Какво всъщност казват твърденията на Rhysida и Akira

Две групи за ransomware добавиха нови имена към списъците си с жертви. Rhysida е поела отговорност за атака, свързана с Берлин, докато Akira е включила компания, идентифицирана като Alumax. Както е типично за тези публикации, публичната информация е оскъдна. Няма подробно разкриване кои системи евентуално са били достъпени, колко данни са били взети, какъв метод е използван за първоначален достъп, каква сума на откупа се иска или как операциите в Alumax евентуално са били засегнати.

Това е важен контекст за всеки, който се опитва да разбере новините. Публикация в сайта за изтичане на данни на група за ransomware е, преди всичко, твърдение, направено от самите нападатели. Тя не е същото като потвърдено разкриване на пробив от организацията жертва, регулаторен доклад или независим форензичен отчет. Бандите за ransomware използват тези публикации като тактика за натиск, предназначена да тласне жертвата към плащане, преди ситуацията да бъде напълно проверена от външни страни. Читателите, които следят ситуацията в Берлин, могат да получат повече контекст от предишното ни отразяване на атаката с ransomware на Rhysida срещу правителството на Берлин, която избухна точно преди насрочен вот.

Защо непроверените публикации за ransomware все пак заслужават реакция

Изкушаващо е да отхвърлим непроверено твърдение като шум, но това би било грешка. Публикация за жертва може да представлява всичко — от блъф за изнудване в ранен етап до напълно изпълнен пробив с вече източени чувствителни данни. Самата несигурност е смисълът: операторите на ransomware печелят от двусмислието, защото то им купува време и лостове, докато целевата организация трескаво се опитва да разбере какво всъщност се е случило вътрешно.

За всеки, който може да има връзка с която и да е от двете посочени организации — като служител, клиент, партньор или жител, в случая на държавен орган — най-безопасната позиция е да третира твърдението като правдоподобно, докато не се докаже обратното. Чакането за официално потвърждение, преди да се предприемат защитни действия, може да остави значителен прозорец на уязвимост. Историята показва колко бързо тези ситуации могат да ескалират от твърдение до потвърден мащабен инцидент. Предишният ни доклад за пробив с ransomware в болница, който изложи близо 338 000 пациентски досиета, е напомняне, че това, което започва като публикация в сайт за изтичане на данни, може да се превърне в много реален, много мащабен пробив на данни, след като подробностите бъдат потвърдени.

Стъпки, които да предприемете, ако смятате, че данните ви са изложени

Ако вярвате, че може да сте засегнати от твърденията за Берлин или Alumax, или от подобна публикация за ransomware, има конкретни стъпки за жертви на ransomware пробив, които можете да предприемете веднага, вместо да чакате официално потвърждение:

  • Сменете паролите, свързани с организацията. Ако имате акаунт със засегнатия субект, актуализирайте паролата си незабавно и избягвайте да я използвате повторно другаде.
  • Активирайте многофакторно удостоверяване навсякъде, където е налично, особено за имейл, банкиране и всички акаунти, които споделят модел на парола с потенциално засегнатата услуга.
  • Следете за опити за фишинг. Пробивите с ransomware често водят до вълна от последващи фишинг имейли или обаждания, които се позовават на инцидента, за да изглеждат легитимни. Отнасяйте се с подозрение към неочаквани съобщения, които се позовават на пробива.
  • Наблюдавайте финансова и идентификационна активност. Проверявайте банковите извлечения и обмислете замразяване на кредита или сигнал за измама, ако организацията обработва чувствителни лични или финансови данни.
  • Търсете официални изявления. Следвайте проверени комуникации от самата организация, местни регулатори или утвърдени новинарски източници, вместо да разчитате единствено на твърденията на групата за ransomware.
  • Документирайте всичко. Ако по-късно получите известие за пробив, пазете записи за всяка подозрителна активност, възникнала през това време. Това може да помогне, ако трябва да оспорите измамни такси или да подадете сигнал.

Тези стъпки важат в широк смисъл, независимо дали става въпрос за градско правителство като Берлин или частна компания като Alumax. Целта е да намалите личната си уязвимост, независимо как в крайна сметка бъде разрешено основното твърдение.

Как действа натискът за изнудване и защо плащането не гарантира изтриване

Групи като Rhysida и Akira разчитат на познат сценарий: открадват или твърдят, че открадват данни, заплашват с публично разкриване или продажба и оказват натиск върху организацията жертва да плати преди краен срок. Самата публикация често е първият етап от тази кампания за натиск, предназначена да генерира публично внимание и да тласне преговорите напред.

Дори когато организацията жертва плати, няма гаранция, че откраднатите данни действително са изтрити или че няма да изплуват по-късно — независимо дали са продадени на друга страна, изтекли въпреки плащането или използвани в последващ опит за изнудване. Ето защо хората, свързани с обявена организация жертва, не трябва да чакат да видят дали откупът е платен, преди да предприемат собствени предпазни мерки. Финансовата транзакция между организация и нейните нападатели, ако изобщо се случи, има малко общо с това дали вашата лична информация вече е била копирана и разпространена другаде.

Какво означава това за вас

Независимо дали твърдението на Rhysida срещу Берлин или на Akira срещу Alumax някога ще бъде напълно потвърдено, практическият съвет за всеки потенциално засегнат не се променя особено. Твърденията за ransomware съществуват в сива зона между слух и потвърден инцидент, и точно тази несигурност е причината проактивните стъпки за жертви на ransomware пробив да са важни. Действието в ранен етап струва малко и ви защитава, ако най-лошият сценарий се окаже верен.

Ключови изводи

  • Отнасяйте се към твърденията на групите за ransomware като правдоподобни, но непроверени, докато официален източник не потвърди подробностите.
  • Сменете паролите и активирайте многофакторно удостоверяване за всички акаунти, свързани с потенциално засегната организация.
  • Бъдете бдителни за фишинг съобщения, които се позовават на пробива, за да изглеждат достоверни.
  • Наблюдавайте финансовите си акаунти и обмислете кредитна защита, ако чувствителни данни може да са замесени.
  • Помнете, че плащането на откуп от организацията жертва не гарантира, че данните ви са безопасни или изтрити.

Да останете информирани и да действате бързо остава най-добрата защита, докато тези твърдения си проправят път към потвърждение или разрешение.