Forskere bekræfter ExfilSquads påstande om datalækager
Cybersikkerhedsforskere har underbygget påstande fremsat af ExfilSquad, en afpresningsgruppe, der i de seneste måneder har truet organisationer med offentliggørelse af stjålne data. Ifølge ny analyse har gruppen reelt fået fat i følsomme oplysninger fra mindst 13 organisationer – et fund, der fjerner meget af den tvetydighed, der ofte omgiver afpresningsgruppers påstande, og som bekræfter kampagnens omfang.
Afpresningsgrupper overdriver eller fabrikerer ofte brudpåstande for at presse ofre til at betale, så uafhængig verifikation betyder noget. I dette tilfælde undersøgte forskerne de datasæt, som ExfilSquad distribuerede gennem torrent-netværk, og fandt, at materialet stemte overens med gruppens tidligere udsagn. Selve distributionsmetoden er i sig selv bemærkelsesværdig. I stedet for udelukkende at stole på dark web-lækagesider har ExfilSquad skubbet stjålne data ud i torrent-netværk – en distributionskanal, der spredes hurtigere og er sværere at lukke ned, når først filer begynder at blive seedet på tværs af flere peers.
Bekræftelsen er i tråd med en tidligere rapport, der beskrev, hvordan ExfilSquad har været forbundet med 13 offer-datalækager siden juli, hvilket tyder på, at gruppen har gennemført en vedvarende kampagne snarere end en enkelt opportunistisk hændelse. Konsistensen mellem den tidligere optælling og denne seneste verifikation peger på en gruppe, der er metodisk med at dokumentere og offentliggøre sine påståede angreb.
Et mønster på tværs af sektorer
Det, der springer i øjnene ved ExfilSquads aktivitet, er bredden af de berørte organisationer. Gruppens mål har ikke været begrænset til én branche eller geografi. Tidligere rapportering knyttede gruppen til et brud, der involverede 135.000 britiske politiregistre lækket på det mørke net, og separat til PNLD-bruddet, der påvirkede Storbritanniens Police National Legal Database. At politi- og juridisk infrastruktur står side om side med private virksomheder i samme afpresningsgruppes portefølje understreger, hvor vilkårlige disse kampagner er blevet. Angribere vælger ikke nødvendigvis ofre baseret på sektor; de ser ud til at udnytte al den adgang, de kan få, og tjene penge på det bagefter.
Det mønster har også ramt den private sektor, som det ses i sagen om halvlederproducenten Analog Devices, der oplever et databrud, hvor ExfilSquad truer med lækage. Tilstedeværelsen af en global teknologivirksomhed sammen med regerings- og politiorganer på samme gruppes liste over påståede ofre illustrerer, hvorfor organisationer i næsten alle sektorer er nødt til at behandle afpresningsgruppers aktivitet som en reel trussel frem for at afvise den som støj.
Hvorfor verifikation ændrer regnestykket
Indtil nu har meget af dækningen af ExfilSquad centreret sig om gruppens egne påstande, hvilket er almindeligt i de tidlige faser af en afpresningskampagne. Trusselsaktører lægger ofte delvise prøver eller ubekræftede udsagn ud for at skabe medieopmærksomhed og presse ofre, før fuld autenticitet er etableret. Bekræftelsen af, at mindst 13 organisationer havde ægte data eksponeret, flytter samtalen fra spekulation til etableret fakta, og det hæver indsatsen for enhver organisation, der endnu ikke har fastslået, om den optræder blandt gruppens mål.
For berørte organisationer betyder verificerede lækager, at den sædvanlige incident response-playbook skal anvendes fuldt ud: vurdere, hvilke data der blev taget, underrette tilsynsmyndigheder og berørte personer, hvor det kræves, og overvåge for efterfølgende svindel eller sekundære angreb, der ofte følger efter et bekræftet brud. Torrent-baseret distribution gør især indeslutning vanskelig, da filer kan kopieres og deles igen uafhængigt af ethvert enkelt hosting-punkt – i modsætning til data hostet på en lækageside, der potentielt kan tages offline.
Hvad dette betyder for dig
Hvis du interagerer med en organisation, der er nævnt i forbindelse med ExfilSquads aktivitet – enten som kunde, medarbejder eller partner – er det værd at tjekke, om den pågældende organisation har udsendt en brudmeddelelse. Da politi- og juridiske databaser har været blandt de bekræftede mål, bør personer med enhver tilknytning til britiske politisystemer være særligt opmærksomme på meddelelser fra disse myndigheder. For offentligheden generelt er denne hændelse en påmindelse om, at stjålne personoplysninger i stigende grad ender med at blive distribueret gennem kanaler som torrents, der er mere modstandsdygtige over for nedtagning end traditionelle lækagesider, hvilket betyder, at eksponerede oplysninger kan vedblive og cirkulere i lang tid efter det oprindelige brud.
Handlingsorienterede pointer
Hold øje med officielle meddelelser fra enhver organisation, du har en relation til, for brudnotifikationer knyttet til ExfilSquad. Skift adgangskoder og aktiver multi-faktor-godkendelse på konti forbundet med enhver bekræftet offerorganisation. Overvej at oprette en svindeladvarsel eller kreditspærring, hvis du mener, at dine data var en del af et bekræftet læk, især hvis regerings- eller politiregistre var involveret. Vær skeptisk over for uopfordret kommunikation, der henviser til dine personlige oplysninger, da lækkede data ofte bruges til at konstruere overbevisende phishing-forsøg. Efterhånden som verifikationen af ExfilSquads påstande fortsætter med at udfolde sig, forbliver det at holde sig informeret gennem troværdig rapportering det bedste forsvar mod både selve bruddet og de sekundære svindelnumre, der typisk følger.
