Швейцарски съд постанови присъда от близо 13 години на 52-годишен украинец, признат за виновен за разработването на рансъмуер щама Nefilim, с което приключва дело, чиито корени датират от кибератака през 2020 г. срещу Stadler Rail. Присъдата е едно от по-значимите наказателни производства срещу рансъмуер, проведени в европейска съдебна зала, и предлага полезен поглед върху това как всъщност работят рансъмуер операциите и какво се случва, когато жертвите откажат да платят.

От инцидент със зловреден софтуер до осъждане за рансъмуер

Когато Stadler Rail беше атакувана през 2020 г., компанията първоначално не използва думата „рансъмуер“. По онова време тя описа инцидента само като свързан със зловреден софтуер, който „най-вероятно е довел до изтичане на данни“, и заяви, че атакуващите са се опитали да изнудят голяма сума пари, заплашвайки да публикуват откраднати файлове, ако откупът не бъде платен. Stadler отказа да плати тогава, точно както направи и след отделен инцидент тази година. Този отказ постави началото на наказателно разследване, което в крайна сметка идентифицира лицето зад кода на рансъмуера Nefilim, използван при атаката.

Nefilim беше част от вълна от рансъмуер семейства, които съчетаваха криптиране на файлове с кражба на данни — тактика, често наричана двойно изнудване. Вместо просто да заключат системите на жертвата, операторите първо извличаха чувствителни файлове, а след това заплашваха да ги публикуват публично, ако жертвата не плати. Този подход оказваше допълнителен натиск върху организациите, тъй като дори силна стратегия за архивиране не можеше да предпази от репутационните и регулаторните последици от публично изтичане на данни. По-ранното ни отразяване на процеса срещу рансъмуер в Цюрих описва подробно как прокурорите изградиха делото си, настоявайки за 12-годишна присъда, преди съдът в крайна сметка да наложи наказание от близо 13 години.

Защо това дело е важно отвъд Швейцария

Наказателните производства срещу рансъмуер, които водят до дълги присъди лишаване от свобода, остават сравнително редки, главно защото много оператори работят от юрисдикции, които затрудняват екстрадицията или ареста. Това дело е забележително именно защото доведе до идентифицирано конкретно лице, наказателен процес и съществена присъда, постановена от швейцарски съд. То показва, че правоприлагащите органи и прокурорите могат при някои обстоятелства успешно да проследят рансъмуер код до неговия разработчик и да го подведат под отговорност години след първоначалната атака.

Делото също така потвърждава модел, който се появява многократно при инциденти с рансъмуер: жертвите, които отказват да платят, не се сблъскват непременно с по-лоши последици, а плащането на откуп не дава никаква гаранция, че откраднатите данни няма да бъдат изтекли така или иначе. Решението на Stadler Rail да не плати през 2020 г. и отново тази година съответства на препоръките на изследователи по сигурността и правоприлагащите агенции, които като цяло съветват да не се финансират рансъмуер операции, тъй като плащането не отменя пробива и често финансира по-нататъшна престъпна дейност.

Какво означава това за вас

За повечето читатели това дело не е пряка заплаха, но е напомняне как всъщност функционират рансъмуер операциите зад кулисите. Атаки като тази срещу Stadler Rail обикновено започват с откраднати идентификационни данни, фишинг имейли или експлоатирани уязвимости в софтуера, а не с някаква неудържима сила. Хората, които пишат и разгръщат рансъмуер код, са личности, които в някои случаи могат да бъдат идентифицирани, преследвани и осъдени, дори години след като атаката е извършена.

Ако работите в организация, която обработва чувствителни данни, това дело подчертава колко е важно да се приема, че всеки успешен пробив може да включва кражба на данни, а не само криптиране. Само стратегиите за архивиране не са достатъчни. Организациите се нуждаят от планове за реакция при инциденти, които отчитат възможността за изтекли файлове, и трябва да решат позицията си относно плащането на откуп преди да се случи атака, а не по време на хаоса от нея. За отделните потребители изводът е подобен на това, което отдавна препоръчваме: силни, уникални пароли, многофакторна автентикация и внимателно боравене с имейл прикачени файлове и връзки остават най-ефективните защити срещу техниките за първоначален достъп, които правят рансъмуер атаките възможни на първо място.

Основни изводи

Тази присъда показва, че рансъмуер операторите не са недосягаеми и че търпеливата разследваща работа може в крайна сметка да свърже даден зловреден код с човека, който го е написал. За организациите делото потвърждава стойността на отказа да се плаща откуп и на подготовката за сценарии с изтичане на данни, вместо да се приема, че криптирането е единственият риск. За отделните хора това е напомняне, че рансъмуер атаките почти винаги започват с банален провал в сигурността — слаба парола, непатчна система или успешен фишинг опит — всички от които са предотвратими с основни хигиенни практики за сигурност. Тъй като все повече дела за рансъмуер стигат до съдилищата, очаквайте продължаващо внимание към това как тези операции се финансират, управляват и в крайна сметка биват разбивани.