En nyligt synlig gruppe, der kalder sig ScarlettGroup, tiltrækker opmærksomhed fra trusselsintelligens-forskere. Dataafpresningsgruppen ScarlettGroup driver et læksite på dark web og er blevet kædet sammen med brudpåstande mod organisationer, herunder VinSolutions og Yale University Press. For de fleste er det vigtige punkt ikke gruppen selv. Det er, hvordan data taget fra en virksomhed kan ende med at påvirke kunder, som aldrig har hørt om dem, der ligger inde med dem.

Hvem ScarlettGroup er, og hvad de har påstået

Ifølge trusselsintelligens-rapportering fra Foresiet er ScarlettGroup en fremvoksende dataafpresningsgruppe. Dens fodaftryk omfatter et læksite på dark web og aktivitet i undergrundsfora, hvor grupper som denne annoncerer, hvad de hævder at have taget.

To lister skiller sig ud. I den ene påstod en trusselsaktør, der bruger navnet ScarlettGroup, at have stjålet customer relationship management (CRM)-data fra automotive-softwareudbyderen VinSolutions. Vores tidligere dækning af SCARLETTGROUP VinSolutions CRM-brudpåstand dækker, hvad der blev offentliggjort. I den anden offentliggjorde gruppen, hvad den fremstiller som et Yale University Press-brud på BreachForums, beskrevet i vores artikel om Yale University Press-data brudpåstand.

Et forbehold er vigtigt her. Dette er påstande fremsat af gruppen, ikke bekræftede fund. Afpresningsaktører har incitament til at overdrive, og en listning på et læksite beviser ikke omfanget eller indholdet af en eventuel tyveri. Behandl dem som signaler værd at holde øje med, ikke som fastslåede fakta.

Hvordan læksite-afpresning fungerer

Dataafpresning adskiller sig fra klassisk ransomware på ét punkt. Ransomware låser systemer og kræver betaling for en dekrypteringsnøgle. Dataafpresningsgrupper fokuserer på selve de stjålne oplysninger og truer med at offentliggøre dem, medmindre offeret betaler.

Læksitet er pressværktøjet. Det sædvanlige mønster ser sådan ud:

  1. Adgang og tyveri. Angriberne kommer ind i et system og kopierer data.
  2. Listning. Offerets navn vises på gruppens læksite, ofte med en prøve som bevis.
  3. Pres. Gruppen sætter en deadline. Offentlige rapporter om ScarlettGroup beskriver nedtællingstimere på dark web, der bruges til at true med frigivelse af virksomhedsdata.
  4. Frigivelse eller salg. Hvis målet ikke betaler, kan dataene blive offentliggjort eller solgt i undergrundsfora.

Fordi presset kommer fra offentlig eksponering, kan listningen i sig selv skade en organisations omdømme, før nogen har verificeret påstanden. Samtidig har de personer, hvis oplysninger måske ligger i dataene, ingen plads ved forhandlingsbordet.

Hvad dette betyder for dig

Hvis du er kunde hos en virksomhed, der er nævnt på et læksite, er du tredjepart i tvisten. Du har ikke gjort noget forkert, men dine oplysninger kan være løftestangen.

Risikoen afhænger af, hvad der blev taget. CRM-data indeholder for eksempel typisk kontaktoplysninger og registreringer af kundeinteraktioner. Udgiver- eller institutionsdata kan omfatte navne, e-mails og kontooplysninger. Vi kan ikke sige præcis, hvad ScarlettGroup ligger inde med, og gruppens påstande er ikke blevet uafhængigt verificeret. Men de realistiske forbrugerrisici ved denne type eksponering er velkendte:

  • Målrettet phishing. Svindlere kan henvise til et reelt forretningsforhold for at få beskeder til at virke legitime.
  • Angreb med genbrug af legitimationsoplysninger. Hvis adgangskoder blev eksponeret, og du genbruger dem, bliver andre konti sårbare.
  • Identitetsmisbrug og svindel. Personlige oplysninger kan hjælpe nogen med at udgive sig for at være dig over for en bank, en teleudbyder eller en supportdesk.

Intet af dette er en grund til panik. Det er en grund til at handle tidligt, fordi omkostningen ved at stramme dine konti er lille sammenlignet med at rydde op efter svindel.

Trin til at reducere din eksponering

Du kan ikke kontrollere, om en virksomhed, du bruger, bliver udsat for et brud. Du kan kontrollere, hvor meget skade stjålne data kan gøre.

  • Tjek, om du er berørt. Hold øje med meddelelser fra virksomheder, du har haft med at gøre, og tjek din e-mail mod en velrenommeret tjeneste til underretning om databrud.
  • Brug unikke adgangskoder. En password manager gør dette praktisk. Hvis ét websted lækker din adgangskode, forbliver de andre beskyttet.
  • Slå multifaktor-godkendelse til. Foretræk en authenticator-app eller hardwarenøgle frem for SMS, hvor det er muligt.
  • Vær skeptisk over for uventede beskeder. Hvis en e-mail eller sms nævner et bilkøb, en bilforhandler eller en bogbestilling, du ikke forventede, så gå direkte til virksomhedens officielle websted i stedet for at klikke.
  • Hold øje med dine finansielle konti. Gennemgå kontoudtog, og overvej en kreditspærring, hvis følsomme identifikatorer kan være blevet eksponeret.
  • Hold software opdateret. Dette begrænser, hvad angribere kan gøre med enhver adgang, de opnår.

En VPN kan beskytte din trafik på utroepålidelige netværk, men den gør intet ved data, der allerede er gemt på en virksomheds servere. Kontohygiejne er det mere relevante forsvar her.

Konklusionen

Dataafpresningsgruppen ScarlettGroup er stadig fremvoksende, og meget om dens metoder og rækkevidde er ubekræftet. Det, der er klart, er modellen: stjæl data, list offeret offentligt, og brug truslen om frigivelse som løftestang. Det sætter almindelige kunder i skudlinjen.

Start med at tjekke, om du har forretningsforbindelser med nogen af de navngivne organisationer, og stram derefter dine adgangskoder og aktivér multifaktor-godkendelse. For detaljer om specifikke lister kan du læse vores dækning af VinSolutions-brudpåstanden og Yale University Press-brudpåstanden og holde øje med officielle meddelelser fra de involverede virksomheder.