Kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto (CISA) ja FBI julkaisivat yhteistyössä puolustusministeriön kyberrikostorjuntakeskuksen, NSA:n, Yhdysvaltain salaisen palvelun ja Korean tasavallan kansallisen poliisilaitoksen kanssa tiedotteen Gunra-kiristysohjelmasta.

Uusi yhteinen tiedote nopeasti kasvavaa uhkaa vastaan

Kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto (CISA) ja FBI julkaisivat yhteistyössä puolustusministeriön kyberrikostorjuntakeskuksen, NSA:n, Yhdysvaltain salaisen palvelun ja Korean tasavallan kansallisen poliisilaitoksen kanssa yhteisen kyberturvallisuustiedotteen Gunra-kiristysohjelmasta. Elokuussa 2026 julkaistussa tiedotteessa esitellään tekniset yksityiskohdat siitä, miten Gunra toimii, ja tarjotaan lieventämisohjeita organisaatioille, jotka voivat joutua kohteeksi.

Gunra ilmestyi ensimmäisen kerran huhtikuussa 2025 ja kehittyi nopeasti yksittäisestä uhasta muodolliseksi kiristysohjelma palveluna (RaaS) -toiminnaksi. Tämä erottelu on tärkeä. Sen sijaan, että yksittäinen ryhmä suorittaisi hyökkäyksiä, Gunra toimii nykyään enemmän kuin rikollinen franchise, joka mainostaa työkalujaan ja infrastruktuuriaan kumppaneille pimeän verkon foorumeilla. Nämä kumppanit suorittavat sitten varsinaiset tunkeutumiset ja jakavat osan lunnaista Gunran operaattoreille. Tästä mallista on tullut yleistä suurten kiristysohjelmaperheiden keskuudessa, koska se alentaa teknistä osallistumiskynnystä ja mahdollistaa hyökkäysten nopean skaalautumisen useille sektoreille, mukaan lukien hallinto ja teollisuus.

Kaksoiskiristys: Miksi yksi hyökkäys luo kaksi ongelmaa

Se, mikä erottaa Gunran tässä tiedotteessa, on sen kaksoiskiristysmallin käyttö. Perinteisessä kiristysohjelmahyökkäyksessä toimijat salaavat uhrin tiedostot ja vaativat maksua salauksen purkuavaimesta. Gunran kumppanit menevät askeleen pidemmälle: ennen tietojen salaamista he varastavat ne kopioimalla arkaluontoiset tiedostot omille palvelimilleen. Tämä antaa heille kaksi erillistä painostuskeinoa. Vaikka uhriorganisaatiolla olisi varmuuskopiot ja se pystyisi palauttamaan salatut tiedostot maksamatta, hyökkääjät voivat silti uhata vuotavansa tai myyvänsä varastetut tiedot julkisesti, ellei lunnaita makseta.

Tämä kaksijakoinen lähestymistapa on juuri syy siihen, miksi CISA:n ja FBI:n varoitus Gunra-kiristysohjelman kaksoiskiristyksestä painaa enemmän kuin tyypilliset kiristysohjelmahälytykset. Se muuttaa uhrien laskelmia. Palautuminen ei ole enää vain järjestelmien palauttamista; se on myös mahdollisen tietovuodon seurausten hallintaa, joka voi sisältää henkilötietoja, taloudellisia tietoja tai liikesalaisuuksia.

Miksi tämä on tärkeää yksityisyydelle, ei vain IT-turvallisuudelle

Kiristysohjelmatiedotteet nähdään usein puhtaasti IT- tai infrastruktuurikysymyksinä, mutta Gunran taktiikoilla on suoria yksityisyysvaikutuksia tavallisille ihmisille. Kun kumppanit varastavat tietoja sairaalasta, valmistajalta tai valtion virastolta, varastetut tiedot sisältävät usein työntekijöiden, asiakkaiden tai potilaiden henkilötietoja, eivät vain yrityssalaisuuksia. Kaksoiskiristysrikkomus tarkoittaa, että jopa organisaatiot, jotka kieltäytyvät maksamasta lunnaita, voivat silti nähdä yksityisten tietojensa päätyvän julkaistuiksi tai myydyiksi pimeän verkon markkinapaikoilla.

Tämä on osa syytä siihen, miksi teollisuus ja kriittinen infrastruktuuri ovat yleistyneet hyökkäysten kohteina. Näillä aloilla on usein perinteisiä järjestelmiä ja internetiin kytkettyjä laitteita, joita on vaikeampi päivittää nopeasti, mikä tekee niistä houkuttelevia tulopisteitä kumppaneille, jotka haluavat saada jalansijaa ennen kiristysohjelman ja tietojen varastamistyökalujen käyttöönottoa.

Mitä tämä tarkoittaa sinulle

Jos työskentelet organisaatiossa, joka toimii teollisuuden, hallinnon, terveydenhuollon tai muun tiedotteessa mainitun sektorin parissa, nyt on aika tarkistaa häiriötilanteiden toimintasuunnitelma erityisesti kaksoiskiristys mielessä. Lunnaiden maksaminen ei takaa, ettei varastettua tietoa silti vuoda, joten ennaltaehkäisy ja varhainen havaitseminen ovat tärkeämpiä kuin koskaan.

Yksilöille opetus on epäsuorempi mutta silti tärkeä. Jos yritys, jonka kanssa asioit, työnantaja, terveydenhuollon tarjoaja tai valtion virasto, jonka kanssa olet tekemisissä, joutuu Gunran tai vastaavan RaaS-ryhmän kohteeksi, henkilötietosi voivat paljastua, vaikka organisaatio ei koskaan maksaisi lunnaita. Tietoturvaloukkausten ilmoitusten seuraaminen ja hyvä salasanahygienia ovat edelleen parhaita puolustuskeinoja, joita voit itse hallita.

Toimenpiteet

• Organisaatioiden tulisi tarkastella yhteisen tiedotteen teknisiä indikaattoreita ja soveltaa suositeltuja lieventämistoimia viipymättä, erityisesti internetiin kytkettyjen laitteiden ja etäkäyttöpisteiden osalta.
• Turvatiimien tulisi olettaa, että mikä tahansa kiristysohjelmatapaus voi sisältää tietojen varastamista, ei vain salausta, ja suunnitella viestintä ja oikeudellinen vastaus sen mukaisesti.
• Yksilöiden tulisi ottaa monivaiheinen tunnistautuminen käyttöön aina kun mahdollista ja seurata tilejä, jotka liittyvät organisaatioihin, joita kriittisen infrastruktuurin hyökkäykset voivat koskea.
• Kaikkien tulisi pysyä valppaina työnantajien, terveydenhuollon tarjoajien tai palveluntarjoajien tietoturvaloukkausten ilmoitusten suhteen, koska kaksoiskiristyskampanjat, kuten Gunran, johtavat usein tietojen julkaisemiseen, vaikka lunnaita ei maksettaisi.

Tämänkaltaiset tiedotteet muistuttavat siitä, että kiristysohjelmat eivät ole vain yritysten IT-ongelma. Kun RaaS-toimijat, kuten Gunra, laajentavat kumppaniverkostojaan, heijastevaikutukset ulottuvat tavallisiin ihmisiin, joiden tiedot sijaitsevat kohdennetuissa järjestelmissä. Pysymällä ajan tasalla näistä tiedotteista ja noudattamalla perusvarotoimia omien tiliesi suhteen voit käytännöllisesti vähentää altistumistasi seurauksille.