Ransomware-Doppelerpressung einfach erklärt: Angreifer sperren nicht mehr nur Ihre Dateien, sie stehlen zuerst Ihre Daten und nutzen sie als Druckmittel. Laut einem aktuellen Bericht des HIPAA Journal gehen Ransomware-Gruppen jetzt noch einen Schritt weiter und greifen zu realen Bedrohungen, um Opfer unter Druck zu setzen, ihren Forderungen nachzukommen. Für jeden, dessen persönliche Daten in einer Unternehmensdatenbank liegen, ist diese Entwicklung von Bedeutung.

Ransomware-Doppelerpressung erklärt: Wie sich die Taktiken eskalierten

Die Geschichte der Ransomware ist eine Geschichte ständiger Anpassung. Anfangs reichte die Verschlüsselung der Dateien eines Opfers aus, um eine Zahlung zu erzwingen. Wenn ein Krankenhaus, eine Schule oder ein Unternehmen seine eigenen Daten nicht öffnen konnte, hatte es einen starken Grund zu zahlen.

Dann wurden die Opfer besser in puncto Cyber-Resilienz. Viele Organisationen begannen, Backups anzulegen, und stellten fest, dass sie verschlüsselte Dateien wiederherstellen konnten, ohne den Angreifern nachzugeben. Die Verschlüsselung allein hörte auf, eine verlässliche Einnahmequelle zu sein, also änderten die Kriminellen ihre Vorgehensweise.

Der nächste Schritt war der Datendiebstahl. Ransomware-Gruppen begannen, sensible Dateien aus dem Netzwerk eines Opfers zu kopieren, bevor sie irgendetwas verschlüsselten. Dann drohten sie, diese gestohlenen Informationen zu verkaufen oder zu veröffentlichen. Das ist das Doppelerpressungsmodell: Die eine Drohung sind die gesperrten Systeme, die andere ist die Offenlegung der Daten. Ein gutes Backup löst das erste Problem, bewirkt aber nichts gegen das zweite.

Der neueste Bericht beschreibt eine weitere Eskalation, bei der Gruppen zu realen Bedrohungen greifen, um zusätzlichen Druck auszuüben. Der uns verfügbare Auszug des Artikels beschreibt nicht jede Taktik im Detail, daher lohnt es sich, die Originalberichterstattung für Einzelheiten zu lesen. Die grundsätzliche Richtung ist jedoch klar: Jedes Mal, wenn Verteidiger einen Weg schließen, suchen Angreifer nach einem neuen Druckmittel.

Warum die Zahlung des Lösegelds Ihre Daten nicht schützt

Es ist verlockend zu glauben, dass das Problem verschwindet, wenn ein Unternehmen zahlt. In der Praxis ist diese Annahme aus einem einfachen Grund wackelig: Sobald Kriminelle Ihre Daten kopiert haben, verlassen Sie sich vollständig auf ihr Wort, dass sie diese löschen werden. Das sind Menschen, die bereits das Gesetz gebrochen haben, um sie zu erlangen.

Es gibt auch ein strukturelles Problem. Datendiebstahl bedeutet, dass die Informationen das Gebäude verlassen haben. Selbst wenn Systeme wiederhergestellt und eine Zahlung geleistet wird, kann die Organisation nicht unabhängig überprüfen, was mit den Kopien geschieht. Für die Personen, deren Namen, Adressen, Gesundheitsdaten oder Finanzunterlagen in diesen Daten enthalten waren, hängt das Risiko nicht davon ab, ob das Unternehmen verhandelt hat.

Deshalb ist die Taktik so effektiv. Backups lösten das Verschlüsselungsproblem, aber sie können Daten nicht zurückholen. Erpressung, die auf Offenlegung aufbaut, funktioniert weiterhin, weil der Schaden für die Menschen real ist, unabhängig davon, ob ein Lösegeld gezahlt wird.

Was reale Bedrohungen für gewöhnliche Menschen bedeuten

Die meisten Menschen verhandeln nie mit einer Ransomware-Gruppe. Sie sind in der Regel diejenigen, deren Daten als Geisel gehalten werden. Wenn Kriminelle Druck über den digitalen Bereich hinaus ausüben, sind die am stärksten Betroffenen oft Kunden, Patienten und Mitarbeiter, deren Daten in den gestohlenen Dateien liegen.

Das hat einige praktische Konsequenzen:

  • Die Sicherheit Ihrer Daten hängt von der Sicherheit anderer ab. Sie können die Server eines Unternehmens nicht patchen, aber Sie können entscheiden, wie viele Ihrer Informationen sie speichern.
  • Behauptungen sind nicht immer bestätigte Datenschutzverletzungen. Banden veröffentlichen ihre Angriffe oft, um Druck auszuüben. Beispielsweise behauptete eine Gruppe öffentlich eine Datenschutzverletzung bei Marlborough Partners, aber es gab zum Zeitpunkt unserer Berichterstattung über die Anubis-Ransomware-Behauptung keine bestätigten Beweise hinter der Behauptung. Ebenso erklärte Kingston Technology, dass es Untersuchungen durchführe, nachdem die Everest-Gruppe Behauptungen aufgestellt hatte, wie wir in unserem Bericht über die Untersuchung von Kingston Technology berichteten.
  • Erpressung ist nicht auf einen Sektor beschränkt. Unsere Zusammenfassung der Stadler-Rail-Erpressung und der russischen Zimbra-Spionagegeschichten ist eine weitere Erinnerung daran, dass diese Druckkampagnen branchenübergreifend auftreten.

Der gemeinsame Nenner ist, dass Sie oft erst im Nachhinein von einem Problem erfahren, durch ein Benachrichtigungsschreiben oder eine Nachrichtengeschichte. Zu diesem Zeitpunkt sind die Daten bereits aus Ihren Händen.

Wie Sie Ihre Exposition vor einer Datenschutzverletzung reduzieren können

Sie können eine Ransomware-Bande nicht davon abhalten, ein Unternehmen ins Visier zu nehmen, mit dem Sie Geschäfte machen, aber Sie können den Schaden begrenzen, wenn es passiert. Diese Schritte konzentrieren sich auf das, was in Ihrer Kontrolle liegt.

  1. Teilen Sie weniger. Geben Sie Diensten nur die Informationen, die sie wirklich benötigen. Wenn ein Formular nach einem Geburtsdatum, einer Telefonnummer oder einem Ausweis fragt, der nicht wesentlich ist, ziehen Sie in Betracht, es wegzulassen oder das Minimum anzugeben. Daten, die nie erhoben wurden, können nicht gestohlen werden.
  2. Löschen Sie, was Sie nicht mehr nutzen. Schließen Sie alte Konten und fordern Sie die Löschung an, wo möglich. Dormante Konten sind immer noch Daten, die auf jemandes Server liegen.
  3. Bewahren Sie Offline-Backups Ihrer eigenen Dateien auf. Backups stoppen keinen Datendiebstahl, aber sie schützen Sie vor dem ursprünglichen Ransomware-Problem auf Ihren eigenen Geräten. Halten Sie mindestens eine Kopie von Ihrem Netzwerk getrennt.
  4. Verwenden Sie einzigartige Passwörter und Multi-Faktor-Authentifizierung. Wenn eine Datenschutzverletzung Anmeldedaten offenlegt, verhindern einzigartige Passwörter, dass ein Leck Ihre anderen Konten entsperrt.
  5. Achten Sie auf Benachrichtigungen über Datenschutzverletzungen. Lesen Sie Briefe und E-Mails von Unternehmen sorgfältig, und seien Sie vorsichtig bei unerwarteten Nachrichten, die auf Ihre persönlichen Daten verweisen, da gestohlene Daten überzeugende Betrugsmaschen befeuern können.
  6. Seien Sie skeptisch gegenüber Drohungen. Wenn Sie eine Nachricht erhalten, die behauptet, Ihre Daten seien gestohlen worden, und eine Zahlung fordert, überprüfen Sie dies über offizielle Kanäle, bevor Sie antworten. Klicken Sie nicht auf Links oder rufen Sie keine Nummern in der Nachricht selbst an.

Was das für Sie bedeutet

Die wichtigste Lehre ist, dass die Zahlung eines Lösegelds keine Datenschutzstrategie ist, und ebenso wenig die Hoffnung, dass ein Unternehmen gute Backups hat. Doppelerpressung verlagerte das Risiko von gesperrten Systemen auf offengelegte Daten, und die Bewegung hin zu realen Bedrohungen zeigt, dass Kriminelle weiterhin nach neuen Wegen suchen werden, Druck auszuüben. Ihre beste Verteidigung ist, zu reduzieren, wie viele sensible Informationen über Sie in den Systemen anderer existieren, und bereit zu sein, schnell zu handeln, wenn Sie über eine Datenschutzverletzung benachrichtigt werden.

Kernaussagen

Zu verstehen, was Ransomware-Doppelerpressung in einfachen Worten bedeutet, hilft Ihnen zu erkennen, warum diese Angriffe weiterhin erfolgreich sind: Die Bedrohung dreht sich nicht mehr nur um Ausfallzeiten, sondern um Offenlegung. Begrenzen Sie die persönlichen Daten, die Sie herausgeben, bewahren Sie Offline-Backups von dem auf, was Ihnen wichtig ist, und achten Sie genau auf Benachrichtigungen über Datenschutzverletzungen. Um zu sehen, wie sich diese Taktiken in der Praxis auswirken, folgen Sie unserer laufenden Berichterstattung über aktuelle Ransomware-Behauptungen, beginnend mit den oben verlinkten Anubis- und Everest-Geschichten.