Όταν οι αρχές επιβολής του νόμου κοίταξαν πίσω από την κουρτίνα

Τον Φεβρουάριο του 2024, ένας συνασπισμός διεθνών υπηρεσιών επιβολής του νόμου διέλυσε την υποδομή πίσω από το LockBit, μία από τις πιο παραγωγικές επιχειρήσεις ransomware των τελευταίων ετών. Αυτό που ανακάλυψαν οι ερευνητές όταν απέκτησαν πρόσβαση στα συστήματα του LockBit ήταν κάτι παραπάνω από αποδείξεις εγκληματικής δραστηριότητας. Ανακάλυψαν ότι η ομάδα είχε κρατήσει αντίγραφα κλεμμένων δεδομένων θυμάτων ακόμα και αφού είχε πει σε αυτά τα θύματα, συχνά με αντάλλαγμα την πληρωμή, ότι τα δεδομένα είχαν διαγραφεί.

Αυτή η μοναδική λεπτομέρεια έχει πολύ μεγαλύτερη σημασία απ' ό,τι φαίνεται εκ πρώτης όψεως. Για χρόνια, το καθιερωμένο εγχειρίδιο για οργανισμούς που πλήττονταν από ransomware περιλάμβανε μια ήσυχη, άβολη επιλογή: πλήρωσε τα λύτρα, πάρε μια υπόσχεση διαγραφής από τον επιτιθέμενο και προχώρα. Η αποκάλυψη του LockBit επιβεβαιώνει αυτό που πολλοί ερευνητές ασφαλείας υποψιάζονταν εδώ και καιρό. Αυτή η υπόσχεση είναι συχνά άνευ αξίας και τα θύματα πολλές φορές δεν έχουν τρόπο να το γνωρίζουν.

Το χάσμα ανάμεσα σε όσα λέγονται στα θύματα και σε όσα πραγματικά συμβαίνουν

Οι διαπραγματεύσεις για ransomware συνήθως γίνονται μακριά από τα φώτα της δημοσιότητας, με τη διαμεσολάβηση εταιρειών αντιμετώπισης περιστατικών, ασφαλιστών ή των ίδιων των οργανισμών-θυμάτων. Όταν μια εγκληματική ομάδα ισχυρίζεται ότι έχει διαγράψει κλεμμένα αρχεία, σπανίως υπάρχει ανεξάρτητος τρόπος επαλήθευσης αυτού του ισχυρισμού. Τα θύματα ουσιαστικά καλούνται να εμπιστευτούν τον λόγο του ίδιου δράστη που παραβίασε τα συστήματά τους και έκλεψε τα δεδομένα τους εξαρχής.

Η υπόθεση LockBit δείχνει γιατί αυτή η εμπιστοσύνη είναι άστοχη. Ακόμα κι όταν μια εγκληματική επιχείρηση είναι αρκετά εξελιγμένη ώστε να λειτουργεί μια – κατά τα φαινόμενα – λειτουργική υπηρεσία «εξυπηρέτησης πελατών» για τα θύματά της, με πύλες διαπραγμάτευσης και πιστοποιητικά διαγραφής, το υποκείμενο κίνητρο να καταστρέψει πραγματικά πολύτιμα κλεμμένα δεδομένα απλώς δεν υπάρχει. Τα δεδομένα έχουν αξία μεταπώλησης, αξία μόχλευσης και αξία μελλοντικού εκβιασμού. Η διαγραφή τους αντιβαίνει στα συμφέροντα του ίδιου του επιτιθέμενου.

Αυτή η ασυνέπεια σπάνια γίνεται πρωτοσέλιδο όπως μια ανακοίνωση παραβίασης. Οι εταιρείες που πληρώνουν αθόρυβα για να εξαφανίσουν ένα πρόβλημα έχουν ελάχιστο λόγο να δημοσιοποιήσουν ότι η υπόσχεση διαγραφής δεν τηρήθηκε, ειδικά αν δεν το μάθουν ποτέ. Αυτή η σιωπή είναι μέρος του λόγου που οι αρνητικές εκβάσεις συμβαίνουν συχνότερα απ' ό,τι υποδηλώνει το δημόσιο αρχείο. Η κατάρριψη της υποδομής του LockBit είναι μία από τις λίγες περιπτώσεις όπου το χάσμα μεταξύ υπόσχεσης και πραγματικότητας έγινε ορατό, με τον ίδιο ακριβώς τρόπο που η Google διέλυσε ένα δίκτυο hacking συνδεδεμένο με το ΚΚΚ τράβηξε την κουρτίνα από δραστηριότητα που διαφορετικά θα είχε παραμείνει κρυφή από τους οργανισμούς που επηρεάστηκαν.

Γιατί αυτό πρέπει να αλλάξει τον τρόπο που οι οργανισμοί σκέφτονται για το ransomware

Το πρακτικό συμπέρασμα δεν είναι ότι η πληρωμή λύτρων είναι πάντα λάθος επιλογή. Κάθε περιστατικό έχει τις δικές του νομικές, λειτουργικές και οικονομικές πιέσεις και ορισμένοι οργανισμοί μπορεί να εξακολουθήσουν να αποφασίζουν ότι η πληρωμή είναι η λιγότερο κακή επιλογή τους. Το συμπέρασμα είναι ότι η πληρωμή δεν πρέπει ποτέ να αντιμετωπίζεται ως επίλυση ενός προβλήματος έκθεσης δεδομένων.

Μόλις τα δεδομένα εγκαταλείψουν τον έλεγχο ενός οργανισμού, θα πρέπει να αντιμετωπίζονται ως μόνιμα παραβιασμένα, ανεξαρτήτως οποιωνδήποτε διαβεβαιώσεων ακολουθήσουν. Αυτό σημαίνει ότι οι υποχρεώσεις ειδοποίησης, οι επικοινωνίες με πελάτες και οι εκτιμήσεις κινδύνου πρέπει να προχωρούν σαν τα κλεμμένα δεδομένα να εξακολουθούν να κυκλοφορούν, διότι είναι πολύ πιθανό να συμβαίνει ακριβώς αυτό. Τα ασφαλιστήρια συμβόλαια κυβερνοασφάλειας και τα σχέδια αντιμετώπισης περιστατικών που προϋποθέτουν μια καθαρή επίλυση μετά την πληρωμή βασίζονται σε μια ξεπερασμένη και ολοένα και πιο απαξιωμένη παραδοχή.

Τι σημαίνει αυτό για εσάς

Για τα άτομα των οποίων τα δεδομένα μπορεί να έχουν παρασυρθεί σε μια παραβίαση συνδεδεμένη με επίθεση ransomware, η αποκάλυψη του LockBit είναι μια υπενθύμιση να μην χαλαρώνετε την προσοχή σας μόνο και μόνο επειδή μια εταιρεία ανακοινώνει ότι το περιστατικό «επιλύθηκε». Μια υπόσχεση διαγραφής από εγκληματίες δεν αποτελεί εγγύηση και οι πληροφορίες σας μπορεί να παραμείνουν εκτεθειμένες πολύ καιρό αφού ξεχαστούν οι ειδήσεις.

Για τις επιχειρήσεις, ειδικά τις μικρομεσαίες χωρίς αποκλειστικές ομάδες ασφαλείας, αυτό αποτελεί επιχείρημα υπέρ της πρόληψης έναντι της διαπραγμάτευσης. Ισχυρές πρακτικές δημιουργίας αντιγράφων ασφαλείας, κατάτμηση δικτύου και βασική υγιεινή τελικών σημείων μειώνουν τις πιθανότητες να βρεθείτε ποτέ σε θέση να βασίζεστε στον λόγο ενός εκβιαστή. Η επανεξέταση του τρόπου προστασίας προσωπικών και επαγγελματικών λογαριασμών, συμπεριλαμβανομένου του αν η ευαίσθητη κίνηση δρομολογείται μέσω ασφαλών συνδέσεων, είναι ένα λογικό σημείο εκκίνησης· ορισμένοι οργανισμοί εξετάζουν επιλογές όπως αυτές που βρίσκονται σε σελίδες σύγκρισης παρόχων όπως το IVPN ή το Mozilla VPN ως μέρος μιας ευρύτερης προσπάθειας μείωσης της έκθεσης, αν και κανένα μεμονωμένο εργαλείο δεν υποκαθιστά μια πλήρη στρατηγική ασφαλείας.

Εφαρμόσιμα συμπεράσματα

  • Θεωρήστε ότι οποιαδήποτε δεδομένα κλαπούν σε περιστατικό ransomware παραμένουν σε κίνδυνο επ' αόριστον, ακόμη κι αν δοθεί υπόσχεση διαγραφής.
  • Μην αφήνετε την πληρωμή λύτρων να υποκαταστήσει την πλήρη ειδοποίηση παραβίασης και τα μέτρα προστασίας πελατών.
  • Δώστε προτεραιότητα στα αντίγραφα ασφαλείας και την κατάτμηση δικτύου, ώστε η πληρωμή επιτιθέμενων να μην είναι ποτέ η μόνη επιλογή στο τραπέζι.
  • Εάν ειδοποιηθείτε ότι τα δεδομένα σας ενεπλάκησαν σε παραβίαση, παρακολουθείτε τους λογαριασμούς και τις πιστωτικές σας αναφορές για πολύ καιρό μετά την αρχική ανακοίνωση.
  • Πιέστε για διαφάνεια από οποιονδήποτε οργανισμό χειρίζεται τα δεδομένα σας σχετικά με το πώς ανταποκρίνεται σε περιστατικά ransomware, όχι μόνο για το αν πλήρωσε.

Η κατάρριψη του LockBit προσέφερε μια σπάνια, αφιλτράριστη ματιά στο πώς εκτυλίσσεται στην πραγματικότητα ο κυβερνο-εκβιασμός όταν οι εγκληματίες δεν ελέγχουν πλέον την αφήγηση. Η αντιμετώπιση των υποσχέσεων διαγραφής ως γεγονότων, αντί ως ανεπιβεβαίωτων ισχυρισμών από έναν εχθρικό δράστη, έχει αφήσει πάρα πολλά θύματα με μια ψευδή αίσθηση ολοκλήρωσης. Το να παραμένουμε σκεπτικοί και προετοιμασμένοι παραμένει η καλύτερη μακροπρόθεσμη στρατηγική.