Et dobbelt slag for Hongkongs finansielle sektor

To cybersikkerhedshistorier stødte sammen i Hongkong inden for cirka 24 timer: en ransomware-gruppe, der kalder sig Orova, hævdede brud hos fem Hongkong-virksomheder, herunder mindst én reguleret kapitalforvalter, og Securities and Futures Commission (SFC) uddelte sin første håndhævelsesaktion nogensinde relateret til ransomware. Rapporter viser, at SFC påtalte og idømte et licenseret selskab en bøde på 2,1 millioner HK$ for cybersikkerhedssvigt knyttet til et ransomware-angreb – en straf, som tilsynsmyndighederne fremstillede som et signal om, at den øverste ledelse, og ikke kun it-afdelingerne, bærer ansvaret for cyberrobusthed.

Timingen var ikke så meget et tilfælde som en konvergens. Ransomware-grupper har i stigende grad målrettet finansielle virksomheder, fordi de netop ligger inde med den form for følsomme klientdata, der gør afpresning effektiv, og tilsynsmyndigheder som SFC har i månedsvis signaleret, at de agter at holde licenserede selskaber ansvarlige, når disse forsvar svigter.

Sådan ændrede dobbeltafpresning ransomware-manualen

Traditionel ransomware var på nogle måder et enklere problem. Angribere krypterede ofrets filer og krævede betaling for dekrypteringsnøglen. Organisationer med pålidelige, offline-backups kunne ofte gendanne deres systemer uden at betale en krone og dermed effektivt neutralisere angriberens forhandlingsposition.

Dobbeltafpresning, en taktik som Maze-ransomware-gruppen var pioner for i slutningen af 2019, lukkede det smuthul. I stedet for blot at kryptere filer stjæler angriberne først en kopi af ofrets følsomme data. Selv hvis organisationen kan gendanne fra backups og nægter at betale for dekryptering, har angriberne stadig et andet kort på hånden: de truer med at offentliggøre de stjålne data på en dark web-lækageportal, medmindre der betales en løsesum. Dette ændrer fuldstændig regnestykket. Backups beskytter mod driftsforstyrrelser, men de gør intet for at forhindre et datalæk. Det er præcis det pres, Orova tilsyneladende lægger på sine fem rapporterede ofre i Hongkong.

Dette mønster er ikke unikt for Hongkong eller Orova. Finansielt regulerede enheder overalt har klientdokumentation, transaktionshistorik og identitetsdokumenter, der både er værdifulde for kriminelle og, når de afsløres, dybt skadelige for de personer, hvis data ender på et lækagesite. Det er den samme underliggende risiko, som dukkede op, da et britisk statsligt investeringsagentur afslørede følsomme data tilhørende 51 embedsmænd i omkring 40 timer: når først data er ude, betyder timing og inddæmning enormt meget, men selve afsløringen kan ikke gøres ugjort.

Hvorfor SFC's bøde betyder noget uden for Hongkong

Det, der gør dette øjeblik bemærkelsesværdigt, er ikke blot, at endnu en ransomware-gruppe hævdede at have fået ofre. Det er, at en finansiel tilsynsmyndighed skiftede fra vejledning til håndhævelse. SFC's bøde, der ifølge rapporter er dens første specifikt knyttet til en ransomware-hændelse, sender et signal, der har været under opbygning i den globale finansregulering: cybersikkerhedssvigt behandles ikke længere udelukkende som tekniske hændelser. De er compliance-svigt med reelle økonomiske og omdømmemæssige konsekvenser for virksomheden og i stigende grad for de ledere, der godkender risikostyringen.

Ransomware-grupper behøver ikke at finde en hidtil ukendt zero-day for at komme indenfor. Mange brud starter med langt mere banale svigt: upatchede programmer, svage adgangskontroller eller medarbejdere, der falder for phishing. Det er en del af grunden til, at upatchede sårbarheder forbliver et så vedholdende indgangspunkt; selv højt profilerede fejl som den, der er beskrevet i den seneste rapportering om en upatchet Windows zero-day, illustrerer, hvordan angribere kan udnytte huller, der eksisterer længe før, en patch er tilgængelig. Regulerede virksomheder forventes nu at behandle den form for afsløring som et ledelsesmæssigt anliggende, ikke blot en it-opgave.

Hvad dette betyder for dig

Hvis du er kunde, medarbejder eller partner i en finansiel virksomhed, er hændelser som denne en påmindelse om, at dine datas sikkerhed i høj grad afhænger af beslutninger truffet et godt stykke over it-afdelingen. Bestyrelser og den øverste ledelse hænger nu eksplicit på ansvaret for cyberrobusthed i jurisdiktioner som Hongkong, hvilket over tid bør presse virksomheder mod stærkere grundlæggende beskyttelse: bedre backup-hygiejne, hurtigere patching og strengere adgangskontroller.

For enkeltpersoner har de praktiske råd ikke ændret sig meget, men de betyder mere nu. Overvåg konti hos enhver virksomhed, der oplyser om et brud, vær skeptisk over for uventede henvendelser, der refererer til kontodetaljer, og overvej kreditovervågning, hvis en virksomhed bekræfter, at dine data var en del af et læk. Dobbeltafpresning betyder, at selv virksomheder, der hurtigt gendanner deres systemer, stadig kan have dine data i omløb, så gå ikke ud fra, at en afsluttet ransomware-hændelse betyder, at dine oplysninger er sikre.

Hovedpointer

Orova-brudene og SFC's bøde illustrerer tilsammen, hvor ansvaret for ransomware er på vej hen: tilsynsmyndigheder er ikke længere tilfredse med, at virksomheder blot kommer sig efter et angreb. De vil have bevis for, at virksomhederne tog rimelige skridt til at forhindre et angreb i første omgang. For læserne forbliver de praktiske skridt de samme uanset jurisdiktion: spørg enhver finansiel institution, du samarbejder med, om deres politik for anmeldelse af brud, aktiver multifaktor-godkendelse overalt, hvor det tilbydes, og betragt enhver anmeldelse om brud som en anledning til at gennemgå din egen kontoaktivitet snarere end en rutinemæssig formalitet.