Jack Henry odbija otkupninu nakon krađe podataka, rok je prošao

Jack Henry kaže ne zahtjevima za iznudu

Pružatelj financijske tehnologije Jack Henry potvrdio je da je bio meta pokušaja iznude nakon incidenta krađe podataka, a tvrtka kaže da neće platiti napadačima. Prema izvješćima American Bankera, hakeri su postavili rok za plaćanje. Taj je rok sada prošao, a ukradeni podaci nisu se pojavili javno, barem ne još.

Odluka Jack Henryja suprotstavlja ga uznemirujućem trendu. Unatoč godinama saveznih upozorenja protiv plaćanja zahtjeva za otkupninu, tvrtke financijskih usluga nastavile su plaćati iznuđivačima u značajnom broju, prema savjetu Ministarstva financija navedenom u izvješću. Odbijanje Jack Henryja posebno je značajno upravo zato što su mnoge organizacije u njegovom sektoru odabrale suprotan put.

Zašto savezne agencije upozoravaju protiv plaćanja

Pritisak za plaćanje otkupnine razumljiv je. Kada su podaci o kupcima, interni sustavi ili poslovne operacije ugroženi, ispisivanje čeka može se činiti kao najbrži način da se problem učini da nestane. Ali smjernice koje su 2023. zajednički izdale FBI i dvije druge savezne agencije jasno daju do znanja da plaćanje rijetko donosi ono što žrtve nadaju. Te smjernice jasno navode da plaćanje otkupnine "neće osigurati dešifriranje vaših podataka, da vaši sustavi ili podaci više neće biti ugroženi ili da vaši podaci neće biti procurili."

Drugim riječima, plaćanje je oklada s lošim izgledima. Kriminalne skupine nemaju zakonsku obvezu ispuniti svoj dio dogovora i ne postoji mehanizam provedbe koji bi ih prisilio da izbrišu ukradene datoteke ili se suzdrže od prodaje podataka sa strane čak i nakon primitka plaćanja. Neke žrtve koje plate završe ponovno na meti, bilo od iste skupine ili od drugih koji saznaju da je organizacija spremna platiti.

Postoji i šira posljedica: svako uspješno plaćanje jača poslovni model. Ransomware i iznudivačke skupine djeluju jer ekonomija ide u njihovu korist. Svaka isplata, čak i nevoljka, pomaže financirati sljedeći napad na drugu tvrtku, moguće u istoj industriji.

Dilema ransomwarea u financijskom sektoru

Situacija Jack Henryja ilustrira zašto se ove smjernice često ignoriraju u praksi. Tvrtka pruža tehnološku infrastrukturu koju koriste banke i kreditne unije, što znači da svako izlaganje podataka ima valne učinke daleko izvan vlastitih zidova. Kao što je pokriveno u našem ranijem izvješću o napadu ransomwarea na Jack Henry, incident nije započeo sofisticiranim tehničkim iskorištavanjem. Započeo je telefonskim pozivom, podsjetnikom da napadači sve više ciljaju na ljudsko povjerenje, a ne na ranjivosti softvera.

Taj je detalj ovdje važan. Glasovni phishing i tehnike socijalnog inženjeringa osmišljene su da u potpunosti zaobiđu tehničke obrane uvjeravanjem zaposlenika da dobrovoljno preda pristup. Kada se taj pristup dobije, rezultirajuća krađa podataka može utjecati ne samo na evidenciju jedne tvrtke, već i na podatke o kupcima svake institucije koja se oslanja na njezine usluge. To je dio onoga što odluku o neplaćanju čini tako važnom: to je stav zauzet u ime mnogo šire mreže krajnjih kupaca i financijskih institucija, ne samo Jack Henryja.

Činjenica da financijske tvrtke plaćaju ransomware iznuđivače unatoč službenim preporukama pokazuje koliko je ta računica teška u stvarnom svijetu. Odbori i rukovoditelji vagaju štetu ugledu, regulatornu izloženost i operativne zastoje protiv nesigurne, ali ne-nulte šanse da bi plaćanje moglo ograničiti štetu. Jack Henry je odlučio zadržati liniju i zasad, prošli rok bez curenja podataka sugerira da se ta odluka nije odmah izjalovila, iako se situacija još uvijek može razviti.

Što to znači za vas

Ako ste kupac banke ili kreditne unije koja se oslanja na infrastrukturu Jack Henryja, ovaj incident podsjetnik je da sigurnost vaših podataka često ovisi o dobavljačima s kojima nikada niste izravno komunicirali. Napad ransomwarea ili krađa podataka dobavljača može utjecati na vas čak i ako vaša vlastita banka nikada tehnički nije bila probijena. To je strukturalna stvarnost načina na koji su moderne financijske usluge izgrađene na zajedničkim tehnološkim platformama.

Ovaj slučaj također nudi korisnu lekciju o tome kako bi organizacije trebale reagirati na pokušaje iznude. Savezne smjernice dosljedno favoriziraju neplaćanje, a javni stav Jack Henryja usklađen je s tim savjetom, a ne s uobičajenijom industrijskom praksom tihog plaćanja.

Praktični zaključci

Evo što možete učiniti kao odgovor na ovakve vijesti:

• Pazite na obavijesti o probijanju podataka od svoje financijske institucije, čak i ako se temeljni incident dogodio kod dobavljača, a ne u samoj banci.
• Pratite svoje račune i izvješća o kreditnoj sposobnosti za neuobičajene aktivnosti u tjednima nakon bilo kakve prijavljene krađe podataka u financijskom sektoru.
• Razmotrite zamrzavanje kredita ili upozorenje o prijevari ako ste obaviješteni da su vaši podaci mogli biti uključeni u probijanje.
• Budite skeptični prema neželjenim telefonskim pozivima koji traže provjeru računa ili vjerodajnice za prijavu, budući da je socijalni inženjering i dalje jedan od najčešćih ulaznih točaka za te napade.

Odbijanje Jack Henryja da plati iznuđivače neće biti posljednji visokoprofilni test ovog stava politike, ali pokazuje da je slijeđenje saveznih smjernica moguće, čak i pod pritiskom. Za potrošače, najbolja obrana ostaje oprez: praćenje računa, provjera neočekivanih zahtjeva i informiranje dok se ti incidenti nastavljaju odvijati u financijskom sektoru.