Залагането на една банка на престъпна честност

Когато става въпрос за рансъмуер, една от най-странните части на целия престъпен бизнес модел е обещанието след плащане: дайте парите и ние ще изтрием вашите откраднати данни. River Financial Corporation, компанията майка на базираната в Алабама River Bank & Trust, изглежда е приела това обещание буквално. В подаден формуляр 8-K до Комисията по ценните книжа и борсите, банката разкри, че е „предприела стъпки за опит за потискане на засегнатите данни, включително получаване на уверения“ от нападателите – по същество писмено уверение, че откраднатата информация ще бъде унищожена. Важно е да се отбележи, че документът не потвърждава изрично дали River Bank всъщност е платила откуп, въпреки че получаването на такива „уверения“ от рансъмуер оператори обикновено се случва само след като парите сменят притежателя си.

Това разкритие идва в неудобен момент за всеки, склонен да се довери на обещание за изтриване на данни от рансъмуер. Разбиването на рансъмуер операцията LockBit от правоприлагащите органи разкри, че данни на жертви са били запазени в инфраструктурата на групата дори в случаи, когато жертвите вече са платили искането за изнудване. С други думи, отметката с надпис „данните са изтрити“, на която толкова много компании разчитат, за да приключат инцидента и да успокоят регулатори, клиенти и собствените си бордове, в поне някои документирани случаи просто е била невярна.

Защо обещанието за изтриване на данни от рансъмуер рядко издържа

Цялата концепция да се плати на рансъмуер банда за изтриване на данни се крепи на очевидно противоречие: молите престъпна организация, която е проникнала в мрежата ви и е откраднала чувствителни записи, доброволно да се откаже от лостовете си за влияние. Няма механизъм за прилагане, няма одитна следа и няма правна защита, ако групата запази копие, го продаде на пазар в тъмната мрежа или го използва за втори кръг на изнудване по-късно. Изследователи по сигурността отдавна предупреждават, че „доказателствата за изтриване“ – видеоклипове, снимки на екрани или писмени изявления, предоставени от рансъмуер бандите – са непроверими по замисъл. Разбиването на LockBit просто предостави конкретни доказателства за това, което мнозина в общността по сигурността вече предполагаха.

За финансова институция това има огромно значение. Банките държат едни от най-чувствителните лични данни, които съществуват, включително социалноосигурителни номера, данни за сметки и история на транзакциите. Когато тези данни бъдат извлечени по време на проникване, обещанието на престъпника да ги изтрие не предлага реална защита на клиентите, чиято информация е била изложена на риск. То предлага, в най-добрия случай, тема за разговор за регулаторен документ.

Как се случи пробивът

Инцидентът с River Bank не се случи във вакуум. Според по-ранни доклади на разузнавателни служби за заплахи, пробивът е свързан с достъп на неупълномощен участник чрез уязвимост в остарял VPN протокол – детайл, разгледан в нашето по-ранно отразяване на инцидента с рансъмуер в River Bank & Trust. Остарялата инфраструктура за отдалечен достъп остава една от най-честите входни точки за рансъмуер банди, именно защото често се намира в края на мрежата, лесна е за сканиране и често бива пренебрегвана в циклите на управление на кръпки. Веднъж влязъл вътре, нападателят обикновено се придвижва странично, локализира ценни хранилища с данни и извлича информация, преди дори да задейства полезния товар на рансъмуера, което означава, че кражбата често се случва много преди някой да забележи, че нещо не е наред.

Какво означава това за вас

Ако сте клиент на River Bank & Trust или на която и да е институция, която е разкрила инцидент с рансъмуер, практическата реалност е следната: всяко обещание от нападателите да изтрият вашите данни не трябва да се третира като гаранция за безопасност. Веднъж напуснала мрежата на дадена компания при рансъмуер атака, информацията трябва да се третира като трайно компрометирана, независимо какви уверения бъдат получени по-късно. Това означава да следите сметките и кредитните си отчети за необичайна активност, да бъдете бдителни за опити за фишинг, които цитират реални данни за сметки (често среща последваща тактика, когато откраднати банкови данни циркулират сред престъпни групи), и да обмислите замразяване на кредита, ако социалноосигурителни номера или номера на сметки са били част от набора изложени данни.

За бизнеси и финансови институции, които наблюдават развитието на тази история, урокът е по-широк. Да се разчита на обещание за изтриване на данни от рансъмуер като част от стратегия за реагиране на инциденти, камо ли като на нещо, което си струва да се разкрие пред регулаторите като смекчаваща стъпка, изпраща грешен сигнал за това колко сериозно организацията приема защитата на данните. Проверени резервни копия, сегментиране на мрежата и навременно поставяне на кръпки на инфраструктурата за отдалечен достъп като VPN шлюзове правят далеч повече за защита на клиентските данни, отколкото каквото и да е уверение, изтръгнато от престъпно предприятие.

Изводи

  • Третирайте всяко обещание от рансъмуер група да изтрие откраднати данни като непроверимо и неприложимо, а не като истинска защита.
  • Ако банкирате с институция, която е разкрила пробив, внимателно следете извлеченията и кредитните отчети и обмислете замразяване на кредита.
  • Бъдете особено предпазливи към фишинг съобщения, които цитират точни данни за сметка или лични данни в седмиците и месеците след разкрит инцидент.
  • Организациите трябва да приоритизират поставянето на кръпки на известни уязвимости във VPN и отдалечен достъп, тъй като остарелите протоколи остават водеща входна точка за рансъмуер банди.

Докато разследванията на рансъмуер продължават да разкриват пропастта между това, което престъпните групи обещават, и това, което действително правят, както потребителите, така и компаниите трябва да планират, сякаш откраднатите данни никога не са наистина премахнати, независимо какво писмено уверение предостави рансъмуер бандата.