Ransomware grupa koja se tek nedavno pojavila na prijetnji već je prijavila svoju prvu javno objavljenu žrtvu u tehnološkom sektoru. Istraživači prijetnji identificirali su grupu, koja sebe naziva Sovcali, nakon što je dodala tehnološku tvrtku na svoj portal s curenjem podataka na dark webu u sklopu kampanje dvostruke iznude. Incident je podsjetnik da se nove ransomware operacije kontinuirano pojavljuju i da nijedna industrija, uključujući tvrtke koje grade i osiguravaju našu digitalnu infrastrukturu, nije izuzeta od napada.

Što znamo o Sovcali ransomware grupi

Sovcali se opisuje kao novonastali ransomware sindikat, što znači da je riječ o novoidentificiranoj operaciji bez opsežnog javnog dosjea. Prema upozorenju, grupa je uvrstila organizaciju iz tehnološkog sektora na svoju stranicu s curenjem podataka dostupnu putem Tora, što je uobičajena taktika ransomware operatera za vršenje pritiska na žrtve prijetnjom javnog objavljivanja ukradenih podataka.

Metoda grupe slijedi sada već standardni scenarij dvostruke iznude. Umjesto da samo šifrira datoteke žrtve i zahtijeva plaćanje za ključ za dešifriranje, Sovcali navodno eksfiltrira podatke iz ciljanih mreža prije nego što provede enkripciju. To napadačima daje dvije poluge pritiska: žrtve se suočavaju i s operativnim poremećajem šifriranih sustava i s prijetnjom objavljivanja ili prodaje osjetljivih informacija ako otkupnina ne bude plaćena.

Na tehničkoj strani, navodi se da Sovcali koristi kombinaciju AES-256 i RSA enkripcije, pristup koji je široko korišten u ransomware ekosustavu jer spaja brzu simetričnu enkripciju datoteka (AES-256) s asimetričnim slojem (RSA) koji štiti same ključeve za enkripciju. Ta kombinacija čini neovlašteno dešifriranje iznimno teškim bez napadačevog privatnog ključa, što je upravo poanta: jača pregovaračku poziciju grupe nakon što su sustavi žrtve zaključani.

Zašto se nove ransomware grupe stalno pojavljuju

Pojava grupe poput Sovcali nije izoliran događaj. Ransomware kao kriminalni poslovni model pokazao se otpornim i prilagodljivim, a akcije provođenja zakona protiv jedne operacije obično prati pojava novih brendova, ponekad sastavljenih od suradnika ili bivših članova razbijenih grupa. Ovaj obrazac brzog formiranja grupa dokumentiran je i drugdje, uključujući izvješća o ExfilSquad ekstorzijskoj grupi, koja se pojavila i brzo prijavila više od desetak žrtava, te Moondancer ransomware grupi, koja se usredotočila na regrutiranje novih suradnika u Latinskoj Americi.

Širi brojevi potvrđuju trend. Nedavni pregled industrije, Black Kite 2026 Ransomware Report, pratio je tisuće ransomware žrtava tijekom jedne godine, naglašavajući da grupe poput Sovcali ulaze na već prepuno i vrlo aktivno kriminalno tržište, a ne na nišno. Za organizacije i pojedince to znači da prijetnja nije privremeni skok vezan uz jednu zloglasnu bandu, već trajna značajka trenutnog okruženja kibernetičke sigurnosti.

Dvostruka iznuda i aspekt privatnosti podataka

Ono što Sovcali slučaj čini posebno relevantnim sa stajališta privatnosti jest komponenta eksfiltracije podataka. Čak i organizacije s jakim praksama sigurnosnog kopiranja, koje mogu obnoviti šifrirane sustave bez plaćanja otkupnine, ostaju izložene riziku javnog curenja ukradenih podataka. Ti podaci mogu uključivati evidenciju kupaca, podatke zaposlenika, intelektualno vlasništvo ili interne komunikacije, a svaki od njih može potaknuti daljnje prijevare, phishing ili krađu identiteta nad osobama koje nisu imale izravnu ulogu u incidentu.

Žrtve iz tehnološkog sektora nose dodatnu dimenziju rizika jer te tvrtke često čuvaju osjetljive podatke svojih kupaca i partnera, što znači da jedan uspješan napad može imati posljedice duž cijelog lanca opskrbe.

Što to znači za vas

Ako ste kupac, partner ili zaposlenik tehnološke tvrtke, incidenti poput ovog signal su da ostanete na oprezu, a ne da paničarite. Ransomware grupe računaju na to da ukradeni podaci imaju vrijednost na crnom tržištu ili kao poluga, a nakon što se informacije objave na stranici s curenjem podataka, drugi zlonamjerni akteri mogu ih prikupljati i koristiti godinama nakon toga. Praćenje neuobičajenih aktivnosti na računima, korištenje jedinstvenih lozinki na različitim servisima i omogućavanje višefaktorske autentifikacije gdje god je to moguće ostaju najučinkovitije osobne obrane od posljedica ovih incidenata.

Za organizacije, Sovcali slučaj dodatno potvrđuje vrijednost pretpostavke da svaki uspješan upad vjerojatno uključuje krađu podataka, a ne samo enkripciju. Planovi odgovora na incidente trebali bi od samog početka uzeti u obzir oba scenarija.

Ključni zaključci

  • Pretpostavite da je dvostruka iznuda norma: izrađujte sigurnosne kopije sustava, ali planirajte i za mogućnost da ukradeni podaci mogu procuriti bez obzira na plaćanje otkupnine.
  • Pazite na obavijesti tehnoloških dobavljača koje koristite i brzo djelujte na svako otkrivanje incidenta.
  • Koristite jedinstvene, jake lozinke i višefaktorsku autentifikaciju kako biste ograničili štetu ako se vjerodajnice pojave u budućem curenju podataka.
  • Pratite kontinuirano izvještavanje o prijetnjama novonastalih grupa poput Sovcali, jer se nove ransomware operacije nastavljaju formirati i ciljati širok raspon industrija.