Пробуждане за 50 милиона долара за BigLaw

Някои от най-престижните адвокатски кантори в Съединените щати, включително Weil Gotshal & Manges, WilmerHale и Goodwin Procter, са платили общо близо 50 милиона долара на група за кибер изнудване през последните няколко месеца. Това, което прави този случай особено обезпокоителен, не е само цифрата. А начинът, по който се разви атаката. Не бяха криптирани никакви системи. Нямаше заключен екран, брояч за обратно броене или традиционно бележка за откуп с искане за плащане, за да се отключат замразените файлове. Това беше по-тиха, по-хирургична форма на ransomware, изградена около откраднати данни, а не около парализирана инфраструктура.

За индустрия, която съхранява едни от най-чувствителните данни в съществуването, от привилегировани комуникации с клиенти до финансови записи и подробности за сливания, този инцидент е напомняне, че дори най-добре ресурсно осигурените институции могат да бъдат изненадани.

Защо Ransomware не винаги изглежда като Ransomware

Класическият образ на ransomware атака включва компания, която се събужда и открива, че всеки файл е криптиран, и съобщение, изискващо криптовалута за възстановяване на достъпа. Тази версия на ransomware все още съществува, но атакуващите все повече се насочват към различен модел: първо тихо извеждат данни, след това заплашват да ги изтекат или продадат, освен ако не бъде направено плащане. Не е необходимо криптиране. Не е необходимо системите да спрат да работят. Влиянието идва изцяло от заплахата за разкриване.

Тази промяна е важна, защото променя това как изглежда „откриването“. Традиционният ransomware се обявява в момента, в който файловете се заключват. Изнудването с данни, от друга страна, може да се случи тихо, понякога в продължение на седмици или месеци, преди жертвата дори да осъзнае, че информацията е напуснала мрежата им. Адвокатските кантори са особено привлекателни цели за този подход, защото данните, които съхраняват — стратегия за съдебни спорове, финансови разкрития, лична информация за клиенти — често са по-ценни, ако останат поверителни, отколкото ако бъдат просто изтрити.

Този сценарий не е уникален за правната индустрия. Подобни тактики на изнудване са използвани срещу компании далеч извън правния сектор. В Австралия атакуващ публично заплаши да изтече милиони клиентски файлове, освен ако Origin Energy не плати, а енергийният гигант Shell се оказа в позиция да разследва твърдения на групата Cl0p, че е откраднала близо 89GB фирмени данни. Общата нишка във всички тези случаи е, че истинската вреда не е заключената система. А самите данни и това какво се случва, ако станат публични.

Какво означава това за вас

Ако сте клиент на адвокатска кантора, счетоводна практика или друга организация, която обработва чувствителни лични или финансови записи, този инцидент е полезно напомняне, че сигурността на данните не е гарантирана само защото дадена институция е голяма, утвърдена или добре финансирана. Репутацията и ресурсите не се превръщат автоматично в силни практики за киберсигурност.

Ако работите в среда на професионални услуги, особено в счетоводна или адвокатска кантора, изводът е по-директен: моделът на заплахи за вашата фирма трябва да отчита кражбата на данни, а не само прекъсването на системите. Плановете за архивиране и възстановяване, които се подготвят само за криптирани файлове, няма да помогнат, ако реалният риск е изтичане на поверителна клиентска информация. Застраховките за киберсигурност, плановете за реагиране при инциденти и стратегиите за комуникация с клиентите трябва да отразяват тази реалност.

Практически защити, които си заслужава да бъдат приоритизирани

Няколко конкретни стъпки могат значително да намалят излагането на този тип атака. Силно криптиране на данните в покой и при предаване ограничава това, което атакуващите реално могат да използват, дори ако успеят да получат достъп до файлове. Редовните, тествани архиви остават важни, не защото отменят изтичането на данни, а защото гарантират, че операциите могат да продължат без необходимост от преговори с атакуващите. Сегментирането на мрежата е друга ключова защита: като ограничава доколко може да се придвижи натрапник, след като влезе в мрежата, фирмите намаляват шансовете един компрометиран акаунт да доведе до пробив в цялата фирма.

Архитектурата с нулево доверие, която изисква непрекъснато потвърждаване на потребители и устройства, вместо да приема доверие въз основа на мрежовото местоположение, е особено ефективна срещу вида странично движение, което превръща един компрометиран вход в събитие за извеждане на данни от цялата фирма. Комбинирани със строги контроли за достъп, многофакторно удостоверяване и наблюдение за необичайни трансфери на данни, тези мерки значително затрудняват атакуващите тихо да събират големи обеми чувствителна информация, преди някой да забележи.

Изводът

50-те милиона долара, платени от тези BigLaw кантори, подчертават по-широка промяна в това как ransomware и кибер изнудването всъщност работят днес. Атакуващите вече не се нуждаят от заключване на нито един файл, за да причинят сериозна вреда — те просто се нуждаят от достъп до правилните данни и достатъчно търпение, за да ги извлекат тихо. За адвокатските кантори, счетоводните практики и всяка организация, на която е поверена чувствителна клиентска информация, урокът е ясен: криптирането, сегментирането, тестваните архиви и принципите на нулево доверие вече не са допълнителни опции. Те са основни изисквания за защита на хората, които ви се доверяват с най-личната си информация.