Når en stor logistikoperatør bliver ramt af et cyberangreb, handler det første spørgsmål som regel om forsyningskæder. En nylig kommentar spurgte, om cyberangrebet på DP World satte Australiens handel i fare, og svaret var: sandsynligvis ikke, denne gang. Den overskrift er beroligende på den økonomiske front. Den efterlader dog et andet spørgsmål åbent, et som betyder noget for almindelige mennesker: hvad sker der med data, når angribere kommer ind i en stor organisation? Denne guide bruger DP World-hændelsen som casestudie til at forklare ransomware med dobbelt afpresning i klare vendinger.

Hvad skete der i DP World-angrebet

Kildekommentaren rammesætter DP World-hændelsen som en del af en bredere stigning i ransomware. Den peger på angreb knyttet til produktive cyberkriminelle bander, herunder REvil og mere recently LockBit. Dets centrale spørgsmål handler om national handelseksponering, og konklusionen er, at risikoen for Australiens handel sandsynligvis var begrænset ved denne lejlighed.

Det uddrag, vi har adgang til, angiver ikke tekniske detaljer om indtrængningen, så vi vil ikke spekulere i, hvordan angriberne kom ind, hvad de tog, eller hvem der er ansvarlig. Det, kommentaren til gengæld giver, er en klar beskrivelse af, hvordan denne type angreb normalt fungerer. Den beskrivelse er den nyttige del for læserne.

Ransomware med dobbelt afpresning forklaret

Traditionel ransomware var enkel: kriminelle krypterer en organisations filer og kræver betaling for at låse dem op. Hvis offeret havde gode backup, kunne det ofte gendanne systemerne og nægte at betale.

Som kommentaren beskriver det, kører et moderne angreb normalt i to faser:

  1. Data udtrækkes. Angribere kopierer data ud af organisationens systemer.
  2. Data gøres utilgængelige. De originale filer krypteres derefter typisk, så medarbejdere og kunder ikke kan bruge dem.

Organisationen modtager derefter et løsepengekrav for at "låse op" for dataene, ofte betalbart i en kryptovaluta.

Dobbelt afpresning er den tendens, der ændrede regnestykket. Fordi dataene blev kopieret, før de blev låst, har angriberne en anden kilde til magt. Selv hvis et offer gendanner alt fra backup, kan de kriminelle stadig true med at offentliggøre eller sælge det, de tog. At betale for dekryptering og at betale for tavshed bliver to separate pres på samme offer.

Det er derfor, DP World-handelsspørgsmålet og det personlige sikkerhedsspørgsmål er forskellige. En organisation kan fortsætte driften, og økonomien kan ryste forstyrrelsen af sig, mens de stjålne data stadig ligger i kriminelles hænder.

For kontekst om folkene bag disse operationer viser vores rapport om en schweizisk domstol, der idømte en ukrainsk udvikler 13 års fængsel for Nefilim, at ransomware-udviklere til sidst kan stå til ansvar, selvom sagen går tilbage til et angreb i 2020, en påmindelse om, hvor langsomt retfærdigheden bevæger sig sammenlignet med, hvor hurtigt skaden spreder sig.

Hvad stjålne data betyder for enkeltpersoner

De fleste vil aldrig være det direkte mål for en ransomware-bande. Men store organisationer ligger inde med data om kunder, medarbejdere og partnere, og det er dem, der ender på bordet i et dobbeltafpresningsangreb.

Risikoen for dig er sjældent øjeblikkelig. Den har tendens til at opbygges over tid:

  • Lækkede registreringer genbruges. Når personlige oplysninger cirkulerer på kriminelle fora, kan de kombineres med andre lækager for at opbygge en fyldigere profil af dig.
  • Phishing bliver mere overbevisende. En besked, der bruger dit rigtige navn, din arbejdsgiver eller dine kontodetaljer, er langt sværere at genkende som falsk.
  • Identitetsdokumenter er særligt følsomme. I modsætning til en adgangskode kan du ikke bare ændre et scannet kørekort. En påstået liste med 153 millioner kørekortscanninger knyttet til IDScan.net er et godt eksempel på, hvordan lækkede personlige registreringer kan skabe varig risiko, selv når den underliggende påstand stadig vurderes.

Angreb kan også have virkninger ud over data. Da en regering bevidst tog snesevis af systemer ned efter en hændelse, som dækket i vores artikel om Moldova, der tog 82 offentlige tjenester offline, viste det, hvordan forstyrrelse og dataeksponering kan ramme sammen.

Praktiske skridt til at reducere din eksponering

Du kan ikke forhindre en virksomhed, du handler med, i at blive kompromitteret. Du kan begrænse, hvor meget skade en lækage gør på dig.

  • Brug en unik adgangskode til hver konto. En adgangskodeadministrator gør dette realistisk. Hvis én tjeneste lækker, forbliver de andre sikre.
  • Aktivér multifaktorautentificering, især for e-mail, bank og enhver konto knyttet til din identitet.
  • Behandl uventede beskeder med mistanke. Hvis en e-mail eller sms nævner en nylig lækage, så gå selv til organisationens officielle websted i stedet for at klikke på et link.
  • Del mindre. Giv kun organisationer de data, de genuint har brug for, og slet gamle konti, du ikke længere bruger.
  • Hold øje med dine konti. Tjek bank- og kreditkortudtog regelmæssigt, og overvej en kreditrapportspærring eller -advarsel, hvor dit land tilbyder det.
  • Antag aldrig, at en lækagemeddelelse er harmløs. Hvis du får at vide, at dine data var involveret, så skift relevante adgangskoder og vær opmærksom på målrettede svindelnumre i månederne efter.

Hvad det betyder for dig

Overskriftsspørgsmålet om DP World var, om handelen var i fare, og svaret var ifølge kommentaren sandsynligvis ikke denne gang. For enkeltpersoner er den mere varige lektie om data. Under dobbelt afpresning fortryder gendannelse af systemer ikke en tyveri. Dine oplysninger kan forblive i omløb længe efter, at en organisation er kommet sig, og nyhedscyklussen har bevæget sig videre.

Det er ikke en grund til alarm. Det er en grund til at antage, at nogle af dine data til sidst vil blive eksponeret et eller andet sted, og til at indstille dine konti, så eksponeringen er overlevelig.

Centrale pointer

Med ransomware med dobbelt afpresning forklaret er mønsteret klart: stjæl først, krypter derefter, pres derefter offeret to gange. Stram dine vaner nu i stedet for efter en lækagemeddelelse ankommer. Gennemgå dine adgangskoder, aktivér multifaktorautentificering, og vær varsom med beskeder, der ser ud til at vide for meget om dig. For et nærmere kig på, hvordan lækkede registreringer hænger ved, læs vores dækning af IDScan.net-påstanden, og for kontekst om aktørerne bag ransomware, se vores rapport om Nefilim-dommen.