Švicarski sud izrekao je kaznu od gotovo 13 godina 52-godišnjem ukrajinskom muškarcu osuđenom za razvoj ransomwarea Nefilim, čime je zatvoren slučaj koji seže do kibernapada na Stadler Rail 2020. godine. Izricanje kazne označava jedno od značajnijih ransomware tuženja koje se odvilo u europskoj sudnici te pruža koristan uvid u to kako ransomware operacije zapravo funkcioniraju i što se događa kada žrtve odbiju platiti.
Od incidenta sa zlonamjernim softverom do presude za ransomware
Kada je Stadler Rail pogođen 2020. godine, tvrtka u početku nije koristila riječ "ransomware". U to je vrijeme incident opisala samo kao slučaj koji uključuje zlonamjerni softver koji je "najvjerojatnije doveo do curenja podataka" te je navela da su napadači pokušali iznuditi veliku svotu novca, prijeteći objavljivanjem ukradenih datoteka ako otkupnina ne bude plaćena. Stadler je tada odbio platiti, kao što je učinio i nakon zasebnog incidenta ove godine. To je odbijanje postavilo temelj za kriminalističku istragu koja je na kraju identificirala pojedinca odgovornog za Nefilim ransomware kod korišten u napadu.
Nefilim je bio dio vala ransomware obitelji koje su kombinirale šifriranje datoteka s krađom podataka, taktiku koja se često naziva dvostruka iznuda. Umjesto da jednostavno zaključaju žrtvine sustave, operateri bi najprije eksfiltirali osjetljive datoteke, a zatim prijetili njihovom javnom objavom ako žrtva ne plati. Ovaj pristup stavljao je dodatni pritisak na organizacije, budući da čak ni snažna strategija sigurnosnih kopija nije mogla zaštititi od reputacijskih i regulatornih posljedica javnog curenja podataka. Naše ranije izvještavanje o suđenju za ransomware u Zürichu detaljno je opisalo kako su tužitelji izgradili svoj slučaj, tražeći kaznu od 12 godina prije nego što je sud konačno izrekao kaznu od gotovo 13 godina.
Zašto je ovaj slučaj važan izvan Švicarske
Ransomware tuženja koja rezultiraju dugim zatvorskim kaznama ostaju relativno rijetka, uglavnom zato što mnogi operateri djeluju iz jurisdikcija koje otežavaju izručenje ili uhićenje. Ovaj je slučaj značajan upravo zato što je rezultirao identificiranim pojedincem, kaznenim suđenjem i znatnom kaznom koju je izrekao švicarski sud. To pokazuje da provedba zakona i tužitelji mogu, u nekim okolnostima, uspješno pratiti ransomware kod natrag do njegovog programera i pozvati tu osobu na odgovornost godinama nakon izvornog napada.
Slučaj također potvrđuje obrazac koji se opetovano pojavljuje u ransomware incidentima: žrtve koje odbiju platiti ne suočavaju se nužno s gorim ishodima, a plaćanje otkupnine ne jamči da ukradeni podaci neće ipak biti objavljeni. Odluka Stadler Raila da ne plati 2020. godine, a ponovno i ove godine, u skladu je sa smjernicama sigurnosnih istraživača i agencija za provedbu zakona koji općenito savjetuju protiv financiranja ransomware operacija, budući da plaćanje ne poništava povredu sigurnosti i često financira daljnje kriminalne aktivnosti.
Što to znači za vas
Za većinu čitatelja ovaj slučaj nije izravna prijetnja, ali je podsjetnik na to kako ransomware operacije zapravo funkcioniraju iza kulisa. Napadi poput onoga na Stadler Rail obično počinju ukradenim vjerodajnicama, phishing e-porukama ili iskorištenim ranjivostima softvera, a ne nekom nezaustavljivom silom. Pojedinci koji pišu i raspoređuju ransomware kod su ljudi koji mogu, u nekim slučajevima, biti identificirani, procesuirani i osuđeni, čak i godinama nakon što se napad dogodi.
Ako radite u organizaciji koja rukuje osjetljivim podacima, ovaj slučaj naglašava važnost pretpostavke da svaki uspješan upad može uključivati krađu podataka, a ne samo šifriranje. Same strategije sigurnosnih kopija nisu dovoljne. Organizacije trebaju planove odgovora na incidente koji uzimaju u obzir mogućnost curenja datoteka te moraju odlučiti svoj stav o plaćanju otkupnine prije nego što se napad dogodi, a ne tijekom kaosa koji on donosi. Za pojedinačne korisnike, pouka je slična onome što dugo preporučujemo: snažne, jedinstvene lozinke, višefaktorska autentifikacija i oprezno rukovanje privicima i poveznicama u e-pošti ostaju najučinkovitija obrana protiv tehnika početnog pristupa koje uopće omogućuju ransomware napade.
Ključne poante
Ova presuda pokazuje da ransomware operateri nisu nedodirljivi i da strpljiv istražni rad može na kraju povezati komad zlonamjernog koda s osobom koja ga je napisala. Za organizacije, slučaj potvrđuje vrijednost odbijanja zahtjeva za otkupninom i pripreme za scenarije curenja podataka umjesto pretpostavke da je šifriranje jedini rizik. Za pojedince, to je podsjetnik da ransomware napadi gotovo uvijek počinju banalnim sigurnosnim propustom, slabom lozinkom, nezakrpanim sustavom ili uspješnim phishing pokušajem, a sve se to može spriječiti osnovnom sigurnosnom higijenom. Kako sve više ransomware slučajeva prolazi kroz sudove, očekujte kontinuirano preispitivanje načina na koji se te operacije financiraju, vode i na kraju razgrađuju.
