с голяма фирма, като инцидентът по-късно беше потвърден по официални канали. Тези случаи показват защо журналистите, изследователите по сигурност и засегнатите компании обикновено изчакват форензично потвърждение, преди да третират твърденията за breach като факт.

Последици за поверителността за клиентите на платежни доставчици

Ако използвате платежна платформа, независимо дали за онлайн пазаруване, абонаменти или преводи между хора, инциденти като този са напомняне колко метаданни тези платформи натрупват за вашето поведение. Само записите на сесии могат да разкрият модели: кога влизате, от какви устройства и потенциално към кои услуги се свързвате. В грешни ръце дори нефинансовите метаданни могат да подхранят целенасочен фишинг или опити за социално инженерство.

Докато платежен доставчик потвърди или отрече breach, клиентите остават в неудобна позиция: без официални указания, но с публично твърдение, което циркулира и посочва техния доставчик на финансови услуги. Самата тази несигурност е риск за поверителността, тъй като може да бъде използвана от измамници, които изпращат фалшиви имейли за „уведомяване за breach“, възползвайки се от объркването.

Какво означава това за вас

Засега третирайте това конкретно твърдение като непотвърдено, но заслужаващо наблюдение. Ако сте клиент на голям платежен доставчик и видите репортажи за потенциален breach, избягвайте да кликвате върху връзки в нежелани имейли, които твърдят, че предлагат „компенсация“ или „проверка“ във връзка с инцидента — това са често срещани последващи измами след всяко високопрофилно твърдение за breach, потвърдено или не.

Вместо това отидете директно на официалния уебсайт или приложение на платежния доставчик, за да проверите за съобщения за сигурност. Прегледайте скорошната си история на транзакциите за нещо необичайно и обмислете включването на многофакторно удостоверяване, ако още не сте го направили, тъй като откраднатите данни от сесии понякога могат да бъдат използвани за опити за отвличане на акаунти.

Практически изводи

  • Не приемайте, че твърдението на група за рансъмуер е точно, докато посочената компания или независими изследователи не го потвърдят.
  • Внимавайте за фишинг имейли, които се възползват от объркването около непотвърдени заглавия за breach.
  • Включете многофакторно удостоверяване на всички платежни или финансови акаунти, които го поддържат.
  • Периодично преглеждайте активността на влизане и свързаните устройства в платежните си акаунти.
  • Следете официалните изявления на доставчика, вместо да разчитате единствено на форуми за breach от трети страни или твърдения в социалните медии.

Докато тази история се развива, vpn.social ще продължи да следи дали платежният доставчик потвърждава инцидента и какви, ако има такива, клиентски данни в крайна сметка ще бъдат потвърдени като компрометирани.