Banka sází na čestnost zločinců

Pokud jde o ransomware, jedním z nejpodivnějších prvků celého kriminálního byznys modelu je slib, který následuje po zaplacení: dejte peníze a my vaše ukradená data smažeme. River Financial Corporation, mateřská společnost alabamské River Bank & Trust, podle všeho vzala tento slib doslova. V hlášení Form 8-K pro Komisi pro cenné papíry a burzy banka uvedla, že „podnikla kroky k pokusu o potlačení dotčených dat, včetně získání prohlášení“ od útočníků – v podstatě písemného ujištění, že ukradené informace budou zničeny. Za pozornost stojí, že hlášení výslovně nepotvrzuje, zda River Bank skutečně zaplatila výkupné, přestože získání takových „prohlášení“ od provozovatelů ransomwaru obvykle probíhá až poté, co dojde k předání peněz.

Toto odhalení přichází v nepříjemnou chvíli pro každého, kdo by měl sklon věřit slibu o smazání dat ze strany ransomwarových skupin. Zásah policie proti ransomwarové operaci LockBit odhalil, že data obětí zůstávala uložena v infrastruktuře skupiny i v případech, kdy oběti již zaplatily vyděračský požadavek. Jinými slovy, políčko s nápisem „data smazána“, na které se tolik společností spoléhá při uzavírání incidentu a uklidňování regulátorů, zákazníků i vlastních správních rad, bylo – alespoň v některých zdokumentovaných případech – jednoduše nepravdivé.

Proč slib o smazání dat od ransomwarové skupiny málokdy obstojí

Celý koncept placení ransomwarovému gangu za smazání dat stojí na zřejmém rozporu: žádáte zločineckou organizaci, která se vloupala do vaší sítě a ukradla citlivé záznamy, aby se dobrovolně vzdala své páky. Neexistuje žádný vymáhací mechanismus, žádná auditní stopa a žádná právní cesta, pokud si skupina kopii ponechá, prodá ji na dark webovém tržišti nebo ji později použije k druhému kolu vydírání. Bezpečnostní výzkumníci dlouhodobě varují, že videa, snímky obrazovky nebo písemná prohlášení dokládající „smazání“ poskytovaná ransomwarovými skupinami jsou z principu neověřitelná. Zásah proti LockBitu jen poskytl pevné důkazy o tom, co mnozí v bezpečnostní komunitě již dávno předpokládali.

Pro finanční instituci to má zásadní význam. Banky drží jedny z nejcitlivějších osobních údajů, jaké existují, včetně čísel sociálního pojištění, údajů o účtech a historie transakcí. Když jsou tato data při průniku exfiltrována, slib zločince, že je smaže, neposkytuje žádnou skutečnou ochranu zákazníkům, jejichž informace byly vystaveny. Nabízí nanejvýš argument do hlášení pro regulátora.

Jak k úniku dat došlo

Incident v River Bank nenastal ve vzduchoprázdnu. Podle dřívějších zpráv z threat intelligence byl únik spojen s neoprávněným aktérem, který získal přístup skrze zranitelnost zastaralého VPN protokolu – detail, který jsme rozebrali v našem dřívějším článku o ransomwarovém incidentu v River Bank & Trust. Zastaralá infrastruktura pro vzdálený přístup zůstává jedním z nejběžnějších vstupních bodů pro ransomwarové skupiny, právě proto, že často leží na okraji sítě, lze ji snadno skenovat a v cyklech správy záplat bývá často přehlížena. Jakmile jsou útočníci uvnitř, typicky se šíří laterálně, vyhledávají cenná úložiště dat a exfiltrují informace dříve, než vůbec spustí ransomwarový payload – to znamená, že ke krádeži dochází často dlouho předtím, než si kdokoli všimne, že je něco v nepořádku.

Co to znamená pro vás

Pokud jste zákazníkem River Bank & Trust nebo jakékoli instituce, která zveřejnila ransomwarový incident, praktická realita je tato: jakýkoli slib útočníků, že vaše data smažou, by neměl být považován za záruku bezpečnosti. Jakmile informace při ransomwarovém útoku opustí firemní síť, je třeba s nimi zacházet jako s trvale kompromitovanými, bez ohledu na to, jaká ujištění jsou později získána. To znamená sledovat své účty a úvěrové zprávy kvůli neobvyklé aktivitě, být ostražití vůči phishingovým pokusům, které odkazují na skutečné detaily účtu (běžná navazující taktika, když se ukradená bankovní data šíří mezi zločineckými skupinami), a zvážit zmrazení úvěru, pokud byla součástí vystavených dat čísla sociálního pojištění nebo čísla účtů.

Pro firmy a finanční instituce, které tento případ sledují, je ponaučení širší. Spoléhat se na slib o smazání dat ze strany ransomwarové skupiny jako na součást strategie reakce na incident, natož jako na něco, co stojí za to sdělovat regulátorům jako zmírňující opatření, vysílá špatný signál o tom, jak vážně organizace přistupuje k ochraně dat. Ověřené zálohy, segmentace sítě a pohotové záplatování infrastruktury pro vzdálený přístup, jako jsou VPN brány, pro ochranu zákaznických dat udělají mnohem víc než jakékoli ujištění vymámené ze zločineckého podniku.

Hlavní poznatky

  • Jakýkoli slib ransomwarové skupiny o smazání ukradených dat považujte za neověřitelný a nevymahatelný, nikoli za skutečnou ochranu.
  • Pokud jste klientem banky, která zveřejnila únik dat, pečlivě sledujte výpisy a úvěrové zprávy a zvažte zmrazení úvěru.
  • V týdnech a měsících po zveřejněném incidentu buďte mimořádně opatrní u phishingových zpráv, které uvádějí přesné detaily účtu nebo osobní údaje.
  • Organizace by měly upřednostnit záplatování známých zranitelností VPN a vzdáleného přístupu, protože zastaralé protokoly zůstávají hlavním vstupním bodem pro ransomwarové skupiny.

S tím, jak vyšetřování ransomwaru stále odhalují propast mezi tím, co zločinecké skupiny slibují a co skutečně dělají, by spotřebitelé i společnosti měli plánovat s tím, že ukradená data nejsou nikdy skutečně pryč – bez ohledu na to, jaké prohlášení ransomwarová skupina písemně poskytne.