Když se donucovací orgány podívaly za oponu

V únoru 2024 rozložila koalice mezinárodních donucovacích orgánů infrastrukturu stojící za LockBitem, jednou z nejaktivnějších ransomwarových operací poslední doby. Když vyšetřovatelé získali přístup do systémů LockBitu, našli víc než jen důkazy o trestné činnosti. Zjistili, že skupina si ponechávala kopie ukradených dat obětí, i když těmto obětem – často výměnou za platbu – tvrdila, že data byla smazána.

Tento jediný detail je mnohem důležitější, než by se na první pohled mohlo zdát. Po léta zahrnoval standardní scénář pro organizace zasažené ransomwarem i tichou, nepříjemnou možnost: zaplatit výkupné, získat od útočníka slib o smazání dat a jít dál. Odhalení LockBitu potvrzuje to, co mnoho bezpečnostních výzkumníků dlouho tušilo. Tento slib je často bezcenný a oběti to většinou nemají jak zjistit.

Propast mezi tím, co se obětem tvrdí, a tím, co se skutečně děje

Vyjednávání s ransomwarem obvykle probíhají mimo zraky veřejnosti, za účasti firem pro zvládání incidentů, pojistitelů nebo přímo zasažených organizací. Když zločinecká skupina tvrdí, že odcizené soubory smazala, jen výjimečně existuje nezávislý způsob, jak toto tvrzení ověřit. Od obětí se v podstatě očekává, že uvěří na slovo stejnému aktérovi, který se jim vloupal do systémů a data ukradl.

Případ LockBit ukazuje, proč je taková důvěra scestná. I když je zločinecký podnik natolik sofistikovaný, že pro své oběti provozuje fungující „zákaznický servis“ s vyjednávacími portály a certifikáty o smazání, základní motivace cenná ukradená data skutečně zničit prostě neexistuje. Data mají hodnotu pro další prodej, pro nátlak i pro budoucí vydírání. Jejich smazání jde proti zájmům samotného útočníka.

Tento rozpor se málokdy dostane na titulky tak jako oznámení o úniku dat. Společnosti, které v tichosti zaplatí, aby problém „zmizel“, nemají důvod zveřejňovat, že slib o smazání nebyl dodržen – zvlášť když se to nikdy nedozví. Toto mlčení je jedním z důvodů, proč k nepříznivým výsledkům dochází častěji, než naznačují veřejné záznamy. Odstavení infrastruktury LockBitu je jedním z mála případů, kdy propast mezi slibem a skutečností vůbec vyšla najevo, podobně jako zásah Googlu proti hackerské síti napojené na KS Číny strhl oponu z aktivit, které by jinak zůstaly postiženým organizacím skryty.

Proč by to mělo změnit uvažování organizací o ransomwaru

Praktické poučení nespočívá v tom, že zaplatit výkupné je vždy špatně. Každý incident má své vlastní právní, provozní a finanční tlaky a některé organizace mohou stále dospět k závěru, že platba je jejich nejméně špatná možnost. Poučení zní, že platba by nikdy neměla být považována za vyřešení problému s expozicí dat.

Jakmile data opustí kontrolu organizace, měla by být považována za trvale kompromitovaná, bez ohledu na jakékoli následné záruky. To znamená, že oznamovací povinnosti, komunikace se zákazníky a hodnocení rizik musí probíhat tak, jako by odcizená data stále kolovala – protože je velmi pravděpodobné, že kolují. Kybernetické pojistky a plány reakce na incidenty, které počítají s čistým vyřešením po platbě, jsou postaveny na zastaralém a stále více zpochybňovaném předpokladu.

Co to znamená pro vás

Pro jednotlivce, jejichž data mohla být zachycena při úniku spojeném s ransomwarovým útokem, je odhalení LockBitu připomínkou, abyste neslevovali z ostražitosti jen proto, že společnost oznámí, že incident je „vyřešen“. Slib zločinců o smazání není zárukou a vaše informace mohou zůstat v ohrožení ještě dlouho poté, co titulky odezní.

Pro firmy, zejména malé a střední bez specializovaných bezpečnostních týmů, je to argument pro prevenci namísto vyjednávání. Kvalitní zálohování, segmentace sítě a základní hygiena koncových zařízení snižují pravděpodobnost, že se někdy ocitnete v situaci, kdy se budete spoléhat na slovo vyděrače. Prověřit, jak jsou chráněny osobní a profesní účty, včetně toho, zda je citlivý provoz směrován přes zabezpečená spojení, je rozumné místo, kde začít; některé organizace zvažují možnosti, jako jsou ty na stránkách porovnávajících poskytovatele, například IVPN nebo Mozilla VPN, jako součást širší snahy o snížení expozice, byť žádný jednotlivý nástroj nenahradí celkovou bezpečnostní strategii.

Praktické kroky

  • Předpokládejte, že jakákoli data odcizená při ransomwarovém incidentu zůstávají trvale v riziku, i když byl dán slib o jejich smazání.
  • Nenechte platbu výkupného nahradit plné nahlášení úniku a opatření na ochranu zákazníků.
  • Upřednostněte zálohování a segmentaci sítě tak, aby platba útočníkům nikdy nebyla jedinou možností na stole.
  • Pokud jste upozorněni, že vaše data byla součástí úniku, sledujte své účty a úvěrové reporty ještě dlouho po prvotním oznámení.
  • Vyžadujte od každé organizace, která zpracovává vaše data, transparentnost ohledně toho, jak reaguje na ransomwarové incidenty, nejen zda zaplatila.

Odstavení LockBitu nabídlo vzácný, nefiltrovaný pohled na to, jak kybernetické vydírání probíhá ve chvíli, kdy zločinci ztratí kontrolu nad vyprávěním. Považovat sliby o smazání za fakta, a nikoli za neověřená tvrzení nepřátelského aktéra, zanechalo příliš mnoho obětí s falešným pocitem uzavření. Zůstat skeptický a připravený je i nadále lepší dlouhodobá strategie.