Egy ransomware-igény egyértelmű válasz nélkül

Egy közelmúltbeli, a DiaSorint érintő ransomware-igény azért keltett figyelmet, nem azért, mert megerősített részletek állnak rendelkezésre arról, hogy mit loptak el vagy hány embert érint, hanem azért, ami hiányzik: egyértelmű, ellenőrzött információ. Az igényt a HackNotice jelezte, egy olyan szolgáltatás, amely nyilvánosan elérhető adatfolyamokat követ, hogy azonosítsa a lehetséges adatszivárgásokat, szivárgásokat és hackertámadásokat ügyfelei nevében. Egy az Opinion Nigeria-n keresztül publikált véleménycikk, amelyet Fransiscus Nanga Roka írt, amellett érvel, hogy az ilyen jellegű igények egy mélyebb problémát lepleznek le a ransomware-incidensek jelentésében és a nyilvánosság általi megértésében.

Ezt a problémát könnyű leírni, de nehéz megoldani. Amikor egy ransomware-csoport vagy fenyegető szereplő igényt tesz arra vonatkozóan, hogy feltört egy szervezetet, a nyilvánosságnak gyakran nincs független módja annak azonnali ellenőrzésére. A vállalatoknak időre lehet szükségük a vizsgálathoz, a hatókör megerősítéséhez vagy közlemények kiadásához. Eközben az olyan megfigyelőszolgáltatások, mint a HackNotice, nyílt forrásokból hozzák felszínre ezeket az igényeket, de egy igény felszínre hozatala nem ugyanaz, mint egy adatszivárgás megerősítése. A kezdeti igény és az ellenőrzött tény közötti szakadék az, amit a véleménycikk információs vákuumként ír le.

Miért számít az információs vákuum

Az információs vákuum azért veszélyes, mert teret hagy a találgatásoknak, a pániknak és a félreinformáltságnak, miközben az érintett személyek és szervezetek a tényekre várnak. A ransomware-igények gyakran hivatkoznak ellopott adatokra, de amíg egy vállalat vagy egy független nyomozó meg nem erősíti a hatókört, az incidensen kívülálló senki sem tudja igazán, mihez fértek hozzá. Bárki számára, akinek a személyes vagy üzleti adata egy érintett szervezethez köthető, ez a bizonytalanság nyugtalanító. Jelszavakat kell változtatniuk? Figyelniük kell a gyanús e-mailekre? Értesíteniük kell az ügyfeleket vagy partnereket? Egyértelmű útmutatás nélkül az emberek gyakran találgatásra kényszerülnek.

Ez nem új probléma, és nem egyedi egyetlen vállalatra vagy régióra sem. Hasonló nyilvánosságra hozatali hiányosságok máshol is előfordultak, többek között Nigériában, ahol Nigéria CAC-ja megerősített egy jelentős adatszivárgást, amely már korábban is kérdéseket vetett fel arról, hogy milyen gyorsan jut a nyilvánosság pontos információhoz egy biztonsági incidens után. A minta következetes: először egy igény vagy gyanú merül fel, a megerősítés pedig – ha egyáltalán bekövetkezik – gyakran lemarad. Ez a lemaradás az, ahol a bizalom erodálódik.

A nyilvánosságra hozatali kihívások szélesebb mintája

A DiaSorin elleni ransomware-igény, ahogyan azt a HackNotice megfigyelése ismertette, emlékeztető arra, hogy az adatmegfigyelő szolgáltatások egyre fontosabb szerepet játszanak olyan környezetben, ahol a hivatalos nyilvánosságra hozatalok lassúak vagy hiányosak lehetnek. Ezek a szolgáltatások nem helyettesítik az érintett szervezetek ellenőrzött közleményeinek szükségességét, de korai jelzést adnak a kutatóknak, újságíróknak és a nyilvánosságnak arról, hogy valami baj lehet. A kihívás annak biztosítása, hogy ez a korai jelzés ne tévesszen meg senkit megerősített tényként, és hogy a szervezetek időben és pontosan kommunikáljanak, amint egy incidens vizsgálat alatt áll.

Ez a kihívás felerősödik azokon a helyeken, ahol a megfigyelési infrastruktúra és az adatgyűjtés gyorsan bővül. Nigériában például a kormány 470 millió dolláros megfigyelési törekvése már kérdéseket vetett fel arról, hogyan gyűjtik, tárolják és védik a személyes adatokat. Amikor nagy mennyiségű adatot gyűjtenek kormányok vagy magánvállalatok, a ransomware-igényt követő információs vákuum tétjei nőnek, mert több ember adatai érintettek lehetnek.

Mit jelent ez Önnek

Ha bármilyen kapcsolatban áll olyan szervezettel, amely a személyes, egészségügyi vagy pénzügyi adatait kezeli, függetlenül attól, hogy közvetlenül nevezték-e meg egy ransomware-igényben vagy sem, a legbiztonságosabb megközelítés az, ha feltételezi, hogy az ellenőrzés időbe telik, és addig is óvatosan jár el. Ne várja meg egy vállalat hivatalos megerősítését, mielőtt alapvető védelmi lépéseket tenne, ha oka van feltételezni, hogy az adatai érintettek lehetnek. Ugyanakkor kerülje az ellenőrizetlen igények tényként való terjesztését, mivel ez csak mélyíti a zavart, amelyet a ransomware-csoportok gyakran kihasználnak a figyelemfelkeltés vagy a nyomásgyakorlás érdekében.

A megfigyelőszolgáltatások és a független jelentések pontosan azért léteznek, mert a hivatalos nyilvánosságra hozatalok nem mindig gyorsak vagy teljesek. A megbízható forrásokon keresztül történő tájékozódás, ahelyett hogy kizárólag egy vállalat nyilvános közleményeire hagyatkozna, jobb esélyt ad arra, hogy megfelelően reagáljon, mielőtt minden tény tisztázódna.

Gyakorlati tanulságok

  • Kezelje a ransomware-igényeket ellenőrizetlenként, amíg egy vállalat vagy független forrás meg nem erősíti a részleteket.
  • Ha bármilyen kapcsolatban áll egy ransomware-igényben megnevezett szervezettel, figyelje a fiókjait, és fontolja meg a jelszavak óvintézkedésként történő frissítését.
  • Legyen szkeptikus a forrásmegjelölés nélküli másodkézből származó jelentésekkel szemben, és keressen frissítéseket megbízható megfigyelő- vagy hírforrásokból.
  • Ismerje fel, hogy az információs vákuumok gyakoriak a ransomware-igények után, és használja ezt a bizonytalanságot az óvatosság okaként, nem pedig a pánik okaként.
  • Támogassa a gyorsabb, egyértelműbb adatszivárgás-bejelentési gyakorlatokat azoknál a szervezeteknél, amelyek az Ön adatait kezelik, mivel az átláthatóság csökkenti a késleltetett kommunikáció által okozott kockázatokat.