Budíček za 50 milionů dolarů pro velké právní firmy
Některé z nejprestižnějších právnických firem ve Spojených státech, včetně Weil Gotshal & Manges, WilmerHale a Goodwin Procter, údajně zaplatily kybernetické vyděračské skupině za posledních několik měsíců dohromady téměř 50 milionů dolarů. Na tomto případu není znepokojující jen samotná částka. Jde o to, jak útok proběhl. Žádné systémy nebyly zašifrovány. Nebyla zde žádná uzamčená obrazovka, žádné odpočítávání ani tradiční výkupné oznámení požadující platbu za odemčení zmrazených souborů. Šlo o tišší a preciznější formu ransomware, postavenou na odcizených datech spíše než na ochromené infrastruktuře.
Pro odvětví, které drží některé z nejcitlivějších informací, jaké existují, od privilegované komunikace s klienty přes finanční záznamy až po detaily fúzí, je tento incident připomínkou, že i ty nejlépe vybavené instituce mohou být zaskočeny.
Proč ransomware nevypadá vždy jako ransomware
Klasický obraz útoku ransomware zahrnuje firmu, která se probudí a zjistí, že má každý soubor zašifrovaný a zprávu požadující kryptoměnu pro obnovení přístupu. Tato verze ransomware stále existuje, ale útočníci se stále více přesouvají k jinému modelu: nejprve tiše exfiltrují data a poté vyhrožují jejich zveřejněním nebo prodejem, pokud nebude zaplaceno. Není potřeba žádné šifrování. Žádné systémy nemusí spadnout. Páka pochází výhradně z hrozby odhalení.
Tento posun je důležitý, protože mění to, jak vypadá „detekce". Tradiční ransomware se ohlásí v okamžiku, kdy se soubory uzamknou. Vydírání dat může naopak probíhat tiše, někdy týdny nebo měsíce, než si oběť vůbec uvědomí, že informace opustily její síť. Právnické firmy jsou pro tento přístup obzvláště atraktivními cíli, protože data, která drží – strategie pro soudní spory, finanční zveřejnění, osobní informace klientů – jsou často cennější, pokud zůstanou důvěrná, než kdyby byla jednoduše smazána.
Tento scénář není specifický pouze pro právní odvětví. Podobné vyděračské taktiky byly použity i proti společnostem daleko mimo právní sektor. V Austrálii útočník veřejně pohrozil zveřejněním milionů souborů zákazníků, pokud Origin Energy nezaplatí, a energetický gigant Shell vyšetřoval tvrzení skupiny Cl0p, že odcizila téměř 89 GB firemních dat. Společným jmenovatelem všech těchto případů je, že skutečná škoda není uzamčený systém. Jsou to samotná data a to, co se stane, pokud se dostanou na veřejnost.
Co to znamená pro vás
Pokud jste klientem právnické firmy, účetní kanceláře nebo jakékoli organizace, která zpracovává citlivé osobní či finanční záznamy, je tento incident užitečnou připomínkou, že bezpečnost dat není zaručena jen proto, že je instituce velká, zavedená nebo dobře financovaná. Pověst a zdroje se automaticky nepromítají do silných postupů kybernetické bezpečnosti.
Pokud pracujete v prostředí profesionálních služeb, zejména v účetní nebo právnické firmě, je ponaučení přímější: model hrozeb vaší firmy musí počítat s krádeží dat, nejen s výpadkem systému. Plány zálohování a obnovy, které se připravují pouze na zašifrované soubory, nepomohou, pokud je skutečným rizikem únik důvěrných informací o klientech. Pojištění proti kybernetickým rizikům, plány reakce na incidenty a komunikační strategie s klienty musí tuto realitu odrážet.
Praktická obrana, kterou stojí za to upřednostnit
Několik konkrétních kroků může výrazně snížit expozici vůči tomuto typu útoku. Silné šifrování dat v klidu i při přenosu omezuje, co mohou útočníci skutečně použít, i když se k souborům dostanou. Pravidelné a testované zálohy zůstávají důležité, ne proto, že vrátí zpět únik dat, ale protože zajistí, že provoz může pokračovat bez nutnosti vyjednávat s útočníky. Segmentace sítě je další klíčovou obranou: omezením toho, jak daleko se vetřelec může pohybovat uvnitř sítě, firmy snižují šanci, že jeden kompromitovaný účet povede k narušení celé firmy.
Architektura zero-trust, která vyžaduje průběžné ověřování uživatelů a zařízení namísto předpokládání důvěry na základě umístění v síti, je obzvláště účinná proti druhu laterálního pohybu, který mění jediné kompromitované přihlášení v celofiremní exfiltraci dat. V kombinaci s přísnými přístupovými kontrolami, vícefaktorovou autentizací a monitorováním neobvyklých přenosů dat tato opatření výrazně ztěžují útočníkům tichý sběr velkých objemů citlivých informací dříve, než si toho někdo všimne.
Závěrem
50 milionů dolarů vyplacených těmito velkými právnickými firmami podtrhuje širší posun v tom, jak ransomware a kybernetické vydírání dnes skutečně fungují. Útočníci už nepotřebují zamknout jediný soubor, aby způsobili vážnou škodu – stačí jim přístup ke správným datům a dostatek trpělivosti je tiše získat. Pro právnické firmy, účetní kanceláře a jakoukoli organizaci, které jsou svěřeny citlivé informace o klientech, je ponaučení jasné: šifrování, segmentace, testované zálohy a principy zero-trust už nejsou volitelné doplňky. Jsou základními požadavky na ochranu lidí, kteří vám svěřují své nejintimnější informace.
