Pankin veto rikolliseen rehellisyyteen
Kun puhutaan kiristysohjelmista, yksi koko rikollisen liiketoimintamallin omituisimmista osista on maksua seuraava lupaus: anna rahat, niin me poistamme varastamasi tiedot. River Financial Corporation, alabamalaisen River Bank & Trustin emoyhtiö, näyttää ottaneen tuon lupauksen todesta. Securities and Exchange Commissionille toimittamassaan Form 8-K -ilmoituksessa pankki kertoi "ryhtyneensä toimiin pyrkiäkseen hillitsemään vaarantuneita tietoja, mukaan lukien vakuutusten hankkiminen" hyökkääjiltä – käytännössä kirjallinen vakuutus siitä, että varastetut tiedot tuhottaisiin. Huomionarvoista on, ettei ilmoituksessa nimenomaisesti vahvisteta, maksoiko River Bank todellisuudessa lunnaita, vaikka tällaisten "vakuutusten" saaminen kiristysohjelmaoperaattoreilta tapahtuu tyypillisesti vasta, kun raha on vaihtanut omistajaa.
Tämä ilmoitus osuu kiusalliseen ajankohtaan niille, jotka taipuvat luottamaan kiristysohjelmien tietojenpoistolupauksiin. Viranomaisten isku LockBit-kiristysohjelmatoimintaa vastaan paljasti, että uhrien tiedot säilytettiin ryhmän infrastruktuurissa jopa tapauksissa, joissa uhrit olivat jo maksaneet kiristysvaatimuksen. Toisin sanoen "tiedot poistettu" -valintaruutu, johon niin monet yritykset luottavat tapahtuman päättämisessä ja sääntelyviranomaisten, asiakkaiden ja omien hallitustensa rauhoittamisessa, oli ainakin joissakin dokumentoiduissa tapauksissa yksinkertaisesti väärä.
Miksi kiristysohjelmien tietojenpoistolupaus harvoin pitää
Koko ajatus kiristysohjelmajengille maksamisesta tietojen tuhoamiseksi perustuu ilmeiseen ristiriitaan: pyydät rikollisjärjestöä, joka murtautui verkkoosi ja varasti alun perin arkaluonteiset tiedot, luopumaan vapaaehtoisesti vipuvoimastaan. Ei ole täytäntöönpanomekanismia, ei tarkastusjälkeä eikä oikeudellista keinoa, jos ryhmä pitää kopion, myy sen dark web -markkinapaikalla tai käyttää sitä myöhemmin toiseen kiristyskierrokseen. Tietoturvatutkijat ovat jo pitkään varoittaneet, että kiristysohjelmaryhmien tarjoamat "poistotodistusvideot", kuvakaappaukset tai kirjalliset vakuutukset ovat suunnitelmallisesti todennettavissa. LockBitin kaataminen vain toi kovia todisteita sille, mitä monet tietoturvayhteisössä olivat jo olettaneet.
Rahoituslaitokselle tällä on valtava merkitys. Pankit hallussaan pitävät kaikkein arkaluonteisimpia olemassa olevia henkilötietoja, kuten sosiaaliturvatunnuksia, tilitietoja ja tapahtumahistoriaa. Kun nämä tiedot vuotavat tunkeutumisen yhteydessä, rikollisen lupaus poistaa ne ei tarjoa minkäänlaista todellista suojaa niille asiakkaille, joiden tiedot paljastuivat. Se tarjoaa parhaimmillaan puheenaiheen sääntelyilmoitusta varten.
Miten tietomurto tapahtui
River Bankin tapaus ei tapahtunut tyhjiössä. Aiempien uhkatiedusteluraporttien mukaan tietomurto liittyi siihen, että luvaton toimija pääsi sisään vanhentuneen VPN-protokollan haavoittuvuuden kautta – yksityiskohta, jota käsitellään aiemmassa kattauksessamme River Bank & Trustin kiristysohjelmahyökkäyksestä. Vanhentunut etäkäyttöinfrastruktuuri on edelleen yksi yleisimmistä sisäänpääsyreiteistä kiristysohjelmaryhmille juuri siksi, että se sijaitsee usein verkon reunalla, on helppo skannata ja jää usein huomiotta korjauspäivitysten hallinnassa. Sisään päästyään hyökkääjät tyypillisesti liikkuvat vaakasuunnassa, etsivät arvokkaita tietovarastoja ja vievät tiedot ennen kuin käynnistävät varsinaisen kiristysohjelmahyökkäyksen, mikä tarkoittaa, että varkaus tapahtuu yleensä paljon ennen kuin kukaan huomaa mitään olevan vialla.
Mitä tämä tarkoittaa sinulle
Jos olet River Bank & Trustin asiakas tai minkä tahansa sellaisen laitoksen asiakas, joka on ilmoittanut kiristysohjelmahyökkäyksestä, käytännön todellisuus on tämä: hyökkääjien lupauksia tietojesi poistamisesta ei tule pitää turvallisuustakuuna. Kun tiedot ovat kerran poistuneet yrityksen verkosta kiristysohjelmahyökkäyksessä, niitä on pidettävä pysyvästi vaarantuneina riippumatta siitä, millaisia vakuutuksia myöhemmin saadaan. Tämä tarkoittaa tilien ja luottotietojen tarkkailua epätavallisen toiminnan varalta, valppautta tietojenkalasteluyrityksiä kohtaan, joissa viitataan todellisiin tilitietoihin (yleinen jatkotoimenpide, kun varastetut pankkitiedot kiertävät rikollisryhmissä), sekä luottotietojen jäädyttämisen harkitsemista, jos sosiaaliturvatunnuksia tai tilinumeroita oli osana paljastunutta tietoaineistoa.
Yrityksille ja rahoituslaitoksille, jotka seuraavat tämän tarinan kehittymistä, opetus on laajempi. Luottaminen kiristysohjelmien tietojenpoistolupaukseen osana toimintasuunnitelmaa poikkeamatilanteiden varalle – saati sitten sen esittäminen sääntelyviranomaisille lieventävänä toimenpiteenä – lähettää väärän viestin siitä, kuinka vakavasti organisaatio suhtautuu tietosuojaan. Varmuuskopioinnin todentaminen, verkon segmentointi ja etäkäyttöinfrastruktuurin, kuten VPN-yhdyskäytävien, nopea päivittäminen tekevät asiakastietojen suojaamiseksi paljon enemmän kuin mikään rikollisyritykseltä irrotettu vakuutus voisi koskaan tehdä.
Avainkohdat
- Suhtaudu minkä tahansa kiristysohjelmaryhmän lupaukseen poistaa varastetut tiedot toteen näyttämättömänä ja täytäntöönpanokelvottomana, älä oikeana suojakeinona.
- Jos pankkisi on sellainen, joka on ilmoittanut tietomurrosta, seuraa tiliotteita ja luottotietojasi tarkasti ja harkitse luottotietojen jäädyttämistä.
- Ole erityisen varovainen tietojenkalasteluviestien suhteen, joissa viitataan oikeisiin tili- tai henkilötietoihin ilmoitetun tapahtuman jälkeisinä viikkoina ja kuukausina.
- Organisaatioiden tulisi asettaa etusijalle tunnettujen VPN- ja etäkäyttöhaavoittuvuuksien korjaaminen, sillä vanhentuneet protokollat ovat edelleen yksi tärkeimmistä sisäänpääsytavoista kiristysohjelmaryhmille.
Kun kiristysohjelmatutkimukset paljastavat jatkuvasti kuilun rikollisryhmien lupausten ja niiden todellisten tekojen välillä, niin kuluttajien kuin yritystenkin tulisi suunnitella niin kuin varastetut tiedot eivät koskaan todellisuudessa katoaisi, riippumatta siitä, millaisen kirjallisen vakuutuksen kiristysohjelmaryhmä tarjoaa.
