Η σύλληψη του ιδρυτή της Monster Cloud, Zohar Pinhasi, έχει φέρει στο προσκήνιο μια άβολη γωνιά της βιομηχανίας απόκρισης περιστατικών. Σύμφωνα με το ρεπορτάζ, η υπόθεση του διαπραγματευτή ransomware που συνέλαβε την Monster Cloud επικεντρώνεται σε ισχυρισμούς ότι η εταιρεία πλήρωνε κρυφά σε φορείς εκμετάλλευσης ransomware για κλειδιά αποκρυπτογράφησης, και στη συνέχεια χρέωνε τους πελάτες της σαν να ήταν δικό της έργο η ανάκτηση. Οι ισχυρισμοί δεν έχουν εξεταστεί στο δικαστήριο, και αυτό το άρθρο βασίζεται μόνο στις περιορισμένες λεπτομέρειες που είναι διαθέσιμες στην πηγή του ρεπορτάζ.
Τι κατηγορείται ότι έκανε η Monster Cloud
Η κατηγορία είναι απλή. Θύματα επιθέσεων ransomware στράφηκαν στη Monster Cloud για βοήθεια ώστε να ανακτήσουν τα δεδομένα τους. Αντί να εκτελέσει η ίδια την ανάκτηση, η εταιρεία φέρεται να πλήρωσε ήσυχα τους εγκληματίες πίσω από την επίθεση για ένα κλειδί αποκρυπτογράφησης, και στη συνέχεια χρέωσε τον πελάτη για αυτό που έμοιαζε με νόμιμη υπηρεσία ανάκτησης.
Η πηγή του ρεπορτάζ δεν παρέχει περαιτέρω λεπτομέρειες, όπως πόσοι πελάτες επηρεάστηκαν, πόσα χρήματα άλλαξαν χέρια ή ποιες κατηγορίες αντιμετωπίζει ο Pinhasi. Αυτά τα κενά έχουν σημασία, και οι αναγνώστες θα πρέπει να αντιμετωπίζουν με προσοχή οποιαδήποτε στοιχεία ή ισχυρισμούς πέρα από τη βασική κατηγορία μέχρι να δημοσιοποιηθούν περισσότερες πληροφορίες. Ο Pinhasi κατηγορείται, δεν έχει καταδικαστεί.
Πώς τα θύματα εκμεταλλεύονται δύο φορές στην ανάκτηση ransomware
Το βασικό πρόβλημα που θέτει αυτή η υπόθεση είναι η διπλή έκθεση των θυμάτων ransomware. Πρώτον, οι επιτιθέμενοι κρυπτογραφούν συστήματα και απαιτούν πληρωμή. Δεύτερον, στο σενάριο που φέρεται εδώ, ο μεσάζων στον οποίο στρέφεται το θύμα για βοήθεια είναι αυτός που κρύβει τι πραγματικά συμβαίνει.
Αυτό λειτουργεί επειδή τα θύματα σε μια κρίση ransomware βρίσκονται υπό έντονη πίεση. Τα συστήματα είναι εκτός λειτουργίας, το προσωπικό δεν μπορεί να εργαστεί και οι πελάτες μπορεί να επηρεάζονται. Λίγοι οργανισμοί έχουν τις τεχνικές γνώσεις για να κρίνουν αν ένας ισχυρισμός ανάκτησης είναι αληθινός. Βασίζονται στον λόγο του προμηθευτή και συχνά δεν έχουν καμία ορατότητα σε ό,τι συμβαίνει στα παρασκήνια.
Αν ένας προμηθευτής πληρώσει λύτρα χωρίς να το πει στον πελάτη, μπορούν να πάνε στραβά αρκετά πράγματα:
- Ο πελάτης δεν μπορεί να λάβει ενημερωμένη απόφαση για το αν θα πληρώσει καθόλου.
- Ο πελάτης μπορεί να μην μπορεί να δικαιολογήσει σωστά την πληρωμή σε νομικούς, ασφαλιστικούς ή κανονιστικούς όρους.
- Το τελικό τιμολόγιο μπορεί να μην αντικατοπτρίζει τι πραγματικά έγινε, κάνοντας την υπηρεσία να φαίνεται σαν τεχνική εξειδίκευση όταν ήταν πληρωμή διεκπεραίωσης.
Η διαφάνεια είναι η διαχωριστική γραμμή. Η πληρωμή λύτρων είναι μια νομική και ηθική απόφαση που ανήκει στο θύμα, και αυτή η απόφαση δεν θα πρέπει ποτέ να λαμβάνεται γι' αυτό εν κρυπτώ.
Γιατί οι πληρωμές λύτρων συνεχίζουν να χρηματοδοτούν εγκληματικές ομάδες
Κάθε πληρωμή λύτρων, είτε αποκαλύπτεται είτε όχι, στέλνει χρήματα στους ανθρώπους που πραγματοποίησαν την επίθεση. Αυτά τα έσοδα πληρώνουν για εργαλεία, υποδομές και τον επόμενο γύρο θυμάτων. Όταν οι πληρωμές διοχετεύονται μέσω μεσαζόντων, η ροή γίνεται πιο δύσκολο να εντοπιστεί, κάτι που καθιστά πιο δύσκολο για τα θύματα, τους ασφαλιστές και τις αρχές να κατανοήσουν πόσα πραγματικά πληρώνονται.
Η πληρωμή επίσης δεν προσφέρει καμία εγγύηση για καθαρό αποτέλεσμα. Το κόστος μπορεί να κλιμακωθεί πολύ πέρα από την αρχική απαίτηση. Για πλαίσιο σχετικά με το πόσο ακριβή μπορεί να γίνει η εκβίαση, δείτε το ρεπορτάζ μας για το πώς οι Weil, WilmerHale και Goodwin φέρεται να πλήρωσαν περίπου $50 εκατ. σε κυβερνοεκβιασμό. Αυτή η ιστορία δείχνει ότι ακόμη και οργανισμοί με άφθονους πόρους μπορούν να καταλήξουν να υπογράφουν πολύ μεγάλα ποσά.
Τι να ελέγξετε πριν προσλάβετε προμηθευτή ανάκτησης ή διαπραγματευτή
Τίποτα σε αυτή την υπόθεση δεν σημαίνει ότι κάθε διαπραγματευτής ή εταιρεία ανάκτησης είναι αναξιόπιστη. Αλλά είναι μια χρήσιμη υπενθύμιση να κάνετε άμεσες ερωτήσεις πριν υπογράψετε οτιδήποτε. Εξετάστε αυτούς τους ελέγχους:
- Ρωτήστε πώς χειρίζονται οι πληρωμές. Ένας αξιόπιστος προμηθευτής θα πρέπει να δηλώνει ξεκάθαρα αν θα πληρώσει ποτέ λύτρα για λογαριασμό σας, και μόνο με τη ρητή γραπτή έγκρισή σας.
- Απαιτήστε αναλυτική τιμολόγηση. Τα τιμολόγια θα πρέπει να διαχωρίζουν την εργασία του ίδιου του προμηθευτή από τυχόν κόστη τρίτων, συμπεριλαμβανομένης οποιασδήποτε πληρωμής σε επιτιθέμενους.
- Ζητήστε το πεδίο εφαρμογής εγγράφως. Το συμβόλαιο θα πρέπει να περιγράφει ποια εργασία ανάκτησης θα εκτελεστεί και πώς θα μετρηθεί η επιτυχία.
- Ζητήστε επαληθεύσιμες συστάσεις. Μιλήστε με προηγούμενους πελάτες όπου είναι δυνατόν και επιβεβαιώστε ανεξάρτητα τα διαπιστευτήρια της εταιρείας.
- Εμπλέξτε τον ασφαλιστή και τον νομικό σας σύμβουλο νωρίς. Μπορούν να σας βοηθήσουν να ελέγξετε προμηθευτές και να διασφαλίσετε ότι οποιαδήποτε απόφαση για πληρωμή είναι τεκμηριωμένη και νόμιμη.
- Ζητήστε απόδειξη ανάκτησης. Ρωτήστε πώς ο προμηθευτής απέκτησε δυνατότητα αποκρυπτογράφησης και τι δοκιμές έγιναν πριν δεσμευτείτε σε ένα χρονοδιάγραμμα.
Τι σημαίνει αυτό για εσάς
Αν διευθύνετε μια μικρή επιχείρηση, είστε ο πιο πιθανός να αισθανθείτε πίεση να αποδεχτείτε την πρώτη προσφορά βοήθειας. Μπορεί να μην έχετε ειδική ομάδα ασφαλείας ή σταθερή σχέση με εταιρεία απόκρισης περιστατικών. Αυτό κάνει άξιο να επιλέξετε έναν προμηθευτή πριν από μια κρίση, όχι κατά τη διάρκειά της.
Για άτομα και εργαζόμενους, το δίδαγμα είναι παρόμοιο: όταν ένας οργανισμός λέει ότι τα δεδομένα ανακτήθηκαν, είναι λογικό να ρωτάτε πώς. Να είστε σε επιφυλακή για επακόλουθες απόπειρες phishing ή εκβιασμού μετά από οποιοδήποτε περιστατικό και αλλάξτε διαπιστευτήρια που μπορεί να έχουν εκτεθεί.
Βασικά συμπεράσματα
Η ιστορία του διαπραγματευτή ransomware που συνέλαβε την Monster Cloud είναι ακόμη σε εξέλιξη, και οι ισχυρισμοί παραμένουν αναπόδεικτοι. Ωστόσο, αναδεικνύει έναν πρακτικό κίνδυνο: οι άνθρωποι που προσλαμβάνετε για να επιλύσουν μια κρίση θα πρέπει να είναι τόσο διαφανείς όσο θα περιμένατε από οποιονδήποτε εργολάβο. Να τι να κάνετε τώρα:
- Ελέγξτε οποιονδήποτε προμηθευτή ανάκτησης για σαφείς πολιτικές σχετικά με πληρωμές λύτρων και αναλυτική τιμολόγηση.
- Προεπιλέξτε έναν πάροχο απόκρισης περιστατικών και εξετάστε το συμβόλαιο πριν τον χρειαστείτε.
- Διατηρήστε offline, δοκιμασμένα αντίγραφα ασφαλείας ώστε να εξαρτάστε λιγότερο από κλειδιά αποκρυπτογράφησης.
- Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων σε email, απομακρυσμένη πρόσβαση και λογαριασμούς διαχειριστή.
- Ενημερώστε άμεσα τα συστήματα που είναι εκτεθειμένα στο διαδίκτυο.
Η ισχυρή πρόληψη είναι ο καλύτερος τρόπος να αποφύγετε ποτέ να βρεθείτε στη θέση όπου πρέπει να εμπιστευτείτε έναν άγνωστο με μια απόφαση τόσο δαπανηρή.
FAQ Q1: Τι κατηγορείται ότι έκανε ο Zohar Pinhasi; A1: Ο ιδρυτής της Monster Cloud, Zohar Pinhasi, κατηγορείται ότι πλήρωνε κρυφά σε φορείς εκμετάλλευσης ransomware για κλειδιά αποκρυπτογράφησης και στη συνέχεια χρέωνε τους πελάτες σαν να ήταν δικό της έργο η ανάκτηση. Οι ισχυρισμοί δεν έχουν εξεταστεί στο δικαστήριο, και κατηγορείται, δεν έχει καταδικαστεί. Q2: Πόσοι πελάτες επηρεάστηκαν και πόσα χρήματα εμπλέκονται; A2: Η πηγή του ρεπορτάζ δεν παρέχει αυτές τις λεπτομέρειες, συμπεριλαμβανομένου του πόσοι πελάτες επηρεάστηκαν, πόσα χρήματα άλλαξαν χέρια ή ποιες κατηγορίες αντιμετωπίζει ο Pinhasi. Οι αναγνώστες θα πρέπει να αντιμετωπίζουν με προσοχή οποιαδήποτε στοιχεία πέρα από τη βασική κατηγορία. Q3: Πώς εκμεταλλεύονται τα θύματα ransomware δύο φορές σε αυτό το σενάριο; A3: Πρώτον, οι επιτιθέμενοι κρυπτογραφούν συστήματα και απαιτούν πληρωμή· δεύτερον, ο μεσάζων στον οποίο στρέφεται το θύμα για βοήθεια φέρεται να κρύβει τι πραγματικά συμβαίνει. Τα θύματα υπό έντονη πίεση κρίσης συχνά δεν μπορούν να κρίνουν αν ένας ισχυρισμός ανάκτησης είναι αληθινός και βασίζονται στον λόγο του προμηθευτή. Q4: Τι μπορεί να πάει στραβά αν ένας προμηθευτής πληρώσει λύτρα χωρίς να το πει στον πελάτη; A4: Ο πελάτης δεν μπορεί να λάβει ενημερωμένη απόφαση για το αν θα πληρώσει, μπορεί να μην μπορεί να δικαιολογήσει την πληρωμή σε νομικούς, ασφαλιστικούς ή κανονιστικούς όρους, και λαμβάνει τιμολόγιο που μπορεί να μην αντικατοπτρίζει τι πραγματικά έγινε. Η διαφάνεια είναι η διαχωριστική γραμμή, καθώς η πληρωμή λύτρων είναι μια απόφαση που ανήκει στο θύμα. Q5: Γιατί οι πληρωμές λύτρων συνεχίζουν να χρηματοδοτούν εγκληματικές ομάδες; A5: Κάθε πληρωμή λύτρων, είτε αποκαλύπτεται είτε όχι, στέλνει χρήματα στους επιτιθέμενους, τα οποία πληρώνουν για εργαλεία, υποδομές και τον επόμενο γύρο θυμάτων. Όταν οι πληρωμές διοχετεύονται μέσω μεσαζόντων, η ροή γίνεται πιο δύσκολο να εντοπιστεί από τα θύματα, τους ασφαλιστές και τις αρχές. ---END---
