Sveitsiläinen tuomioistuin on antanut lähes 13 vuoden tuomion 52-vuotiaalle ukrainalaiselle miehelle, joka tuomittiin Nefilim-kiristyshaittaohjelman kehittämisestä, päättäen tapauksen, joka juontaa juurensa vuoden 2020 kyberhyökkäykseen Stadler Railia vastaan. Tuomio on yksi merkittävimmistä eurooppalaisessa oikeussalissa käsitellyistä kiristyshaittaohjelmien syytteistä, ja se tarjoaa hyödyllisen ikkunan siihen, miten kiristyshaittaohjelmaoperaatiot todella toimivat ja mitä tapahtuu, kun uhrit kieltäytyvät maksamasta.
Haittaohjelmatapauksesta kiristyshaittaohjelmatuomioksi
Kun Stadler Railiin hyökättiin vuonna 2020, yhtiö ei aluksi käyttänyt sanaa "kiristyshaittaohjelma". Tuolloin se kuvaili tapahtumaa vain haittaohjelmatapaukseksi, joka "mitä todennäköisimmin johti tietovuotoon", ja kertoi hyökkääjien yrittäneen kiristää suurta rahasummaa uhaten julkaista varastetut tiedostot, jos lunnaita ei maksettaisi. Stadler kieltäytyi maksamasta silloin, kuten se teki myös tänä vuonna tapahtuneen erillisen tapauksen jälkeen. Tämä kieltäytyminen loi pohjan rikostutkinnalle, joka lopulta tunnisti henkilön hyökkäyksessä käytetyn Nefilim-kiristyshaittaohjelmakoodin taustalta.
Nefilim oli osa kiristyshaittaohjelmaperheiden aaltoa, joka yhdisti tiedostojen salauksen tietojen varastamiseen – taktiikkaan, jota usein kutsutaan kaksinkertaiseksi kiristykseksi. Sen sijaan, että olisi vain lukinnut uhrin järjestelmät, operaattorit siirsivät ensin arkaluontoiset tiedostot ulos ja uhkasivat sitten julkaista ne julkisesti, jos uhri ei maksaisi. Tämä lähestymistapa asetti organisaatioille lisäpainetta, sillä edes vahva varmuuskopiointistrategia ei voinut suojata julkisen tietovuodon maine- ja sääntelyvaikutuksilta. Aiempi uutisointimme Zürichin kiristyshaittaohjelmaoikeudenkäynnistä kuvasi yksityiskohtaisesti, miten syyttäjät rakensivat juttunsa vaatien 12 vuoden tuomiota, ennen kuin tuomioistuin lopulta määräsi lähes 13 vuoden tuomion.
Miksi tämä tapaus on merkittävä Sveitsin ulkopuolellakin
Kiristyshaittaohjelmien syytteet, jotka johtavat pitkiin vankeusrangaistuksiin, ovat edelleen suhteellisen harvinaisia, pääasiassa siksi, että monet operaattorit työskentelevät lainkäyttöalueilta, joilla luovuttaminen tai pidättäminen on vaikeaa. Tämä tapaus on merkittävä juuri siksi, että se johti tunnistettavissa olevaan henkilöön, rikosoikeudenkäyntiin ja sveitsiläisen tuomioistuimen antamaan merkittävään tuomioon. Se osoittaa, että lainvalvontaviranomaiset ja syyttäjät voivat joissakin olosuhteissa onnistuneesti jäljittää kiristyshaittaohjelmakoodin sen kehittäjään ja saattaa tämän vastuuseen vuosia alkuperäisen hyökkäyksen jälkeen.
Tapaus vahvistaa myös kaavan, joka toistuu kiristyshaittaohjelmatapauksissa: uhrit, jotka kieltäytyvät maksamasta, eivät välttämättä kohtaa huonompia seurauksia, eikä lunnaiden maksaminen takaa, ettei varastettuja tietoja vuodeta joka tapauksessa. Stadler Railin päätös olla maksamatta vuonna 2020 ja jälleen tänä vuonna on linjassa tietoturvatutkijoiden ja lainvalvontaviranomaisten ohjeiden kanssa, jotka yleisesti suosittelevat olemaan rahoittamatta kiristyshaittaohjelmaoperaatioita, sillä maksaminen ei peru tietomurtoa ja rahoittaa usein lisää rikollista toimintaa.
Mitä tämä tarkoittaa sinulle
Useimmille lukijoille tämä tapaus ei ole välitön uhka, mutta se muistuttaa siitä, miten kiristyshaittaohjelmaoperaatiot todella toimivat kulissien takana. Hyökkäykset, kuten Stadler Railiin kohdistunut, alkavat tyypillisesti varastetuista tunnuksista, tietojenkalastelusähköposteista tai hyödynnetyistä ohjelmistohaavoittuvuuksista – ei mistään pysäyttämättömästä voimasta. Henkilöt, jotka kirjoittavat ja levittävät kiristyshaittaohjelmakoodia, ovat ihmisiä, jotka voidaan joissakin tapauksissa tunnistaa, asettaa syytteeseen ja tuomita, jopa vuosia hyökkäyksen jälkeen.
Jos työskentelet organisaatiossa, joka käsittelee arkaluontoisia tietoja, tämä tapaus korostaa sitä, kuinka tärkeää on olettaa, että mikä tahansa onnistunut tunkeutuminen voi sisältää tietojen varastamista, ei vain salausta. Pelkät varmuuskopiointistrategiat eivät riitä. Organisaatiot tarvitsevat incidenttivasteSuunnitelmia, jotka ottavat huomioon tiedostovuotojen mahdollisuuden, ja niiden on päätettävä kantansa lunnaiden maksamiseen ennen hyökkäystä, ei sen kaaoksessa. Yksittäisille käyttäjille johtopäätös on samanlainen kuin mitä olemme pitkään suositelleet: vahvat, yksilölliset salasanat, monivaiheinen tunnistautuminen sekä varovainen sähköpostiliitteiden ja linkkien käsittely ovat edelleen tehokkaimpia puolustuskeinoja niitä alkuperäisen pääsyn menetelmiä vastaan, jotka mahdollistavat kiristyshaittaohjelmahyökkäykset.
Keskeiset johtopäätökset
Tämä tuomio osoittaa, että kiristyshaittaohjelmaoperaattorit eivät ole koskemattomia ja että kärsivällinen tutkintatyö voi lopulta yhdistää haittaohjelmakoodin sen kirjoittajaan. Organisaatioille tapaus vahvistaa lunnaiden maksamisesta kieltäytymisen arvon ja valmistautumisen tietovuototilanteisiin sen sijaan, että oletettaisiin salauksen olevan ainoa riski. Yksittäisille henkilöille se on muistutus siitä, että kiristyshaittaohjelmahyökkäykset alkavat lähes aina arkisesta tietoturvavirheestä – heikosta salasanasta, päivittämättömästä järjestelmästä tai onnistuneesta tietojenkalasteluyrityksestä – jotka kaikki ovat estettävissä perustason tietoturvakäytännöillä. Kun yhä useammat kiristyshaittaohjelmatapaukset etenevät oikeuteen, odotettavissa on jatkuvaa tarkastelua siitä, miten nämä operaatiot rahoitetaan, johdetaan ja lopulta puretaan.
