Asianajotoimistot hallussaan pitävät arkaluontoisimpia tietoja, joita on olemassa sairaaloiden ja valtion virastojen ulkopuolella: fuusioyksityiskohdat, oikeudenkäyntistrategiat, asiakkaiden taloustiedot ja vireillä oleviin tapauksiin liittyvät henkilötiedot. Tämä korkea arvo ja monissa tapauksissa ohuet tietoturvabudjetit ovat tehneet oikeusalasta yhä houkuttelevamman kohteen ryhmälle, joka tunnetaan nimellä Silent Ransom Group (SRG). Samaa ryhmää seurataan myös nimillä Luna Moth, Chatty Spider ja UNC3753, ja se on rakentanut kiristyskäsikirjoituksen, joka ohittaa kokonaan sen osan, jonka useimmat yhdistävät ransomwareen.

Erilainen tapa kiristää

Perinteiset ransomware-hyökkäykset noudattavat tuttua kaavaa: haittaohjelma lukitsee uhrin tiedostot, ja hyökkääjät vaativat maksua salauksenpurkaimesta. SRG tekee jotain hiljaisempaa ja tietyllä tavalla vaarallisempaa. Sen sijaan että ryhmä salaisi järjestelmiä, se keskittyy varastamaan tietoja sellaisenaan ja uhkaa julkaista ne, ellei yritys maksa. Kyseessä ei ole havaittavaa ransomwarea, ei sekaisin meneviä tiedostoja, jotka hälyttäisivät IT-henkilökuntaa jostakin epänormaalista. Ensimmäinen merkki ongelmasta on usein itse kiristysvaatimus.

Pääsy alkaa tyypillisesti sosiaalisen manipuloinnin tempulla, joka on yksinkertainen mutta tehokas: SRG:n toimijat tekeytyvät IT-tukihenkilöstöksi soittaen tai lähettäen sähköpostia työntekijöille saadakseen nämä luovuttamaan kirjautumistietoja tai asentamaan etäkäyttötyökaluja. Päästyään sisään ryhmä hiljaisesti vie tiedostoja ulos sen sijaan, että aiheuttaisi sellaista verkon häiriötä, joka laukaisisi hälytyskelloja. Kun asianajotoimisto tajuaa, että jotain on tapahtunut, tiedot ovat jo poissa ja julkisen paljastumisen uhka on jo pöydällä.

Tämä lähestymistapa heijastaa laajempaa muutosta siinä, miten kiristysryhmät painostavat uhreja. Jotkut ransomware-toimijat ovat jopa alkaneet verhota uhkauksiaan keksittyyn lakikieleen, jotta vaatimukset kuulostaisivat virallisemmilta ja vaikeammin sivuutettavilta – taktiikka, jota on kuvattu tarkemmin artikkelissa ransomware-jengit lisäävät tekoälyn luomia valeuhkauksia kiristysviesteihin. Olipa painostus sitten väärennettyjä lakimuistioita tai pelkkä uhka asiakirjojen vuotamisesta, tavoite on sama: saada maksaminen näyttämään ainoalta järkevältä vaihtoehdolta.

Miksi asianajotoimistot ovat erityisen haavoittuvia

Asianajotoimistot ovat kyberturvallisuuden maailmassa poikkeuksellisessa asemassa. Ne säilyttävät erittäin arkaluontoisia kolmansien osapuolien tietoja, usein monille yritysasiakkaille samanaikaisesti, mutta monet toimivat pienemmillä IT-tiimeillä ja vähäisemmällä tietoturvakoulutuksella kuin niiden palvelemat toimialat. Asianajajiin ja tukihenkilökuntaan kohdistuu usein aikapainetta, kun he tasapainottelevat toimittajien, tuomioistuinten ja asiakkaiden puheluiden välillä, mikä helpottaa uskottavalta kuulostavan IT-tukeen tekeytyvän soiton läpimenoa.

Rakenteellinen kannustinongelmakin on olemassa. Tietomurto asianajotoimistossa ei paljasta pelkästään toimiston omia tietoja vaan myös luottamuksellisia tietoja jokaiselta asiakkaalta, jonka asia on koskettanut kyseistä järjestelmää. Tämä moninkertaistaa vuodon maine- ja oikeudelliset seuraukset, mikä on juuri se vipuvarsi, johon SRG:n kaltaiset ryhmät luottavat uhatessaan julkaisemisella salauksen sijaan.

Mitä tämä tarkoittaa sinulle

Jos työskentelet asianajotoimistossa tai olet asiakas, jonka arkaluontoiset asiakirjat kulkevat sellaisen kautta, tämä kehitys on merkityksellinen, vaikka et itse koskaan näkisi kiristysviestiä. Tietovarkaus tekeytymisen kautta ei edellytä kehittynyttä teknistä haavoittuvuutta. Se edellyttää, että yksi työntekijä luottaa väärään puheluun tai sähköpostiin. Se tarkoittaa, että kaikenkokoiset yritykset – eivät pelkästään suuret lakiasiaintoimistot – ovat mahdollisia kohteita.

Asiakkaille kannattaa kysyä omaa asiaasi tai transaktiotasi hoitavalta toimistolta, millaisia varmistusvaiheita ne vaativat ennen etäkäytön myöntämistä tai salasanojen nollaamista. Toimisto, jolla on selvät, testatut menettelyt IT-pyyntöjen vahvistamiseksi, epätodennäköisemmin lankeaa sellaiseen tekeytymiseen, johon SRG luottaa.

Käytännön toimenpiteitä, jotka kannattaa ottaa nyt

Hyvä uutinen on, että tässä nimenomaisessa hyökkäystavassa on melko kapea kohta: inhimillinen vahvistus. Muutama konkreettinen askel voi vähentää riskiä merkittävästi.

  • Ota käyttöön tiukka takaisinsoittokäytäntö kaikille IT-pyynnöille, joihin liittyy kirjautumistietoja, etäkäyttöä tai ohjelmiston asennusta. Työntekijöiden tulee itsenäisesti varmistaa pyynnöt käyttäen tunnettua sisäistä numeroa sen sijaan, että luottaisivat soittajan henkilöllisyyteen heti ensi kuulemalta.
  • Kouluta henkilökuntaa pitämään yllättävää IT-yhteydenottoa, erityisesti kiireelliseltä kuulostavaa pyyntöä, punaisena lippuna eikä rutiinitehtävänä.
  • Rajoita ja valvo etäkäyttötyökaluja niin, että epätavalliset asennukset tai kirjautumiset laukaisevat hälytyksiä sen sijaan, että ne jäisivät huomaamatta.
  • Rakenna häiriönhallintasuunnitelma, joka olettaa tietovarkautta eikä pelkkää salausta, koska ransomware-oireiden ympärille rakennetut tunnistusmenetelmät eivät huomaa tällaista murtautumista.

Silent Ransom Groupin menestys riippuu nopeudesta ja luottamuksesta: siitä, että joku saadaan toimimaan nopeasti ennen kuin ehtii pysähtyä varmistamaan. Asianajotoimistot, jotka lisäävät kitkaa tähän prosessiin – jopa niinkin yksinkertaisella tavalla kuin takaisinsoittokäytännöllä – poistavat suuren osan ryhmän edusta. Oikeusalan kyberturvallisuus ei vaadi valtavaa yhdessä yössä tapahtuvaa uudistusta, mutta se edellyttää, että sosiaaliseen manipulointiin suhtaudutaan yhtä vakavasti kuin mihin tahansa tekniseen haavoittuvuuteen. Ne toimistot, jotka tekevät tämän muutoksen nyt, ovat paljon paremmassa asemassa kuin ne, jotka odottavat, että kiristysvaatimus pakottaa keskusteluun.