En kampagne med dataafpresning i Sydkorea har givet et resultat, der næsten ser komisk ud på papiret: 38 organisationer blev udvalgt, data blev stjålet fra 90 ofre, og det samlede udbytte var angiveligt kun 226 dollars. Tallene, som er rapporteret af Cybernews og hentet fra politirapporter, gør sagen til en nyttig virkelighedstjek. Sydkoreanske hackere bag dataafpresning lykkes ikke altid økonomisk, men det betyder ikke, at de personer, hvis oplysninger blev stjålet, er i sikkerhed.

Hvordan afpresningskampagnen til 226 dollars udspillede sig

Ifølge Cybernews' opsummering lagde gruppen pres på 38 organisationer efter at have stjålet data fra 90 ofre. Udbyttet var 226 dollars. Det kildemateriale, vi har adgang til, specificerer ikke, hvem der betalte, hvor mange betalinger der kom ind, eller hvad løsesummerne var, så vi vil ikke gætte på disse detaljer.

Det, tallene viser, er et stort gab mellem indsats og belønning. At stjæle data fra snesevis af ofre og kontakte snesevis af organisationer er reelt arbejde, men afkastet var minimalt. Det peger på en operation, der enten var dårligt udført, dårligt målrettet eller begge dele, og det tyder på, at de fleste af de kontaktede organisationer ikke gav efter.

Dette står i kontrast til det mere industrialiserede billede af digital afpresning. Vores gennemgang af ransomware som forretningsmodel beskriver, hvordan feltet har bevæget sig væk fra små, hemmelighedsfulde grupper mod mere organiserede strukturer. Den sydkoreanske sag ligger i den modsatte ende: en påmindelse om, at ikke hver afpresningsgruppe er en poleret kriminel virksomhed.

Hvad politirapporter afslører om hackernes metoder

Cybernews-artiklen siger, at fundene kommer fra politirapporter. Den del af artiklen, vi har adgang til, er en opsummering, og den redegør ikke for de tekniske metoder, hackerene brugte, så dette indlæg vil ikke spekulere i specifikke værktøjer eller adgangspunkter.

Det, der kan siges ud fra de rapporterede tal, er dette:

  • Modellen var datatyveri plus pres. Gruppen tog først data, derefter kontaktede de organisationer. Det er et almindeligt afpresningsmønster, og det kræver ikke kryptering af et offers systemer.
  • Omfanget var beskedent. Halvfems ofre og 38 udvalgte organisationer er langt fra de største kampagner, der er registreret.
  • Politiet var i stand til at dokumentere aktiviteten. Eksistensen af politirapporter med disse tal tyder på, at efterforskerne havde indsigt i, hvad der skete, herunder hvor lidt penge der skiftede hænder.

Afpresning med lave færdigheder fungerer ofte ud fra én antagelse: at en organisation vil betale hurtigt for at undgå forlegenhed eller regulatoriske problemer. Når organisationer nægter, eller simpelthen ikke svarer, kollapser økonomien. Det ser ud til at være det, der skete her.

Hvorfor mislykket afpresning stadig udsætter ofrenes data for risiko

En udbetaling på 226 dollars er ikke det samme som ingen skade sket. Dataene blev stadig stjålet fra 90 ofre. Når først oplysninger forlader en organisations systemer, har de personer, de beskriver, ingen kontrol over, hvad der sker derefter. De kan opbevares, sælges, deles eller offentliggøres, uanset om afpresningen lykkedes.

Der er også en praktisk risiko for enkeltpersoner. Stjålne data såsom navne, e-mailadresser eller legitimationsoplysninger kan genbruges i phishing, forsøg på kontoovertagelse eller opfølgende svindel. En gruppe, der ikke formåede at tjene penge på organisationen, kan stadig forsøge at tjene penge på selve dataene.

Sydkorea har håndteret andre hændelser, hvor personlige oplysninger blev eksponeret. For eksempel dækkede vi, hvordan et brud hos en sydkoreansk diplomat eksponerede 10.000 poster på en statslig træningsakademi. Forskellige aktører og forskellige omstændigheder, men den samme kernelektie: dine data ligger ofte i systemer, du ikke selv administrerer.

Hvad det betyder for dig

De fleste kan ikke forhindre, at en organisation bliver kompromitteret. Det, du kan gøre, er at begrænse skaden, hvis dine oplysninger er en del af et stjålet datasæt.

  • Antag, at eksponering er mulig. Hvis en organisation, du har med at gøre, rapporterer et brud, skal du behandle enhver kontakt, der hævder at vedrøre det, med mistanke.
  • Forvent opfølgende svindel. Afpresningsgrupper og andre kriminelle kan sende e-mails eller beskeder direkte til personer ved hjælp af stjålne kontaktoplysninger.
  • Betal ikke, og engager dig ikke i trusler. Hvis du modtager en besked, der truer med at offentliggøre dine data, skal du ikke svare eller sende penge. Denne sag viser, hvor lidt afpresning faktisk kan indbringe, og betaling garanterer aldrig sletning.
  • Hold øje med kontoaktivitet. Uventede loginadvarsler, e-mails om nulstilling af adgangskode eller nye enheder på dine konti fortjener opmærksomhed.

Sådan beskytter du dine konti mod afpresningsforsøg

Stærke basics rækker langt, selv mod opportunistiske angribere:

  1. Brug en unik adgangskode til hver konto. En adgangskodeadministrator gør dette realistisk. Hvis én tjeneste lækker dine legitimationsoplysninger, forbliver de andre beskyttet.
  2. Slå multifaktor-godkendelse til. Foretræk en autentificeringsapp eller hardwarenøgle frem for SMS, hvor det er muligt.
  3. Skift adgangskoder efter en brudmeddelelse. Gør dette på den berørte tjeneste og overalt, hvor du genbrugte den samme adgangskode.
  4. Begræns, hvad du deler. Giv kun organisationer de personlige oplysninger, de reelt har brug for. Data, der aldrig blev indsamlet, kan ikke stjæles.
  5. Vær forsigtig med uventede beskeder. Klik ikke på links, og åbn ikke vedhæftede filer i beskeder, der refererer til et brud eller en trussel. Gå direkte til den officielle hjemmeside.
  6. Gennemgå gamle konti. Slet konti, du ikke længere bruger, så færre organisationer har dine oplysninger.

Sydkorea har også oplevet, at sikkerhedsværktøjer er blevet et angrebsflade, som i AnySign4PC zero-day, der gjorde et koreansk bankværktøj til et våben. At holde software opdateret er en anden vane værd at opretholde.

Konklusionen

Tallet på 226 dollars er en god historie, men det er ikke en grund til at slappe af. Sydkoreanske hackere bag dataafpresning formåede ikke at tjene meget i denne sag, men 90 ofre fik stadig stjålet deres data. Sikr dine konti, brug unikke adgangskoder med multifaktor-godkendelse, og del så lidt personlige oplysninger som muligt. For bredere kontekst kan du læse vores dækning af forretningsmodellen for ransomware og afpresning og vores rapportering om andre sydkoreanske brud.