Ransomware napad na neprofitnu organizaciju koja pomaže preživjelima trgovine ljudima izazvao je novu uzbunu među istraživačima kibernetičke sigurnosti, ne zbog tehničke sofisticiranosti, već zbog toga tko je žrtva. Skupina prijetnji iza incidenta, poznata kao CRPx0, objavila je organizaciju na svojoj stranici za curenje podataka na dark webu i tvrdila da je eksfiltrirala osobne, financijske, operativne i upravljačke podatke prije nego što je zaprijetila da će ih objaviti ako neprofitna organizacija ne plati. Prema analizi koju je objavio Ransom-ISAC, organizacija podržava preživjele trgovine ljudima, populaciju koja je već pod povećanim rizikom od štete, odmazde i ponovne viktimizacije.

Što CRPx0 tvrdi da je ukrao i zašto je to važno

Prema objavi na CRPx0 stranici za curenje podataka koju je pregledao Ransom-ISAC, skupina tvrdi da je pristupila širokom rasponu kategorija podataka: osobnim zapisima, financijskim dokumentima, operativnim datotekama i upravljačkim materijalima. Za većinu organizacija, probijanje koje zahvaća te četiri kategorije već bi bilo ozbiljno. Za neprofitnu organizaciju čija se cijela baza korisnika sastoji od preživjelih trgovine ljudima, ulozi su dramatično veći. Osobni podaci koji pripadaju preživjelima mogu uključivati podatke za identifikaciju, povijest slučaja i kontaktne informacije koje, ako budu otkrivene, mogu dovesti ljude u izravan kontakt s pojedincima ili mrežama koje su ih prvotno iskorištavale.

CRPx0 je aktivan operater dvostruke iznude u više sektora. Ransom-ISAC i drugi istraživači prethodno su dokumentirali tvrdnje skupine protiv turskog poslovanja Hyundaija, gdje je tvrdila da je ukrala osjetljive podatke povezane s regionalnim poslovanjem proizvođača automobila, što ilustrira da se skupina ne ograničava na jednu industriju ili profil žrtve. Za čitatelje koji žele znati mehaniku kako se to događa, objašnjenje kako funkcioniraju CRPx0 napadi dvostruke iznude raščlanjuje tipičan pristup skupine: prvo ukradi podatke, drugo enkriptiraj sustave, i koristi prijetnju javnog otkrivanja kao polugu čak i ako otkupnina ne bude plaćena.

Zašto su neprofitne organizacije koje služe ranjivim populacijama ciljevi visoke vrijednosti

Ransomware skupine biraju ciljeve na temelju jednostavne kalkulacije: koliko se pritiska može primijeniti i koliko je vjerojatno da će žrtva platiti kako bi se pritisak zaustavio. Neprofitne organizacije koje pomažu preživjelima trgovine ljudima nalaze se na neugodnom sjecištu te kalkulacije. Te organizacije obično posluju s ograničenim IT proračunima i malim sigurnosnim timovima, što ih čini lakšim za probijanje nego dobro opremljenu korporaciju. Istovremeno, osjetljivost podataka koje posjeduju i potencijal za stvarnu štetu ako ti podaci procure, daje napadačima neobično jaku polugu.

Ovo je obrazac koji se viđa i drugdje u neprofitnom i socijalnom sektoru, gdje organizacije upravljaju vrlo osobnim zapisima, ali često nemaju sigurnosnu infrastrukturu većih institucija. To odražava dinamiku viđenu u drugim sektorima koji rukuju osjetljivim osobnim podacima, poput zdravstva, gdje su probijanja u bolnicama i pružateljima skrbi opetovano izlagala podatke osoblja i pacijenata kroz slabosti u sustavima trećih strana. Zajednička nit je da napadači sve više prepoznaju da osjetljivost podataka, a ne veličina organizacije, pokreće vrijednost iznude.

Dvostruka šteta: isplate otkupnine naspram rizika ponovnog izlaganja preživjelih

Ono što ovaj incident čini drugačijim od tipičnog korporativnog ransomware slučaja jest dvojna priroda štete koja je u igri. U standardnom probijanju, primarna briga je financijska: prijevara, krađa identiteta ili trošak sanacije. Ovdje kalkulacija uključuje drugu, ljudskiju dimenziju. Ako CRPx0 provede svoju prijetnju i objavi podatke preživjelih, samo izlaganje postaje oblik sekundarne štete, potencijalno upozoravajući trgovce ljudima na lokaciju preživjelog, pravni status ili suradnju s vlastima i istražiteljima.

Ova struktura dvostruke štete stavlja neprofitne organizacije u posebno težak položaj pri odlučivanju kako odgovoriti na zahtjev za iznudom. Plaćanje otkupnine ne nudi jamstvo da će ukradeni podaci biti izbrisani ili zadržani povjerljivima, što je točka naglašena u širim istraživanjima o skupinama za dvostruku iznudu. S druge strane, neplaćanje riskira javno otkrivanje zapisa koji bi mogli ugroziti upravo one ljude koje organizacija postoji da zaštiti.

Kako misijski orijentirane organizacije mogu ojačati prakse upravljanja podacima

Neprofitne organizacije koje rukuju osjetljivim podacima klijenata mogu poduzeti konkretne korake za smanjenje svoje izloženosti ovoj vrsti napada. Ograničavanje zadržavanja podataka jedno je od najučinkovitijih: organizacije bi trebale čuvati samo osobne informacije koje stvarno trebaju, onoliko dugo koliko ih trebaju, i odlagati ostatak. Segmentiranje mreža tako da su sustavi za upravljanje slučajevima izolirani od općih administrativnih sustava također može ograničiti koliko daleko se uljez može kretati jednom kada uđe u sustav.

Višefaktorska autentifikacija na svim računima s pristupom zapisima klijenata osnovna je kontrola koja zaustavlja mnoge od početnih tehnika pristupa na koje se ransomware skupine oslanjaju. Redovite, testirane izvanmrežne sigurnosne kopije smanjuju pritisak za plaćanje otkupnine za obnovu operacija, iako ne sprječavaju prijetnju curenja podataka. Konačno, organizacije bi trebale imati plan odgovora na incident koji posebno uzima u obzir mogućnost izlaganja osjetljivih podataka klijenata, uključujući kako i kada obavijestiti pogođene pojedince.

Što to znači za vas

Ako podržavate, volontirate za ili primate usluge od neprofitne organizacije koja rukuje osjetljivim osobnim podacima, ovaj incident je podsjetnik da su čak i male, misijski orijentirane organizacije aktivne mete ransomware napada na neprofitne organizacije i posebno podataka preživjelih trgovine ljudima. Ako ste ikada podijelili osobne informacije s organizacijom za pomoć preživjelima, razumno je pitati koje mjere zaštite podataka imaju i kako bi vas obavijestili u slučaju probijanja. Za same organizacije, ovaj slučaj je signal da pregledaju prakse minimizacije podataka sada, a ne nakon što se incident dogodi.

Zaključci

Ransomware napad na neprofitnu organizaciju koja pomaže preživjelima trgovine ljudima pokazuje da će skupine za dvostruku iznudu ciljati bilo koju organizaciju koja drži osjetljive podatke, bez obzira na veličinu ili misiju. Čitatelji i organizacije mogu odgovoriti zalaganjem za snažniju minimizaciju podataka, višefaktorsku autentifikaciju i segmentaciju mreže u neprofitnim organizacijama koje rukuju informacijama ranjivih populacija. Za širi pogled na to kako se ti napadi tehnički odvijaju, raščlamba CRPx0 dvostruke iznude nudi korisnu pozadinu, dok slučaj Hyundai Turkey pokazuje kako ista skupina djeluje protiv velikih korporativnih ciljeva, naglašavajući da nijedan sektor nije izvan granica.