Føderale efterforskere, der jagter hackergruppen ShinyHunters, som for nylig stjal yderst følsomme oplysninger fra FBI, har efter sigende identificeret ledere med tilknytning til sagen. Ifølge en rapport, der oprindeligt blev offentliggjort af Krebs on Security, mistænker efterforskerne, at en løsepengeforhandler drev ShinyHunters' afpresningswebsted. Hvis det viser sig at være sandt, vil det sætte spotlys på en del af cyberkriminalitetsøkonomien, som de fleste aldrig ser.
De detaljer, der hidtil er tilgængelige, er begrænsede, og intet her udgør en bevist konklusion. Dette indlæg holder sig til det, der er rapporteret, og forklarer, hvad det kan betyde for alle, hvis data ligger i en virksomhedsdatabase.
Hvad efterforskerne påstår om ShinyHunters' afpresningswebsted
Rapporteringen siger, at amerikanske føderale efterforskere, som jagter ShinyHunters, efter at gruppen stjal yderst følsomme data fra FBI, nu mistænker, at en person, der arbejdede som løsepengeforhandler, stod bag gruppens afpresningswebsted. Resuméet angiver også, at efterforskerne har identificeret ledere, selvom den tilgængelige tekst ikke præciserer, hvilke virksomheder eller personer der er involveret.
Fordi kildematerialet er kortfattet, forbliver flere spørgsmål åbne: om der vil følge sigtelser, hvordan den formodede forbindelse blev fastslået, og hvilken rolle en eventuel virksomhed spillede. Mistanke er ikke en domfældelse, og læsere bør behandle påstanden som en beskyldning, indtil myndighederne siger mere.
Det, der gør historien bemærkelsesværdig, er den mulige overlapning af roller. En forhandler bliver normalt hyret af et offer til at håndtere angriberne. En forhandler, der også driver presskampagnen, ville sidde på begge sider af bordet.
Hvordan afpresning i ShinyHunters-stil fungerer
Grupper i denne kategori fokuserer typisk på at stjæle data frem for kun at låse systemer. Det grundlæggende mønster er ligetil:
- Angribere får adgang til en virksomheds systemer eller konti og kopierer følsomme data.
- De kontakter offeret med et krav, ofte med en deadline.
- Et afpresningswebsted bruges til at navngive ofre, vise bevis for tyveriet og true med offentliggørelse.
- Hvis offeret ikke betaler, kan de stjålne registreringer blive lækket eller solgt.
Læksiden er presværktøjet. Offentlige lister skaber omdømmemæssig risiko, advarer kunder og myndigheder og presser ledere mod en hurtig beslutning. Det er derfor, identiteten på den, der driver sådan et websted, betyder så meget for efterforskerne: det er hele operationens fordør.
Hvorfor løsepengeforhandlere og mellemled er under lup
Forhandlere og genopretningsfirmaer eksisterer, fordi mange organisationer ikke har erfaring med at håndtere kriminelle. De rådgiver om prissætning, verificerer, om stjålne data er ægte, og håndterer nogle gange betaling. Den adgang til følsomme oplysninger og den tillid skaber en klar risiko for interessekonflikt, hvis et mellemled tjener på netop den forbrydelse, det er hyret til at løse.
Denne bekymring er ikke rent teoretisk. Vores dækning af MonsterCloud-ejeren, der er anklaget for en løsepengefaktureringsordning på 19 mio. dollar, beskriver påstande om, at et genopretningsfirma opkrævede ofre langt mere, end det i hemmelighed betalte angriberne. ShinyHunters-sagen er anderledes i sine detaljer og er fortsat ubevist, men begge historier rejser det samme spørgsmål: hvor meget bør et offer stole på de mennesker, det hyrer i en krise?
Hvad det betyder for dig
De fleste vil aldrig forhandle med en afpresningsgruppe. Men du kan være kunde, patient, medarbejder eller kontohaver hos en virksomhed, der gør. Den praktiske lære er at antage, at når dine data først er i en tredjeparts varetægt, kan de i sidste ende blive afsløret, uanset om virksomheden betaler eller ej.
At betale en løsesum garanterer ikke sletning. Stjålne data kan kopieres, videresælges eller lækkes senere. Den sikrere tankegang er at begrænse, hvad et enkelt brud kan gøre ved dig.
Lækkede kontaktoplysninger og ordreregistreringer bruges almindeligvis til målrettede svindelnumre. Vores artikel om Asus eShop-databrud og phishing-risiko viser, hvordan selv et brud uden betalingsdata kan føre til overbevisende phishing-beskeder.
Sådan reducerer du din eksponering, når en virksomhed udsættes for et brud
Du kan ikke kontrollere, hvordan en virksomhed beskytter dine registreringer, men du kan mindske skaden:
- Brug en adgangskodeadministrator. Unikke adgangskoder til hver konto betyder, at én lækage ikke låser op for andre.
- Slå multifaktor-godkendelse til. Foretræk app-baserede eller hardwaremetoder frem for SMS, hvor det er muligt.
- Aktivér overvågning af databrud. Advarsler fortæller dig, når din e-mail eller dine legitimationsoplysninger optræder i lækkede data, så du kan handle hurtigt.
- Del færre data. Giv kun tjenester, hvad de virkelig har brug for, og brug separate e-mailadresser til forskellige formål.
- Vær skeptisk over for uventede beskeder. Efter enhver brudmeddelelse bør du behandle e-mails, sms'er og opkald, der refererer til din konto, med forsigtighed og gå direkte til det officielle websted i stedet for at klikke på links.
Vigtige pointer
Mistanken om, at en løsepengeforhandler drev ShinyHunters' afpresningswebsted, er en påstand, og flere detaljer vil være afgørende. Ikke desto mindre understreger den en holdbar pointe: afpresning via datatyveri trives på pres, og folkene i midten er ikke altid neutrale. Beskyt dig selv ved at stramme dine adgangskoder, aktivere MFA, holde øje med brudadvarsler og udlevere så få personlige data som muligt. For mere om, hvad der sker efter en lækage, kan du læse om Asus eShop-phishingrisiko og MonsterCloud-faktureringspåstandene.
