Føderale efterforskere har angiveligt identificeret ledende medarbejdere i to separate virksomheder, der forhandler cyberhændelser, og som havde usædvanligt tætte relationer til afpresningsgruppen ShinyHunters. Ifølge KrebsOnSecurity-reportage opsummeret af Security Arsenal, skulle en amerikanskbaseret ledende medarbejder være gået videre og have hjulpet med at drive det websted, der blev brugt til at presse ofre til at betale. Påstanden om ShinyHunters løsepengeforhandler-afpresningswebsted er stadig netop det, en påstand, men den rejser et svært spørgsmål for alle, hvis data ligger hos en virksomhed, der en dag kan blive udsat for brud: hvem sidder egentlig på den anden side af bordet?
Hvad efterforskerne hævder om forhandlerne og ShinyHunters
Reportagen siger, at føderale efterforskere, der arbejdede med data fra FBI, identificerede ledende medarbejdere i to forhandlingsvirksomheder, som havde tæt kontakt til ShinyHunters. En af dem, en amerikanskbaseret ledende medarbejder, hævdes at have hjulpet med at drive det websted, som gruppen brugte til at presse ofre til at betale løsepenge.
Et par punkter er værd at holde sig for øje. Det tilgængelige resumé redegør ikke for sigtelser, og påstandene stammer fra reportage om, hvad efterforskerne mistænker. Hverken de ledende medarbejdere eller deres virksomheder er navngivet i det materiale, vi har gennemgået, så vi vil ikke spekulere i identiteter. Betragt dette som en historie under udvikling, og forvent, at detaljerne ændrer sig, efterhånden som flere oplysninger bekræftes.
Hvordan løsepengeforhandling og afpresningswebsteder fungerer
Når en virksomhed rammes af datatyveri eller et ransomware-angreb, hyrer den ofte en ekstern virksomhed til at håndtere kommunikationen med angriberne. Disse forhandlere verificerer typisk, hvad der er stjålet, forsøger at reducere kravet og arrangerer betaling, hvis virksomheden beslutter at betale. Fordi de taler direkte med kriminelle, har de følsom viden: hvor meget offeret har råd til at betale, hvilke data der blev taget, og hvor presserende virksomhedens deadline er.
Afpresningswebsteder er presseværktøjet på den anden side. Grupper som ShinyHunters bruger et websted til at navngive ofre, true med at offentliggøre stjålne data og presse virksomheder mod en aftale. Webstedet er en del af salgstalen: jo mere troværdig og skræmmende truslen er, jo mere sandsynligt er det, at et offer betaler.
Derfor er påstanden vigtig. Hvis en forhandler også hjalp med at drive pressewebstedet, kunne den samme person i teorien både være offerets betroede rådgiver og en deltager i truslen. Det er et klassisk eksempel på interessekonflikt, og offeret er måske ikke klar over det.
Hvorfor en interessekonflikt i hændelseshåndtering er vigtig
Hændelseshåndtering afhænger af tillid. En virksomhed, der er blevet udsat for brud, overlader logs, netværksdetaljer og følsomme forretningsoplysninger til de personer, der hjælper den med at komme sig. Hvis nogle af disse rådgivere har bånd til angriberne, kan flere ting gå galt:
- Forhandlingsstyrke kan lække. At kende et offers budget eller deadline hjælper en afpresser med at fastsætte prisen.
- Rådgivning kan være skæv. En rådgiver med interessekonflikt kan skubbe en virksomhed mod at betale i stedet for at komme sig på en anden måde.
- Datahåndtering bliver usikker. Betaling skal angiveligt købe sletning af stjålne data, men som med andre nylige afpresningssager er der ingen måde at være sikker på, at dataene virkelig er væk.
For kunder, patienter, studerende eller medarbejdere, hvis oplysninger ligger inde i den ramte virksomhed, er dette ude af deres hænder. Du vælger ikke forhandleren, og du får sjældent at vide, hvem det var. På brancheniveau er det en grund til at kræve klarere screening og oplysning om interessekonflikter og til, at tilsynsmyndigheder og forsikringsselskaber ser på, hvordan disse virksomheder screenes.
Hvad det betyder for dig
Du kan ikke revidere dine leverandørers partnere inden for hændelseshåndtering. Det, du kan gøre, er at begrænse skaden, hvis dine data ender i de forkerte hænder, uanset hvem der håndterede forhandlingen. Gå ud fra, at en betaling ikke garanterer, at dine oplysninger blev ødelagt, og at stjålne detaljer kan blive genbrugt i opfølgende svindelnumre. Afpresningsgrupper og efterlignere udnytter også nyheder om brud: en falsk ShinyHunters-sextortion-e-mail har for eksempel angiveligt brugt rigtige bruddetaljer til at få trusler til at virke troværdige.
Hvad du skal gøre, hvis en virksomhed, du bruger, udsættes for brud
Når en meddelelse om brud ankommer, skal du handle på den i stedet for at vente på, at historien falder på plads:
- Skift genbrugte adgangskoder. Start med den ramte tjeneste og derefter enhver anden konto, der deler samme adgangskode. Brug en unik adgangskode til hver konto, ideelt set gemt i en adgangskodeadministrator.
- Slå multifaktor-godkendelse til. Foretræk en godkendelsesapp eller hardwarenøgle frem for SMS, hvor det er muligt.
- Hold øje med phishing- og afpresnings-e-mails. Vær skeptisk over for beskeder, der citerer rigtige detaljer om dig og kræver penge eller øjeblikkelig handling. Svar ikke, klik ikke på links, og åbn ikke vedhæftede filer. Gå direkte til virksomhedens officielle websted i stedet.
- Kontroller selve meddelelsen. Bekræft, at den kom fra virksomheden via en kanal, du kan verificere, da angribere efterligner brudmeddelelser.
- Overvåg dine konti. Gennemgå bank- og kreditkortudtog, og overvej en kreditspærring, hvis meddelelsen siger, at finansielle data eller identitetsdata er blevet eksponeret.
Bundlinjen
Den påståede forbindelse mellem en løsepengeforhandler og et ShinyHunters-afpresningswebsted er endnu ikke en afklaret sag, men den viser, hvor meget af brudhåndteringen der hviler på tillid, som enkeltpersoner ikke kan se. Indtil fakta er fuldt fastslået, er den fornuftige tilgang at beskytte dig selv på samme måde hver gang: unikke adgangskoder, multifaktor-godkendelse og en sund skepsis over for enhver besked, der læner sig op ad dine lækkede data for at skræmme dig. Gør disse ting efter enhver brudmeddelelse, og du reducerer værdien af det, angriberne eller deres mellemmænd måtte ligge inde med.
