50 miljoonan dollarin herätys BigLaw-firmoille
Jotkut Yhdysvaltain arvostetuimmista lakifirmoista, mukaan lukien Weil Gotshal & Manges, WilmerHale ja Goodwin Procter, ovat raportoidusti maksaneet yhteensä lähes 50 miljoonaa dollaria kyberkiristysryhmälle viime kuukausien aikana. Mikä tekee tästä tapauksesta erityisen huolestuttavan, ei ole pelkästään summa. Vaan se, miten hyökkäys tapahtui. Järjestelmiä ei salattu. Ei ollut lukittua näyttöä, ei lähtölaskentaa eikä perinteistä lunnaita vaativaa viestiä, jossa vaadittaisiin maksua jäädytettyjen tiedostojen avaamisesta. Tämä oli hiljaisempi ja täsmällisempi kiristysohjelmamuoto, joka rakentui varastetun datan eikä lamautetun infrastruktuurin ympärille.
Toimialalle, joka hallinnoi joitakin maailman arkaluontoisimmista tiedoista, aina asianajajan vaitiolovelvollisuuden piiriin kuuluvista asiakasviesteistä taloustietoihin ja yrityskauppojen yksityiskohtiin, tämä tapaus on muistutus siitä, että jopa parhaiten resursoidut instituutiot voivat jäädä yllätetyiksi.
Miksi kiristysohjelma ei aina näytä kiristysohjelmalta
Klassinen mielikuva kiristysohjelmahyökkäyksestä on yritys, joka herää huomaamaan, että kaikki tiedostot on salattu, ja ruudulla on viesti, jossa vaaditaan kryptovaluuttaa pääsyn palauttamiseksi. Tällainen kiristysohjelmaversio on edelleen olemassa, mutta hyökkääjät ovat yhä useammin siirtyneet toiseen malliin: ensin hiljaa varastetaan dataa, sitten uhataan vuotaa tai myydä se, ellei maksua suoriteta. Salausta ei tarvita. Järjestelmien ei tarvitse kaatua. Vipuvarsi tulee kokonaan paljastumisen uhasta.
Tämä muutos on merkittävä, koska se muuttaa sitä, miltä "havaitseminen" näyttää. Perinteinen kiristysohjelma ilmoittaa itsestään heti, kun tiedostot lukittuvat. Datakiristys sen sijaan voi tapahtua hiljaa, joskus viikkoja tai kuukausia, ennen kuin uhri edes huomaa, että tietoja on poistunut verkosta. Lakifirmat ovat erityisen houkuttelevia kohteita tälle lähestymistavalle, koska niiden hallinnoima data, kuten oikeudenkäyntistrategiat, taloudelliset ilmoitukset ja asiakkaiden henkilökohtaiset tiedot, on usein arvokkaampaa pysyä luottamuksellisena kuin se olisi, jos se vain poistettaisiin.
Tämä toimintamalli ei ole yksinomaan juridiselle alalle ominainen. Vastaavia kiristystaktiikoita on käytetty myös yrityksiä vastaan laajalti juridisen sektorin ulkopuolella. Australiassa hyökkääjä uhkasi julkisesti vuotaa miljoonia asiakastiedostoja, ellei Origin Energy maksa, ja energiayhtiö Shell joutui tutkimaan Cl0p-ryhmän väitteitä siitä, että se oli varastanut lähes 89 gigatavua yritysdataa. Yhteinen nimittäjä kaikissa näissä tapauksissa on se, että todellinen vahinko ei ole lukittu järjestelmä. Se on itse data, ja se, mitä tapahtuu, jos se tulee julkiseksi.
Mitä tämä tarkoittaa sinulle
Jos olet lakifirman, tilintarkastustoimiston tai minkä tahansa arkaluontoisia henkilö- tai taloustietoja käsittelevän organisaation asiakas, tämä tapaus on hyödyllinen muistutus siitä, että tietoturva ei ole taattu pelkästään siksi, että instituutio on suuri, vakiintunut tai hyvin rahoitettu. Maine ja resurssit eivät automaattisesti tarkoita vahvoja kyberturvakäytäntöjä.
Jos työskentelet asiantuntijapalveluympäristössä, erityisesti tilintarkastus- tai lakifirmassa, opetus on suorempi: yrityksesi uhkamallin on otettava huomioon tietovarkaudet, ei vain järjestelmän seisokit. Varmuuskopiointi- ja palautussuunnitelmat, jotka valmistautuvat vain salattuihin tiedostoihin, eivät auta, jos todellinen riski on luottamuksellisten asiakastietojen vuotaminen. Kybervakuutukset, tietoturvaloukkausten hallintasuunnitelmat ja asiakasviestintästrategiat on kaikki mukautettava tähän todellisuuteen.
Käytännön puolustustoimet, joihin kannattaa panostaa
Muutama konkreettinen toimenpide voi merkittävästi vähentää altistumista tämäntyyppiselle hyökkäykselle. Vahva salaus sekä levossa että siirrossa oleville tiedoille rajoittaa sitä, mitä hyökkääjät voivat oikeasti hyödyntää, vaikka he pääsisivätkin tiedostoihin käsiksi. Säännölliset, testatut varmuuskopiot ovat edelleen tärkeitä, ei siksi, että ne kumoaisivat tietovuodon, vaan siksi, että ne varmistavat toiminnan jatkumisen ilman tarvetta neuvotella hyökkääjien kanssa. Verkon segmentointi on toinen keskeinen puolustuskeino: rajoittamalla sitä, kuinka pitkälle tunkeutuja voi liikkua päästyään verkkoon, firmat vähentävät mahdollisuuksia, että yksi vaarantunut tili johtaa koko firman laajuiseen tietomurtoon.
Nollaluottamusarkkitehtuuri, joka edellyttää käyttäjien ja laitteiden jatkuvaa vahvistamista sen sijaan, että luotettaisiin verkkosijainnin perusteella, on erityisen tehokas sellaista lateraalista liikkumista vastaan, joka muuttaa yhden vaarantuneen kirjautumisen koko firman laajuiseksi tiedon ulosvientitapahtumaksi. Yhdistettynä tiukkoihin pääsynhallintatoimiin, monivaiheiseen tunnistautumiseen ja epätavallisten tiedonsiirtojen seurantaan nämä toimenpiteet tekevät hyökkääjien huomattavasti vaikeammaksi hiljaa kerätä suuria määriä arkaluontoista tietoa ennen kuin kukaan huomaa.
Lopullinen johtopäätös
Nämä BigLaw-firmojen maksamat 50 miljoonaa dollaria korostavat laajempaa muutosta siinä, miten kiristysohjelmat ja kyberkiristys nykyään toimivat. Hyökkääjien ei enää tarvitse lukita yhtäkään tiedostoa aiheuttaakseen vakavaa vahinkoa, he tarvitsevat vain pääsyn oikeaan dataan ja riittävästi kärsivällisyyttä varastaakseen sen hiljaa. Lakifirmoille, tilintarkastustoimistoille ja kaikille organisaatioille, joiden huomaan on uskottu arkaluontoista asiakastietoa, opetus on selvä: salaus, segmentointi, testatut varmuuskopiot ja nollaluottamusperiaatteet eivät ole enää valinnaisia lisäyksiä. Ne ovat perusvaatimuksia niiden suojelemiseksi, jotka uskovat sinulle yksityisimmät tietonsa.
