Kada su agencije za provedbu zakona zavirile iza zastora

U veljači 2024., koalicija međunarodnih agencija za provedbu zakona srušila je infrastrukturu iza LockBita, jedne od najplodnijih ransomware operacija u novije vrijeme. Ono što su istražitelji pronašli kada su dobili pristup LockBitovim sustavima bilo je više od dokaza o kriminalnoj aktivnosti. Otkrili su da je grupa zadržala kopije ukradenih podataka žrtava čak i nakon što su tim žrtvama, često u zamjenu za plaćanje, rekli da su podaci izbrisani.

Ovaj jedan detalj je daleko važniji nego što se na prvi pogled čini. Godinama je standardni priručnik za organizacije pogođene ransomwareom uključivao tihu, neugodnu opciju: platiti otkupninu, dobiti obećanje o brisanju od napadača i nastaviti dalje. Otkriće o LockBitu potvrđuje ono što su mnogi sigurnosni istraživači dugo sumnjali. To obećanje je često bezvrijedno, a žrtve često nemaju načina da to saznaju.

Jaz između onoga što se žrtvama kaže i onoga što se zapravo događa

Pregovori o ransomwareu obično se odvijaju izvan javnosti, posredovani od strane tvrtki za odgovor na incidente, osiguravatelja ili samih organizacija žrtava. Kada kriminalna grupa tvrdi da je izbrisala ukradene datoteke, rijetko postoji neovisan način za provjeru te tvrdnje. Od žrtava se u biti traži da vjeruju riječi istog aktera koji je provalio u njihove sustave i ukrao njihove podatke.

Slučaj LockBit pokazuje zašto je to povjerenje pogrešno. Čak i kada je kriminalno poduzeće dovoljno sofisticirano da vodi funkcionalnu operaciju "korisničke službe" za svoje žrtve, s portalima za pregovore i potvrdama o brisanju, temeljni poticaj za stvarnim uništavanjem vrijednih ukradenih podataka jednostavno ne postoji. Podaci imaju vrijednost za preprodaju, vrijednost za pritisak i vrijednost za buduće iznuđivanje. Brisanje je protivno vlastitim interesima napadača.

Ovaj raskorak rijetko dolazi na naslovnice poput objave o povredi podataka. Tvrtke koje tiho plate kako bi riješile problem nemaju puno razloga javno otkriti da obećanje o brisanju nije ispoštovano, pogotovo ako to nikada ne saznaju. Ta šutnja je dio razloga zašto se nepovoljni ishodi događaju češće nego što javni zapisi sugeriraju. Rušenje LockBitove infrastrukture jedan je od rijetkih slučajeva gdje je jaz između obećanja i stvarnosti postao vidljiv, na sličan način na koji je Googleovo ometanje hakerske mreže povezane s CCP-om podiglo zastor nad aktivnostima koje bi inače ostale skrivene od pogođenih organizacija.

Zašto bi ovo trebalo promijeniti način na koji organizacije razmišljaju o ransomwareu

Praktična poruka nije da je plaćanje otkupnine uvijek pogrešan izbor. Svaki incident nosi svoje pravne, operativne i financijske pritiske, i neke organizacije još uvijek mogu odlučiti da im je plaćanje najmanje loša opcija. Poruka je da se plaćanje nikada ne smije tretirati kao rješenje problema izloženosti podataka.

Jednom kada podaci napuste kontrolu organizacije, treba ih tretirati kao trajno kompromitirane, bez obzira na bilo kakva jamstva koja slijede. To znači da se obveze obavještavanja, komunikacije s korisnicima i procjene rizika moraju provoditi kao da ukradeni podaci još uvijek kruže, jer vrlo lako mogu. Police kibernetičkog osiguranja i planovi odgovora na incidente koji pretpostavljaju čisto rješenje nakon plaćanja temelje se na zastarjeloj i sve više diskreditiranoj premisi.

Što ovo znači za vas

Za pojedince čiji su podaci možda zahvaćeni povredom povezanom s ransomware napadom, otkriće o LockBitu podsjetnik je da ne spuštaju oprez samo zato što tvrtka objavi da je incident "riješen". Obećanje o brisanju od kriminalaca nije jamstvo, a vaši podaci mogu ostati izloženi dugo nakon što naslovi izblijede.

Za tvrtke, posebno male i srednje veličine bez namjenskih sigurnosnih timova, ovo je argument za prevenciju umjesto pregovora. Snažne prakse izrade sigurnosnih kopija, segmentacija mreže i osnovna higijena krajnjih točaka smanjuju izglede da se ikada nađete u poziciji u kojoj se oslanjate na riječ iznuđivača. Pregled načina na koji su osobni i profesionalni računi zaštićeni, uključujući i to usmjerava li se osjetljivi promet kroz sigurne veze, razumno je mjesto za početak; neke organizacije razmatraju opcije poput onih na stranicama koje uspoređuju pružatelje usluga kao što su IVPN ili Mozilla VPN kao dio šireg nastojanja da se smanji izloženost, iako nijedan pojedinačni alat ne zamjenjuje potpunu sigurnosnu strategiju.

Praktične preporuke

  • Pretpostavite da svi podaci ukradeni u ransomware incidentu ostaju trajno ugroženi, čak i ako je dano obećanje o brisanju.
  • Ne dopustite da plaćanje otkupnine zamijeni potpunu obavijest o povredi podataka i mjere zaštite korisnika.
  • Dajte prioritet sigurnosnim kopijama i segmentaciji mreže kako plaćanje napadačima nikada ne bi bila jedina opcija na stolu.
  • Ako budete obaviješteni da su vaši podaci bili uključeni u povredu, pratite svoje račune i kreditne izvještaje dugo nakon početne objave.
  • Tražite transparentnost od bilo koje organizacije koja obrađuje vaše podatke o tome kako reagira na ransomware incidente, a ne samo je li platila.

Rušenje LockBita pružilo je rijedak, nefiltriran uvid u to kako se kibernetička iznuda zapravo odvija kada kriminalci više ne kontroliraju narativ. Tretiranje obećanja o brisanju kao činjenice, umjesto kao neprovjerenih tvrdnji neprijateljskog aktera, ostavilo je previše žrtava s lažnim osjećajem zaključenosti. Ostati skeptičan i ostati pripremljen ostaje bolja dugoročna strategija.