Poziv na buđenje od 50 milijuna dolara za velike odvjetničke tvrtke
Neke od najprestižnijih odvjetničkih tvrtki u Sjedinjenim Državama, uključujući Weil Gotshal & Manges, WilmerHale i Goodwin Procter, navodno su platile ukupno gotovo 50 milijuna dolara cyber iznuđivačkoj skupini u posljednjih nekoliko mjeseci. Ono što ovaj slučaj čini posebno uznemirujućim nije samo iznos u dolarima. Riječ je o tome kako se napad odvijao. Nijedan sustav nije bio šifriran. Nije bilo zaključanog zaslona, odbrojavanja ni tradicionalne poruke s otkupninom koja zahtijeva plaćanje za otključavanje zamrznutih datoteka. Bila je to tiša, kirurški preciznija vrsta ransomwarea, izgrađena oko ukradenih podataka, a ne onesposobljene infrastrukture.
Za industriju koja posjeduje neke od najosjetljivijih informacija koje postoje, od povlaštenih komunikacija s klijentima do financijskih evidencija i detalja o spajanjima, ovaj incident podsjetnik je da čak i najbolje opremljene institucije mogu biti iznenađene.
Zašto ransomware ne izgleda uvijek kao ransomware
Klasična slika napada ransomwarea uključuje tvrtku koja se probudi i otkrije da su sve datoteke šifrirane te poruku koja zahtijeva kriptovalutu za vraćanje pristupa. Ta verzija ransomwarea još uvijek postoji, ali napadači su se sve više okrenuli drugačijem modelu: prvo tiho izvuku podatke, a zatim prijete da će ih objaviti ili prodati ako ne budu plaćeni. Nije potrebno šifriranje. Nijedan sustav ne mora pasti. Pritisak u potpunosti proizlazi iz prijetnje objavljivanjem.
Ova promjena je važna jer mijenja ono što "detekcija" znači. Tradicionalni ransomware sam se najavi u trenutku kada se datoteke zaključaju. Iznuda podacima, s druge strane, može se dogoditi tiho, ponekad tjednima ili mjesecima, prije nego što žrtva uopće shvati da su informacije napustile njihovu mrežu. Odvjetničke tvrtke posebno su privlačne mete za ovaj pristup jer su podaci koje posjeduju, strategija sudskih sporova, financijska izvješća, osobni podaci klijenata, često vrijedniji ako ostanu povjerljivi nego da ih se jednostavno izbriše.
Ovaj scenarij nije jedinstven za pravnu industriju. Slične taktike iznude korištene su i protiv tvrtki izvan pravnog sektora. U Australiji je napadač javno prijetio da će objaviti milijune korisničkih datoteka ako Origin Energy ne plati, a energetski div Shell istraživao je tvrdnje grupe Cl0p da je ukrala gotovo 89 GB podataka tvrtke. Zajednička nit u svim ovim slučajevima jest da stvarna šteta nije zaključan sustav. Šteta su sami podaci i ono što se dogodi ako postanu javni.
Što to znači za vas
Ako ste klijent odvjetničke tvrtke, računovodstvenog ureda ili bilo koje organizacije koja rukuje osjetljivim osobnim ili financijskim podacima, ovaj incident koristan je podsjetnik da sigurnost podataka nije zajamčena samo zato što je institucija velika, etablirana ili dobro financirana. Ugled i resursi ne pretvaraju se automatski u snažne prakse cyber sigurnosti.
Ako radite u okruženju profesionalnih usluga, posebno u računovodstvenom ili odvjetničkom uredu, poruka je izravnija: model prijetnji vaše tvrtke mora uključivati krađu podataka, ne samo prekid rada sustava. Planovi sigurnosnog kopiranja i oporavka koji se pripremaju samo za šifrirane datoteke neće pomoći ako je stvarni rizik curenje povjerljivih informacija o klijentima. Police cyber osiguranja, planovi odgovora na incidente i strategije komunikacije s klijentima moraju odražavati ovu stvarnost.
Praktične obrane kojima vrijedi dati prednost
Nekoliko konkretnih koraka može značajno smanjiti izloženost ovoj vrsti napada. Snažna enkripcija podataka u mirovanju i u prijenosu ograničava ono što napadači zapravo mogu iskoristiti čak i ako uspiju pristupiti datotekama. Redovite, testirane sigurnosne kopije i dalje su važne, ne zato što poništavaju curenje podataka, već zato što osiguravaju da se poslovanje može nastaviti bez pregovaranja s napadačima. Segmentacija mreže još je jedna ključna obrana: ograničavanjem dosega provalnika nakon ulaska u mrežu, tvrtke smanjuju šanse da jedan kompromitirani račun dovede do proboja na razini cijele tvrtke.
Arhitektura nulte povjerenosti (zero-trust), koja zahtijeva kontinuiranu provjeru korisnika i uređaja umjesto pretpostavljanja povjerenja na temelju mrežne lokacije, posebno je učinkovita protiv vrste lateralnog kretanja koje pretvara jednu kompromitiranu prijavu u izvlačenje podataka na razini cijele tvrtke. U kombinaciji sa strogim kontrolama pristupa, višefaktorskom autentifikacijom i praćenjem neuobičajenih prijenosa podataka, ove mjere znatno otežavaju napadačima da tiho prikupe velike količine osjetljivih informacija prije nego itko to primijeti.
Zaključak
50 milijuna dolara koje su isplatila ove velike odvjetničke tvrtke naglašava širu promjenu u načinu na koji ransomware i cyber iznuda zapravo funkcioniraju danas. Napadači više ne moraju zaključati niti jednu datoteku da bi prouzročili ozbiljnu štetu, samo trebaju pristup pravim podacima i dovoljno strpljenja da ih tiho izvuku. Za odvjetničke tvrtke, računovodstvene urede i sve organizacije kojima su povjerene osjetljive informacije o klijentima, pouka je jasna: enkripcija, segmentacija, testirane sigurnosne kopije i načela nulte povjerenosti više nisu opcijska dodatna oprema. To su osnovni zahtjevi za zaštitu ljudi koji vam povjeravaju svoje najprivatnije informacije.
