Ransomware-Gruppe hinter Sicherheitsverletzungen bei ANC, SAA, Pick n Pay

Eine einzige Ransomware-Gruppe hat es geschafft, in einige der bekanntesten Institutionen Südafrikas einzudringen, darunter der African National Congress (ANC), Anglo American, Mediclinic, South African Airways (SAA) und Pick n Pay. Der gemeinsame Nenner dieser Vorfälle ist Double-Extortion-Ransomware, eine Taktik, die sich zum Standardvorgehen von Cyberkriminellen entwickelt hat, die es auf große Organisationen in Südafrika und darüber hinaus abgesehen haben.

Bemerkenswert an dieser Reihe von Sicherheitsverletzungen ist nicht nur die Größe oder Bekanntheit der Opfer. Es ist die Tatsache, dass ein einzelner Bedrohungsakteur immer wieder in völlig unterschiedliche Sektoren eindringen konnte: eine politische Partei, einen Bergbaugiganten, einen privaten Gesundheitsdienstleister, eine nationale Fluggesellschaft und einen großen Einzelhändler. Diese Bandbreite sagt viel darüber aus, wie Ransomware-Gruppen heute agieren, und warum Double-Extortion-Ransomware in Südafrika zu einem so hartnäckigen Problem für Organisationen geworden ist, die Kunden-, Patienten- oder Bürgerdaten speichern.

Was geschah: Die Ransomware-Gruppe hinter den Sicherheitsverletzungen bei ANC, SAA und Pick n Pay

Berichten zufolge wird dieselbe Ransomware-Bedrohung mit Eindringlingen bei ANC, Anglo American, Mediclinic, SAA und Pick n Pay in Verbindung gebracht. Anstatt sich auf eine einzelne Branche oder Art von Organisation zu konzentrieren, hat diese Gruppe ein weites Netz ausgeworfen, das regierungsnahe Einrichtungen, Großkonzerne, Gesundheitsdienstleister und verbrauchernahe Einzelhändler umfasst. Diese Breite deutet darauf hin, dass die Gruppe opportunistisch vorgeht und es auf alle Netzwerke abgesehen hat, in die sie eindringen kann, anstatt sich auf einen bestimmten Sektor oder ein bestimmtes Motiv zu beschränken.

Jede dieser Organisationen verfügt über unterschiedliche, aber gleichermaßen sensible Datenkategorien. Der ANC besitzt politische und mitgliederbezogene Informationen. Anglo American, ein globaler Bergbaukonzern, verfügt über Unternehmens- und Betriebsdaten. Mediclinic besitzt Patientenakten. SAA besitzt Passagier- und Reisedaten. Pick n Pay besitzt Kundentreue- und Transaktionsdaten. Dass eine einzige Gruppe in all diese unterschiedlichen Umgebungen eindringen konnte, unterstreicht, dass es Ransomware-Betreibern heute nicht nur um eine Art von Beute geht; sie suchen nach Druckmitteln, wo immer sie diese finden können.

Wie sich Double-Extortion-Ransomware von traditionellen Angriffen unterscheidet

Herkömmliche Ransomware war relativ einfach: Angreifer verschlüsselten die Dateien eines Opfers und verlangten eine Zahlung für einen Entschlüsselungsschlüssel. Mit der Zeit wurden Organisationen besser darin, sich gegen dieses Modell zu schützen, indem sie Offline-Backups erstellten, sodass sie ihre Systeme wiederherstellen konnten, ohne das Lösegeld zu zahlen.

Ransomware-Gruppen passten sich an. Double-Extortion-Ransomware fügt eine zweite Druckebene hinzu. Bevor die Systeme eines Opfers verschlüsselt werden, kopieren oder entwenden die Angreifer zunächst unbemerkt sensible Daten aus dem Netzwerk. Sobald die Verschlüsselung ausgelöst und die Lösegeldforderung übermittelt wurde, sieht sich das Opfer zwei getrennten Bedrohungen gegenüber: zahlen, um die Systeme wieder online zu bringen, und erneut (oder zusätzlich) zahlen, um zu verhindern, dass die gestohlenen Daten veröffentlicht oder verkauft werden.

Dieser Ansatz neutralisiert die Backup-Verteidigung, auf die viele Organisationen angewiesen sind. Selbst wenn ein Unternehmen seine Systeme aus Backups wiederherstellen kann, ohne ein Lösegeld zu zahlen, muss es dennoch damit umgehen, dass seine Daten – seien es Finanzunterlagen, Gesundheitsinformationen oder Kundendatenbanken – in den Händen von Kriminellen sind, die damit drohen, sie zu veröffentlichen. Genau deshalb ist Double Extortion zur dominierenden Ransomware-Strategie geworden: Sie gibt Angreifern einen zweiten Druckpunkt, selbst wenn der erste versagt.

Warum das wichtig ist, wenn Sie Kunde dieser Organisationen sind

Wenn Sie Mitglied des ANC, Patient bei Mediclinic, Vielflieger bei SAA, Smart-Shopper bei Pick n Pay oder in irgendeiner Weise mit Anglo American verbunden sind, ist eine solche Sicherheitsverletzung nicht nur ein abstraktes Unternehmensproblem. Es ist ein direktes Risiko für Ihre persönlichen Daten. Double-Extortion-Angriffe zielen gezielt auf Daten ab, die über die Organisation hinaus wertvoll sind: Namen, Kontaktdaten, Ausweisnummern, Finanzinformationen, Gesundheitsakten und Daten aus Treueprogrammen.

Wenn diese Daten in die Hände einer Ransomware-Gruppe gelangen, bleiben sie nicht unbedingt unter Verschluss. Gestohlene Datensätze aus solchen Sicherheitsverletzungen werden oft veröffentlicht, verkauft oder in kriminellen Foren verbreitet, manchmal lange nachdem der ursprüngliche Vorfall aus den Schlagzeilen verschwunden ist. Das Ausmaß der Offenlegung kann enorm sein. Ein Hinweis darauf, wie groß diese nachgelagerten Auswirkungen sein können, bietet der Datenleck in Mexiko, der 195 Millionen Identitäten offenlegte und zeigt, wie weitreichend ein einziger großer Eindringling werden kann, sobald gestohlene Identitätsdaten in Umlauf kommen.

Im Gegensatz zu staatlich verknüpften Cyberkampagnen, die oft auf Spionage oder Störung der Infrastruktur abzielen, wie bei den in Singapur gemeldeten staatlich geförderten Angriffen, sind Double-Extortion-Ransomware-Gruppen finanziell motiviert. Das bedeutet, dass die von Ihnen gestohlenen Daten als Ware behandelt werden, die durch Lösegeldzahlungen, Weiterverkauf oder öffentliche Leaks, die das Opfer unter Druck setzen sollen, zu Geld gemacht werden kann.

Praktische Schritte zum Schutz Ihrer Daten nach einer Sicherheitsverletzung bei Dritten

Sie können nicht beeinflussen, ob eine Organisation, mit der Sie Geschäfte machen, von einer Sicherheitsverletzung betroffen ist, aber Sie können steuern, wie Sie reagieren und wie offen Ihre Daten danach bleiben.

• Überprüfen Sie, ob Ihre Informationen Teil von Benachrichtigungen über Sicherheitsverletzungen von ANC, Anglo American, Mediclinic, SAA oder Pick n Pay waren, und befolgen Sie die spezifischen Anweisungen, die sie bereitstellen.
• Ändern Sie Passwörter für alle Konten, die mit diesen Organisationen verknüpft sind, insbesondere wenn Sie dasselbe Passwort an anderer Stelle verwendet haben.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo immer sie angeboten wird, insbesondere für Finanz-, Gesundheits- und Treuekonten.
• Überwachen Sie Kontoauszüge und Kreditkartenabrechnungen auf unbekannte Transaktionen, da Finanz- und Identitätsdaten oft das wertvollste gestohlene Gut bei solchen Sicherheitsverletzungen sind.
• Seien Sie vorsichtig bei nachfolgenden Phishing-Versuchen, da gestohlene persönliche Daten häufig verwendet werden, um überzeugende Betrugs-E-Mails oder -Nachrichten zu erstellen, die sich auf echte Kontoinformationen beziehen.

Das Gesamtbild zu Double-Extortion-Ransomware in Südafrika

Die Tatsache, dass eine einzige Ransomware-Gruppe in eine politische Partei, einen Bergbaukonzern, ein Gesundheitsnetzwerk, eine Fluggesellschaft und einen Einzelhändler eindringen konnte, zeigt, dass Double-Extortion-Ransomware in Südafrika zu einem branchenübergreifenden Risiko geworden ist und kein Nischenproblem für eine einzelne Branche darstellt. Organisationen sind dafür verantwortlich, ihre Netzwerke zu sichern, aber auch Einzelpersonen spielen eine Rolle dabei, den Schaden zu begrenzen, sobald eine Sicherheitsverletzung auftritt.

Sich darüber zu informieren, welche der Organisationen, mit denen Sie interagieren, betroffen waren, Ihre Zugangsdaten umgehend zu aktualisieren und auf Anzeichen von Missbrauch zu achten, sind praktische und umsetzbare Schritte. Datenschutzverletzungen bei großen Institutionen werden weiterhin vorkommen, aber wie schnell Sie darauf reagieren, kann den Unterschied zwischen einer kleinen Unannehmlichkeit und einem ernsthaften Identitätsdiebstahlproblem ausmachen.