Die Wette einer Bank auf kriminelle Redlichkeit

Wenn es um Ransomware geht, ist einer der seltsamsten Teile des gesamten kriminellen Geschäftsmodells das Versprechen, das auf die Zahlung folgt: Übergeben Sie das Geld, und wir löschen Ihre gestohlenen Daten. Die River Financial Corporation, die Muttergesellschaft der in Alabama ansässigen River Bank & Trust, scheint dieses Versprechen für bare Münze genommen zu haben. In einer Form 8-K-Einreichung bei der Securities and Exchange Commission gab die Bank bekannt, dass sie „Schritte unternommen hat, um die betroffenen Daten zu unterdrücken, einschließlich der Einholung von Zusicherungen“ von den Angreifern – im Wesentlichen eine schriftliche Zusage, dass die gestohlenen Informationen vernichtet würden. Bemerkenswert ist, dass die Einreichung nicht ausdrücklich bestätigt, ob die River Bank tatsächlich ein Lösegeld gezahlt hat, obwohl das Einholen solcher „Zusicherungen“ von Ransomware-Betreibern in der Regel erst dann geschieht, wenn Geld geflossen ist.

Diese Offenlegung kommt zu einem ungünstigen Zeitpunkt für jeden, der geneigt ist, einem Datenlöschversprechen von Ransomware-Akteuren zu vertrauen. Die Zerschlagung der Ransomware-Operation LockBit durch die Strafverfolgungsbehörden ergab, dass Opferdaten in der Infrastruktur der Gruppe gespeichert blieben, selbst in Fällen, in denen die Opfer die Erpressungsforderung bereits bezahlt hatten. Mit anderen Worten: Das Kästchen mit der Aufschrift „Daten gelöscht“, auf das sich so viele Unternehmen verlassen, um den Vorfall abzuschließen und Aufsichtsbehörden, Kunden und ihre eigenen Vorstände zu beruhigen, war zumindest in einigen dokumentierten Fällen schlichtweg falsch.

Warum ein Datenlöschversprechen von Ransomware selten hält

Das gesamte Konzept, eine Ransomware-Bande für die Datenlöschung zu bezahlen, beruht auf einem offensichtlichen Widerspruch: Sie bitten eine kriminelle Organisation, die in Ihr Netzwerk eingebrochen ist und vertrauliche Unterlagen gestohlen hat, freiwillig ihr Druckmittel aufzugeben. Es gibt keinen Durchsetzungsmechanismus, keinen Prüfpfad und keinen Rechtsbehelf, wenn die Gruppe eine Kopie behält, sie auf einem Darknet-Markt verkauft oder später für eine zweite Erpressungsrunde nutzt. Sicherheitsforscher warnen seit langem, dass „Beweise für die Löschung“ – Videos, Screenshots oder schriftliche Erklärungen von Ransomware-Banden – konstruktionsbedingt nicht überprüfbar sind. Die LockBit-Zerschlagung hat lediglich harte Beweise für das geliefert, was viele in der Sicherheits-Community bereits angenommen hatten.

Für ein Finanzinstitut ist das von enormer Bedeutung. Banken verfügen über einige der sensibelsten Personendaten, die es gibt, darunter Sozialversicherungsnummern, Kontodaten und Transaktionshistorien. Wenn diese Daten bei einem Eindringen exfiltriert werden, bietet das Versprechen eines Kriminellen, sie zu löschen, keinen tatsächlichen Schutz für die Kunden, deren Informationen offengelegt wurden. Es bietet bestenfalls ein Argument für eine aufsichtsrechtliche Einreichung.

Wie es zu dem Datenleck kam

Der Vorfall bei der River Bank geschah nicht im luftleeren Raum. Laut früheren Bedrohungsinformationsberichten war der Verstoß mit einem unbefugten Akteur verbunden, der über eine Schwachstelle in einem veralteten VPN-Protokoll Zugang erlangte – ein Detail, das in unserer früheren Berichterstattung über den Ransomware-Vorfall bei der River Bank & Trust näher beleuchtet wird. Veraltete Remote-Zugangsinfrastrukturen sind nach wie vor einer der häufigsten Einstiegspunkte für Ransomware-Banden, gerade weil sie oft am Netzwerkrand stehen, leicht zu scannen sind und in Patch-Management-Zyklen häufig übersehen werden. Sobald Angreifer im Netz sind, bewegen sie sich typischerweise lateral, lokalisieren wertvolle Datenspeicher und exfiltrieren Informationen, bevor sie jemals eine Ransomware-Nutzlast auslösen – das bedeutet, dass der Diebstahl oft lange vor der Entdeckung stattfindet.

Was das für Sie bedeutet

Wenn Sie Kunde der River Bank & Trust sind oder eines anderen Instituts, das einen Ransomware-Vorfall offengelegt hat, sieht die praktische Realität so aus: Das Versprechen der Angreifer, Ihre Daten zu löschen, sollte nicht als Sicherheitsgarantie betrachtet werden. Sobald Informationen bei einem Ransomware-Angriff das Unternehmensnetzwerk verlassen, sollten sie als dauerhaft kompromittiert behandelt werden, unabhängig davon, welche Zusicherungen später eingeholt werden. Das bedeutet: Überwachen Sie Ihre Konten und Kreditberichte auf ungewöhnliche Aktivitäten, seien Sie wachsam gegenüber Phishing-Versuchen, die sich auf echte Kontodetails beziehen (eine übliche Folgetaktik, wenn gestohlene Bankdaten unter kriminellen Gruppen zirkulieren), und erwägen Sie eine Kreditsperre, falls Sozialversicherungsnummern oder Kontonummern Teil des offengelegten Datensatzes waren.

Für Unternehmen und Finanzinstitute, die diese Geschichte verfolgen, ist die Lehre eine umfassendere. Sich bei einer Incident-Response-Strategie auf ein Datenlöschversprechen von Ransomware-Akteuren zu verlassen oder es gar als mildernden Schritt gegenüber Aufsichtsbehörden offenzulegen, sendet das falsche Signal, wie ernsthaft eine Organisation den Datenschutz nimmt. Verifizierte Backups, Netzwerksegmentierung und das zügige Patchen von Remote-Zugangsinfrastrukturen wie VPN-Gateways schützen Kundendaten weit besser, als es jede Zusicherung eines kriminellen Unternehmens jemals könnte.

Kernpunkte

  • Betrachten Sie jedes Versprechen einer Ransomware-Gruppe, gestohlene Daten zu löschen, als nicht überprüfbar und nicht durchsetzbar – nicht als echte Schutzmaßnahme.
  • Wenn Sie bei einem Institut Bankgeschäfte tätigen, das einen Datenverstoß offengelegt hat, überwachen Sie Kontoauszüge und Kreditberichte genau und erwägen Sie eine Kreditsperre.
  • Seien Sie in den Wochen und Monaten nach einem offengelegten Vorfall besonders vorsichtig bei Phishing-Nachrichten, die korrekte Konto- oder personenbezogene Daten nennen.
  • Organisationen sollten der Behebung bekannter Schwachstellen in VPNs und Remote-Zugängen Priorität einräumen, denn veraltete Protokolle sind nach wie vor ein Haupteinfallstor für Ransomware-Banden.

Während Ransomware-Ermittlungen weiterhin die Kluft zwischen dem, was kriminelle Gruppen versprechen, und dem, was sie tatsächlich tun, aufdecken, sollten sowohl Verbraucher als auch Unternehmen so planen, als ob gestohlene Daten niemals wirklich verschwinden – ganz gleich, welche Zusicherung eine Ransomware-Gruppe schriftlich gibt.