Kun lainvalvonta kurkisti verhon taakse

Helmikuussa 2024 kansainvälisten lainvalvontaviranomaisten liittouma purki LockBitin, yhden viime aikojen tuotteliaimmista kiristysohjelmatoimijoista, infrastruktuurin. Kun tutkijat pääsivät LockBitin järjestelmiin, he löysivät muutakin kuin pelkkiä todisteita rikollisesta toiminnasta. He havaitsivat, että ryhmä oli säilyttänyt kopioita varastetuista uhrien tiedoista senkin jälkeen, kun se oli kertonut uhreille – usein maksua vastaan – että tiedot oli poistettu.

Tällä yksityiskohdalla on paljon suurempi merkitys kuin ensi silmäyksellä vaikuttaa. Vuosien ajan kiristysohjelmien kohteeksi joutuneiden organisaatioiden vakiovaihtoehtoihin on kuulunut hiljainen, epämiellyttävä ratkaisu: maksa lunnaat, hanki hyökkääjältä poistolupaus ja jatka eteenpäin. LockBit-paljastus vahvistaa sen, mitä monet tietoturvatutkijat ovat jo pitkään epäilleet. Lupaus on usein arvoton, eikä uhreilla yleensä ole mitään keinoa tietää sitä.

Kuilu sen välillä, mitä uhreille kerrotaan ja mitä todellisuudessa tapahtuu

Kiristysohjelmaneuvottelut käydään yleensä poissa julkisuudesta, ja niitä hoitavat tietoturvayritykset, vakuutusyhtiöt tai uhriorganisaatiot itse. Kun rikollisryhmä väittää poistaneensa varastetut tiedostot, väitettä on harvoin mahdollista todentaa riippumattomasti. Uhrien odotetaan käytännössä luottavan saman toimijan sanaan, joka murtautui heidän järjestelmiinsä ja varasti heidän tietonsa alun alkaenkin.

LockBit-tapaus osoittaa, miksi tämä luottamus on harhaanjohtavaa. Vaikka rikollinen organisaatio olisi niin kehittynyt, että se ylläpitää toimivaa "asiakaspalvelua" uhreilleen neuvotteluportaaleineen ja poistotodistuksineen, todellista kannustinta tuhota arvokasta varastettua tietoa ei yksinkertaisesti ole. Tiedoilla on jälleenmyyntiarvoa, painostusarvoa ja tulevaa kiristysarvoa. Niiden poistaminen toimii hyökkääjän omia etuja vastaan.

Tämä ristiriita pääsee harvoin otsikoihin samalla tavalla kuin tietomurtoilmoitus. Yrityksillä, jotka maksavat hiljaisesti saadakseen ongelman pois päiväjärjestyksestä, on vähän syytä tuoda julki, ettei poistolupausta noudatettu – varsinkaan, jos ne eivät koskaan saa tietää siitä. Tämä hiljaisuus on osasyy siihen, miksi epäsuotuisia lopputuloksia tapahtuu useammin kuin julkinen tieto antaa ymmärtää. LockBitin infrastruktuurin kaataminen on yksi harvoista tapauksista, joissa lupauksen ja todellisuuden välinen kuilu tuli lainkaan näkyviin, samaan tapaan kuin Googlen paljastama CCP-kytköksinen hakkeriverkosto veti verhon pois toiminnalta, joka olisi muuten pysynyt piilossa uhriksi joutuneilta organisaatioilta.

Miksi tämän pitäisi muuttaa organisaatioiden ajattelua kiristysohjelmista

Käytännön johtopäätös ei ole, että lunnaiden maksaminen on aina väärä valinta. Jokaisessa tapauksessa on omat oikeudelliset, toiminnalliset ja taloudelliset paineensa, ja jotkut organisaatiot saattavat edelleen päättää, että maksaminen on heidän vähiten huono vaihtoehtonsa. Johtopäätös on, että maksua ei tulisi koskaan käsitellä ratkaisuna tietovuoto-ongelmaan.

Kun tiedot poistuvat organisaation hallinnasta, niitä tulisi kohdella pysyvästi vaarantuneina riippumatta siitä, millaisia vakuutteluja myöhemmin annetaan. Tämä tarkoittaa, että ilmoitusvelvollisuudet, asiakasviestintä ja riskiarvioinnit on hoidettava niin kuin varastetut tiedot olisivat yhä liikkeellä – koska ne hyvinkin saattavat olla. Kybervakuutukset ja tietoturvasuunnitelmat, jotka olettavat ongelman puhtaan ratkeamisen maksun jälkeen, perustuvat vanhentuneeseen ja yhä epäuskottavampaan lähtökohtaan.

Mitä tämä tarkoittaa sinulle

Henkilöille, joiden tietoja on saattanut päätyä kiristysohjelmahyökkäykseen liittyvään tietomurtoon, LockBit-paljastus on muistutus siitä, ettei valppautta kannata laskea vain siksi, että yritys ilmoittaa tapauksen olevan "ratkaistu". Rikollisten antama poistolupaus ei ole tae, ja tietosi voivat pysyä alttiina kauan sen jälkeen, kun otsikot ovat haihtuneet.

Yrityksille, erityisesti pienille ja keskisuurille ilman omaa tietoturvatiimiä, tämä on peruste ennaltaehkäisylle neuvottelun sijaan. Vahvat varmuuskopiointikäytännöt, verkon segmentointi ja perustason päätelaitteiden tietoturva vähentävät todennäköisyyttä joutua tilanteeseen, jossa joudut luottamaan kiristäjän sanaan. Sen arvioiminen, miten henkilökohtaiset ja ammatilliset tilit on suojattu ja reititetäänkö arkaluonteinen liikenne turvallisten yhteyksien kautta, on järkevä lähtökohta. Jotkut organisaatiot tarkastelevat vaihtoehtoja, joita löytyy esimerkiksi palveluntarjoajia vertailevilta sivuilta, kuten IVPN tai Mozilla VPN, osana laajempaa altistumisen vähentämispyrkimystä – mikään yksittäinen työkalu ei kuitenkaan korvaa kokonaisvaltaista tietoturvastrategiaa.

Käytännön toimenpiteet

  • Oleta, että kaikki kiristysohjelmahyökkäyksessä varastetut tiedot pysyvät vaarantuneina toistaiseksi, vaikka poistolupaus annettaisiinkin.
  • Älä anna lunnaiden maksamisen korvata täysimittaista tietomurtoilmoitusta ja asiakkaiden suojaustoimenpiteitä.
  • Priorisoi varmuuskopioita ja verkon segmentointia, jotta hyökkääjille maksaminen ei ole koskaan ainoa vaihtoehto pöydällä.
  • Jos saat ilmoituksen, että tietosi ovat olleet osallisena tietomurrossa, seuraa tilejäsi ja luottotietojasi hyvinkin pitkään alkuperäisen ilmoituksen jälkeen.
  • Vaadi avoimuutta kaikilta tietojasi käsitteleviltä organisaatioilta siitä, miten ne toimivat kiristysohjelmatilanteissa – älä pelkästään siitä, maksoivatko ne.

LockBitin kaataminen tarjosi harvinaisen, suodattamattoman katsauksen siihen, miten kyberkiristys todellisuudessa etenee, kun rikolliset eivät enää hallitse tarinaa. Poistolupausten pitäminen tosiasioina eikä vihamielisen toimijan todentamattomina väitteinä on jättänyt liian monille uhreille valheellisen tunteen asian loppuunkäsittelystä. Skeptisenä pysyminen ja varautuneena oleminen on edelleen parempi pitkän aikavälin strategia.