En banks væddemål på kriminel ærlighed

Når det kommer til ransomware, er en af de mest besynderlige dele af hele den kriminelle forretningsmodel det løfte, der følger efter betaling: giv os pengene, så sletter vi dine stjålne data. River Financial Corporation, moderselskabet til River Bank & Trust i Alabama, ser ud til at have taget det løfte for pålydende. I en Form 8-K-indberetning til Securities and Exchange Commission oplyste banken, at den "tog skridt for at forsøge at undertrykke de berørte data, herunder at indhente erklæringer" fra angriberne, i det væsentlige en skriftlig forsikring om, at de stjålne oplysninger ville blive destrueret. Bemærkelsesværdigt er det, at indberetningen ikke udtrykkeligt bekræfter, om River Bank faktisk betalte en løsesum, selvom det at opnå sådanne "erklæringer" fra ransomware-operatører typisk kun sker, efter at penge har skiftet hænder.

Denne offentliggørelse falder på et akavet tidspunkt for enhver, der er tilbøjelig til at stole på et ransomware-løfte om datasletning. Retshåndhævelsens nedlæggelse af LockBits ransomware-operation afslørede, at ofrenes data blev opbevaret af gruppens infrastruktur, selv i tilfælde hvor ofrene allerede havde betalt afpresningskravet. Med andre ord var afkrydsningsfeltet mærket "data slettet", som så mange virksomheder stoler på for at lukke hændelsen og berolige tilsynsmyndigheder, kunder og deres egne bestyrelser, i hvert fald i nogle dokumenterede tilfælde simpelthen falsk.

Hvorfor et ransomware-løfte om datasletning sjældent holder

Hele konceptet med at betale en ransomware-bande for datasletning hviler på en åbenlys modsigelse: man beder en kriminel organisation, der brød ind i ens netværk og stjal følsomme data i første omgang, om frivilligt at opgive sit forhandlingskort. Der findes ingen håndhævelsesmekanisme, intet revisionsspor og ingen retlig mulighed, hvis gruppen beholder en kopi, sælger den på en dark web-markedsplads eller bruger den til en ny afpresningsrunde senere. Sikkerhedsforskere har længe advaret om, at "bevis for sletning"-videoer, skærmbilleder eller skriftlige erklæringer fra ransomware-grupper er uverificerbare af design. Nedlæggelsen af LockBit satte blot hårde beviser bag det, mange i sikkerhedsverdenen allerede havde antaget.

For en finansiel institution betyder dette enormt meget. Banker ligger inde med nogle af de mest følsomme persondata, der findes, herunder socialsikringsnumre, kontodetaljer og transaktionshistorik. Når disse data eksfiltreres under et indtrængen, giver en forbryders løfte om at slette dem ingen reel beskyttelse for de kunder, hvis oplysninger blev eksponeret. Det tilbyder i bedste fald et argument at bruge i en myndighedsindberetning.

Hvordan bruddet skete

Hændelsen hos River Bank opstod ikke i et vakuum. Ifølge tidligere trusselsrapporter var bruddet knyttet til, at en uautoriseret aktør fik adgang gennem en sårbarhed i en forældet VPN-protokol – en detalje, der er udforsket i vores tidligere dækning af ransomware-hændelsen hos River Bank & Trust. Forældet infrastruktur til fjernadgang forbliver en af de mest almindelige indgangspunkter for ransomware-grupper, netop fordi den ofte sidder i kanten af netværket, er let at scanne efter og ofte overses i opdateringscyklusser. Når de først er inde, bevæger angriberne sig typisk sidelæns, finder værdifulde datalagre og eksfiltrerer oplysninger, før de overhovedet udløser en ransomware-payload, hvilket betyder, at tyveriet ofte finder sted længe før nogen opdager, at noget er galt.

Hvad dette betyder for dig

Hvis du er kunde hos River Bank & Trust eller kunde hos en institution, der har offentliggjort en ransomware-hændelse, er den praktiske virkelighed denne: ethvert løfte fra angriberne om at slette dine data bør ikke behandles som en sikkerhedsgaranti. Når oplysninger først har forladt en virksomheds netværk i et ransomware-angreb, bør de betragtes som permanent kompromitteret, uanset hvilke forsikringer der senere opnås. Det betyder, at du skal holde øje med dine konti og kreditrapporter for usædvanlig aktivitet, være på vagt over for phishing-forsøg, der henviser til rigtige kontodetaljer (en almindelig opfølgningstaktik, når stjålne bankdata cirkulerer blandt kriminelle grupper) og overveje en kreditfrys, hvis socialsikringsnumre eller kontonumre var en del af de eksponerede data.

For virksomheder og finansielle institutioner, der følger denne historie, er lektionen bredere. At stole på et ransomware-løfte om datasletning som en del af en incident response-strategi, for slet ikke at tale om at afsløre det over for tilsynsmyndigheder som et formildende skridt, signalerer det forkerte om, hvor alvorligt en organisation behandler databeskyttelse. Verificerede sikkerhedskopier, netværkssegmentering og hurtig opdatering af fjernadgangsinfrastruktur som VPN-gateways gør langt mere for at beskytte kundedata, end nogen forsikring aftvunget fra et kriminelt foretagende nogensinde kunne.

Hovedpointer

  • Behandl enhver ransomware-gruppes løfte om at slette stjålne data som uverificerbart og ikke-retsligt håndhæveligt, ikke en ægte beskyttelse.
  • Hvis du har bankforretninger med en institution, der har offentliggjort et brud, skal du nøje overvåge udtog og kreditrapporter og overveje en kreditfrys.
  • Vær ekstra forsigtig med phishing-beskeder, der refererer til nøjagtige konto- eller personoplysninger i ugerne og månederne efter en offentliggjort hændelse.
  • Organisationer bør prioritere at patche kendte sårbarheder i VPN- og fjernadgangsprotokoller, da forældede protokoller forbliver en førende indgangsport for ransomware-grupper.

Efterhånden som ransomware-undersøgelser fortsat afslører kløften mellem, hvad kriminelle grupper lover, og hvad de faktisk gør, bør både forbrugere og virksomheder planlægge, som om stjålne data aldrig rigtigt forsvinder, uanset hvilken skriftlig erklæring en ransomware-gruppe giver.