Το στοίχημα μιας τράπεζας στην εγκληματική ειλικρίνεια

Στο ransomware, ένα από τα πιο περίεργα μέρη του εγκληματικού επιχειρηματικού μοντέλου είναι η υπόσχεση που ακολουθεί την πληρωμή: δώστε τα χρήματα και θα διαγράψουμε τα κλεμμένα σας δεδομένα. Η River Financial Corporation, μητρική εταιρεία της Alabama-based River Bank & Trust, φαίνεται να πήρε αυτή την υπόσχεση τοις μετρητοίς. Σε μια κατάθεση Form 8-K στην Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (SEC), η τράπεζα αποκάλυψε ότι "προέβη σε ενέργειες για να προσπαθήσει να περιορίσει τα επηρεαζόμενα δεδομένα, συμπεριλαμβανομένης της απόσπασης διαβεβαιώσεων" από τους επιτιθέμενους, ουσιαστικά μια γραπτή εγγύηση ότι οι κλεμμένες πληροφορίες θα καταστρέφονταν. Αξιοσημείωτο είναι ότι η κατάθεση δεν επιβεβαιώνει ρητά εάν η River Bank πλήρωσε πράγματι λύτρα, παρόλο που η απόσπαση τέτοιων "διαβεβαιώσεων" από φορείς ransomware συνήθως συμβαίνει μόνο αφού αλλάξουν χέρια χρήματα.

Αυτή η αποκάλυψη έρχεται σε μια άβολη στιγμή για όποιον έχει την τάση να εμπιστεύεται μια υπόσχεση διαγραφής δεδομένων από ransomware. Η κατάρριψη της επιχείρησης ransomware LockBit από τις αρχές αποκάλυψε ότι τα δεδομένα των θυμάτων αποθηκεύονταν στις υποδομές της ομάδας ακόμα και σε περιπτώσεις όπου τα θύματα είχαν ήδη πληρώσει το ποσό του εκβιασμού. Με άλλα λόγια, το κουτάκι "διαγράφηκαν δεδομένα" στο οποίο βασίζονται τόσες πολλές εταιρείες για να κλείσουν το περιστατικό και να καθησυχάσουν ρυθμιστικές αρχές, πελάτες και τα ίδια τους τα διοικητικά συμβούλια, ήταν, σε ορισμένες τουλάχιστον τεκμηριωμένες περιπτώσεις, απλώς ψευδές.

Γιατί μια υπόσχεση διαγραφής δεδομένων από ransomware σπάνια είναι αξιόπιστη

Η όλη λογική του να πληρώνεις μια συμμορία ransomware για διαγραφή δεδομένων στηρίζεται σε μια προφανή αντίθεση: ζητάς από μια εγκληματική οργάνωση, αυτήν που παραβίασε το δίκτυό σου και έκλεψε ευαίσθητα αρχεία εξαρχής, να εγκαταλείψει οικειοθελώς το πλεονέκτημά της. Δεν υπάρχει μηχανισμός επιβολής, ούτε ίχνος ελέγχου, ούτε νομική προσφυγή εάν η ομάδα κρατήσει αντίγραφο, το πουλήσει σε μια αγορά του σκοτεινού διαδικτύου ή το χρησιμοποιήσει για δεύτερο γύρο εκβιασμού αργότερα. Ερευνητές ασφαλείας έχουν προειδοποιήσει εδώ και καιρό ότι τα βίντεο "απόδειξης διαγραφής", τα στιγμιότυπα οθόνης ή οι γραπτές δηλώσεις που παρέχονται από ομάδες ransomware είναι από τη φύση τους μη επαληθεύσιμα. Η κατάρριψη της LockBit απλώς έδωσε σκληρά αποδεικτικά στοιχεία πίσω από αυτό που πολλοί στην κοινότητα ασφαλείας είχαν ήδη υποθέσει.

Για ένα χρηματοπιστωτικό ίδρυμα, αυτό έχει τεράστια σημασία. Οι τράπεζες διαθέτουν μερικά από τα πιο ευαίσθητα προσωπικά δεδομένα που υπάρχουν, συμπεριλαμβανομένων αριθμών κοινωνικής ασφάλισης, στοιχείων λογαριασμών και ιστορικών συναλλαγών. Όταν αυτά τα δεδομένα υπεξαιρούνται κατά τη διάρκεια μιας εισβολής, η υπόσχεση ενός εγκληματία να τα διαγράψει δεν παρέχει καμία ουσιαστική προστασία στους πελάτες των οποίων οι πληροφορίες εκτέθηκαν. Προσφέρει, στην καλύτερη περίπτωση, ένα επιχείρημα για μια ρυθμιστική κατάθεση.

Πώς συνέβη η παραβίαση

Το περιστατικό της River Bank δεν συνέβη εν κενώ. Σύμφωνα με προηγούμενες αναφορές πληροφοριών απειλών, η παραβίαση συνδέθηκε με έναν μη εξουσιοδοτημένο δρώντα που απέκτησε πρόσβαση μέσω μιας ευπάθειας παλαιωμένου πρωτοκόλλου VPN, μια λεπτομέρεια που εξετάζεται στην προηγούμενη κάλυψή μας για το περιστατικό ransomware στην River Bank & Trust. Οι ξεπερασμένες υποδομές απομακρυσμένης πρόσβασης παραμένουν ένα από τα πιο συνηθισμένα σημεία εισόδου για ομάδες ransomware, ακριβώς επειδή συχνά βρίσκονται στην άκρη του δικτύου, είναι εύκολο να ανιχνευθούν και συχνά παραβλέπονται στους κύκλους διαχείρισης ενημερώσεων. Μόλις μπουν μέσα, οι επιτιθέμενοι συνήθως κινούνται πλευρικά, εντοπίζουν πολύτιμες αποθήκες δεδομένων και υπεξαιρούν πληροφορίες πριν καν ενεργοποιήσουν οποιοδήποτε ωφέλιμο φορτίο ransomware, που σημαίνει ότι η κλοπή συμβαίνει συχνά πολύ πριν αντιληφθεί κανείς ότι κάτι δεν πάει καλά.

Τι σημαίνει αυτό για εσάς

Εάν είστε πελάτης της River Bank & Trust, ή πελάτης οποιουδήποτε ιδρύματος που έχει αποκαλύψει ένα περιστατικό ransomware, η πρακτική πραγματικότητα είναι η εξής: οποιαδήποτε υπόσχεση από τους επιτιθέμενους να διαγράψουν τα δεδομένα σας δεν πρέπει να αντιμετωπίζεται ως εγγύηση ασφάλειας. Μόλις οι πληροφορίες εγκαταλείψουν το δίκτυο μιας εταιρείας σε μια επίθεση ransomware, θα πρέπει να θεωρούνται μόνιμα εκτεθειμένες, ανεξάρτητα από τις όποιες διαβεβαιώσεις ληφθούν αργότερα. Αυτό σημαίνει παρακολούθηση των λογαριασμών σας και των εκθέσεων πίστωσης για ασυνήθιστη δραστηριότητα, εγρήγορση για απόπειρες phishing που αναφέρονται σε πραγματικά στοιχεία λογαριασμού (μια συνηθισμένη τακτική που ακολουθεί όταν κλεμμένα τραπεζικά δεδομένα κυκλοφορούν μεταξύ εγκληματικών ομάδων) και εξέταση ενδεχόμενου παγώματος της πίστωσης, εάν αριθμοί κοινωνικής ασφάλισης ή αριθμοί λογαριασμών συμπεριλαμβάνονταν στο σύνολο των εκτεθειμένων δεδομένων.

Για επιχειρήσεις και χρηματοπιστωτικά ιδρύματα που παρακολουθούν αυτή την υπόθεση, το μάθημα είναι ευρύτερο. Το να βασίζεσαι στην υπόσχεση διαγραφής δεδομένων από ransomware ως μέρος μιας στρατηγικής απόκρισης περιστατικών, πολύ περισσότερο ως κάτι που αξίζει να γνωστοποιείται στις ρυθμιστικές αρχές ως μετριαστικός παράγοντας, στέλνει λάθος μήνυμα σχετικά με το πόσο σοβαρά αντιμετωπίζει ένας οργανισμός την προστασία δεδομένων. Επαληθευμένα αντίγραφα ασφαλείας, κατάτμηση δικτύου και έγκαιρη επιδιόρθωση υποδομών απομακρυσμένης πρόσβασης, όπως πύλες VPN, κάνουν πολύ περισσότερα για την προστασία των δεδομένων των πελατών από ό,τι οποιαδήποτε διαβεβαίωση που θα μπορούσε ποτέ να αποσπαστεί από μια εγκληματική επιχείρηση.

Συμπεράσματα

  • Αντιμετωπίστε κάθε υπόσχεση ομάδας ransomware να διαγράψει κλεμμένα δεδομένα ως μη επαληθεύσιμη και μη εκτελεστή, όχι ως πραγματική διασφάλιση.
  • Εάν είστε πελάτης τράπεζας που έχει αποκαλύψει παραβίαση, παρακολουθήστε στενά τα αντίγραφα κίνησης και τις εκθέσεις πίστωσης και εξετάστε το ενδεχόμενο παγώματος πίστωσης.
  • Να είστε ιδιαίτερα προσεκτικοί σε μηνύματα phishing που αναφέρονται σε ακριβή στοιχεία λογαριασμού ή προσωπικά δεδομένα τις εβδομάδες και τους μήνες μετά από ένα αποκαλυφθέν περιστατικό.
  • Οι οργανισμοί θα πρέπει να δίνουν προτεραιότητα στην επιδιόρθωση γνωστών ευπαθειών VPN και απομακρυσμένης πρόσβασης, καθώς τα ξεπερασμένα πρωτόκολλα παραμένουν κορυφαίο σημείο εισόδου για ομάδες ransomware.

Καθώς οι έρευνες για το ransomware συνεχίζουν να αποκαλύπτουν το χάσμα μεταξύ αυτού που υπόσχονται οι εγκληματικές ομάδες και αυτού που πραγματικά κάνουν, τόσο οι καταναλωτές όσο και οι εταιρείες θα πρέπει να προγραμματίζουν σαν τα κλεμμένα δεδομένα να μην εξαφανίζονται ποτέ πραγματικά, ανεξάρτητα από τη γραπτή διαβεβαίωση που παρέχει μια ομάδα ransomware.