En bank tog ransomware-hackere på ordet

En amerikansk finansiel institution, angiveligt identificeret i cybersikkerhedsrapportering som River Bank, afslørede en væsentlig cybersikkerhedshændelse efter ransomware-angribere havde stjålet terabytes af følsomme data, herunder kundeprofiler, interne dokumenter og fortrolige bankregistre. Efter betaling af en løsesum oplyste banken, at den troede, at angriberne havde slettet de stjålne data, i høj grad baseret på forsikringer fra den kriminelle gruppe selv.

Det er denne detalje, der gør historien bemærkelsesværdig. Ransomware-forhandlinger ender ofte med et løfte om, at stjålne filer vil blive destrueret, når betalingen er gennemført. Men der er ingen uafhængig verifikationsproces indbygget i disse transaktioner. En bank, eller enhver organisation, der stoler på en kriminel bandes ord, har ingen reel mulighed for at bekræfte, at dataene er væk. De kan være kopieret, videresolgt eller tilbageholdt til et nyt afpresningsforsøg måneder senere.

Hvorfor det er et sats at stole på en ransomware-bande

Ransomware-operationer er bygget op omkring at afpresse betaling, ikke at overholde aftaler. Når angriberne har eksfiltreret data, kontrollerer de alle kopier af dem. Et sletningsløfte er ikke retskraftigt, og der findes ingen teknisk mekanisme, der gør det muligt for en offerorganisation at bekræfte overholdelse. Selv hvis de specifikke personer bag et angreb har til hensigt at slette deres kopi, passerer stjålne data ofte gennem affiliate-netværk, initial access brokers eller tredjepartskøbere, før en løsesum overhovedet kræves. At slette én kopi betyder ikke, at alle kopier er væk.

For en bank, der håndterer kundeprofiler og fortrolige finansielle registre, betyder dette enormt meget. Bankdata er ikke som et stjålet kodeord, der blot kan nulstilles. Kontonumre, transaktionshistorik og interne compliance-dokumenter bevarer værdi til svig og identitetstyveri længe efter, at et brud er blevet afsløret. Når en institution fortæller tilsynsmyndigheder og kunder, at den mener, data er blevet slettet, beder den i bund og grund offentligheden om at stole på de samme aktører, som brød ind og stjal oplysningerne i første omgang.

Dette mønster er ikke unikt for én hændelse. Sikkerhedsforskere og brancherapportering har gentagne gange vist, at ransomware-grupper ofte beholder, videresælger eller lækker data, selv efter at have modtaget betaling. At behandle en kriminel gruppes forsikring som en løsning på et brud, snarere end som en ubekræftet påstand, sætter en bekymrende præcedens for, hvordan finansielle institutioner kommunikerer risiko til de kunder, hvis data faktisk blev eksponeret.

Hvad det betyder for dig

Hvis du har bankforretninger med en institution, der har afsløret et brud, eller endda en, der (endnu) ikke har rapporteret en hændelse, er den sikreste antagelse, at alle data, der er involveret i et ransomware-angreb, bør behandles som permanent kompromitterede, uanset hvad angriberne hævder. I praksis betyder det:

  • Overvåg kontooversigter og kreditrapporter nøje for ukendt aktivitet, især i månederne efter en brudoffentliggørelse fra din bank.
  • Skift dine netbankadgangskoder, og aktiver flerfaktorautentifikation, hvis du ikke allerede har gjort det, da stjålne interne dokumenter nogle gange kan indeholde oplysninger, der bruges til at besvare sikkerhedsspørgsmål eller nulstille legitimationsoplysninger.
  • Vær skeptisk over for uopfordrede opkald, sms'er eller e-mails, der henviser til din bank, kontonummer eller nylige transaktioner. Stjålne bankdata bruges ofte til at udforme overbevisende phishing-forsøg.
  • Overvej at bruge en VPN, når du tilgår netbank på offentlige eller ukendte Wi-Fi-netværk, da kryptering af din forbindelse reducerer risikoen for, at dine legitimationsoplysninger bliver opsnappet separat fra et eventuelt brud hos selve institutionen. Tjenester som Mozilla VPN gratis prøveperiode tilbyder en uforpligtende måde at teste, om krypteret browsing passer ind i dine almindelige bankvaner.

Ingen af disse trin kan gøre et brud, der allerede er sket, ugjort, men de reducerer risikoen for, at stjålne data fører til direkte økonomisk skade for dig.

Det større billede for finansielle institutioner

Denne hændelse fremhæver en bredere spænding i, hvordan ramte organisationer kommunikerer med offentligheden. Tilsynsmyndigheder kræver i stigende grad offentliggørelse af væsentlige cybersikkerhedshændelser, men reglerne for offentliggørelse kræver ikke, at organisationer verificerer påstande fra angriberne, før de videregiver dem. Når en bank fortæller kunderne, at den mener, data er blevet slettet, afspejler denne erklæring håb snarere end beviser. Finansielle institutioner, der håndterer følsomme kundedata, har brug for procedurer for hændelseshåndtering, der antager worst-case opbevaring af stjålne oplysninger, snarere end offentlig kommunikation, der afspejler en ransomware-bandes egne talepunkter.

Vigtigste pointer

Betaling af løsesum garanterer ikke sletning af data, og ingen bank eller virksomhed kan verificere, at en kriminel gruppe rent faktisk har destrueret stjålne filer. Hvis din finansielle institution har afsløret et brud, skal du behandle dine data som permanent eksponerede: hold øje med dine konti, stram din login-sikkerhed, og vær opmærksom på phishing-forsøg, der refererer til reelle kontooplysninger. Tillid til ransomware-aktørers løfter er ikke en sikkerhedsstrategi, og det bør det heller ikke være for dig.