A Jack Henry nemet mond a zsarolási követelésekre

A Jack Henry pénzügyi technológiai szolgáltató megerősítette, hogy zsarolási kísérlet célpontja volt egy adatlopási incidens után, és a vállalat közölte, hogy nem fizet a támadóknak. Az American Banker jelentése szerint a hackerek határidőt szabtak a fizetésre. Ez a határidő már lejárt, és az ellopott adatok nem kerültek nyilvánosságra, legalábbis egyelőre.

A Jack Henry döntése szembe megy egy aggasztó trenddel. Annak ellenére, hogy a szövetségi hatóságok évek óta figyelmeztetnek a váltságdíj-követelések kifizetése ellen, a pénzügyi szolgáltató vállalatok jelentős számban továbbra is fizetnek a zsarolóknak – derül ki a jelentésben hivatkozott Pénzügyminisztériumi tanácsadóból. A Jack Henry elutasítása éppen azért figyelemre méltó, mert az ágazatában oly sok szervezet az ellenkező utat választotta.

Miért figyelmeztetnek a szövetségi ügynökségek a fizetés ellen

A váltságdíj kifizetésére nehezedő nyomás érthető. Amikor ügyféladatokról, belső rendszerekről vagy üzleti működésről van szó, a csekk kiállítása tűnhet a leggyorsabb módnak a probléma eltüntetésére. De az FBI és két másik szövetségi ügynökség által 2023-ban közösen kiadott útmutató egyértelművé teszi, hogy a fizetés ritkán hozza meg azt, amit az áldozatok remélnek. Az útmutató kifejezetten kimondja, hogy a váltságdíj kifizetése „nem garantálja, hogy az adatait visszafejtik, hogy rendszerei vagy adatai többé nem lesznek veszélyeztetve, vagy hogy adatai nem kerülnek nyilvánosságra."

Más szóval, a fizetés rossz esélyű fogadás. A bűnözői csoportoknak nincs jogi kötelezettségük, hogy tartsák magukat az üzlet feltételeihez, és nincs olyan végrehajtási mechanizmus, amely arra kényszerítené őket, hogy töröljék az ellopott fájlokat, vagy tartózkodjanak az adatok értékesítésétől a fizetés kézhezvétele után is. Egyes áldozatok, akik fizetnek, újra célponttá válnak, akár ugyanaz a csoport, akár mások támadják meg őket, akik megtudják, hogy a szervezet hajlandó fizetni.

Van egy tágabb következmény is: minden sikeres fizetés megerősíti az üzleti modellt. A zsarolóvírus- és zsarolócsoportok azért működnek, mert a gazdasági logika az ő javukat szolgálja. Minden kifizetés, még a vonakodó is, segít finanszírozni a következő támadást egy másik vállalat ellen, akár ugyanabban az iparágban.

A pénzügyi szektor zsarolóvírus-dilemmája

A Jack Henry helyzete szemlélteti, miért hagyJák figyelmen kívül ezt az útmutatást a gyakorlatban. A vállalat olyan technológiai infrastruktúrát biztosít, amelyet bankok és hitelszövetkezetek használnak, ami azt jelenti, hogy bármilyen adatkitettségnek messzire nyúló hatásai vannak a saját falain túl is. Ahogyan korábbi jelentésünkben is foglalkoztunk a Jack Henry zsarolóvírus-támadással, az incidens nem egy kifinomult technikai kihasználással kezdődött. Egy telefonhívással kezdődött, ami arra emlékeztet, hogy a támadók egyre inkább az emberi bizalmat célozzák meg, nem pedig a szoftveres sebezhetőségeket.

Ez a részlet itt számít. A hangalapú adathalászat és a social engineering taktikák arra tervezettek, hogy teljesen megkerüljék a technikai védelmet azzal, hogy meggyőznek egy alkalmazottat, hogy önként adja át a hozzáférést. Ha egyszer megszerezték ezt a hozzáférést, az ebből eredő adatlopás nem csak egyetlen vállalat nyilvántartásait érintheti, hanem minden olyan intézmény ügyféladatát is, amely a szolgáltatásaira támaszkodik. Ez is része annak, ami miatt a nem fizetés döntése ennyire következményes: ez egy olyan álláspont, amelyet egy sokkal szélesebb downstream ügyfél- és pénzintézethálózat nevében vállalnak, nem csak maga a Jack Henry.

Az, hogy a pénzügyi vállalatok a hivatalos ajánlások ellenére fizetnek a zsarolóknak, megmutatja, milyen nehéz ez a számítás a való világban. Az igazgatótanácsok és a vezetők mérlegelik a reputációs kárt, a szabályozói kitettséget és a működési leállást a bizonytalan, de nem nulla eséllyel szemben, hogy a fizetés korlátozhatja a kárt. A Jack Henry a vonal megtartása mellett döntött, és eddig a határidő lejárta adatszivárgás nélkül arra utal, hogy ez a döntés nem sült el azonnal rosszul, bár a helyzet még alakulhat.

Mit jelent ez Önnek

Ha Ön egy olyan bank vagy hitelszövetkezet ügyfele, amely a Jack Henry infrastruktúrájára támaszkodik, ez az incidens emlékeztető arra, hogy adatai biztonsága gyakran olyan szállítóktól függ, akikkel soha nem állt közvetlen kapcsolatban. Egy szállító zsarolóvírus-támadása vagy adatlopása Önt is érintheti, még akkor is, ha a saját bankját technikailag soha nem törték fel. Ez a modern pénzügyi szolgáltatások strukturális valósága, amelyek megosztott technológiai platformokra épülnek.

Ez az eset hasznos tanulsággal is szolgál arról, hogyan kell a szervezeteknek reagálniuk a zsarolási kísérletekre. A szövetségi útmutatás következetesen a nem fizetést támogatja, és a Jack Henry nyilvános álláspontja összhangban van ezzel a tanáccsal, szemben az iparágban elterjedtebb csendes fizetési gyakorlattal.

Gyakorlati tanulságok

Íme, mit tehet az ilyen hírekre reagálva:

  • Figyelje a pénzintézetétől érkező adatszivárgásról szóló értesítéseket, még akkor is, ha a mögöttes incidens egy szállítónál történt, nem pedig magánál a banknál.
  • Figyelje számláit és hiteljelentéseit szokatlan tevékenységre a jelentett pénzügyi szektorban történt adatlopást követő hetekben.
  • Fontolja meg a hitelfelfüggesztést vagy csalásfigyelő jelzést, ha értesítik, hogy adatai szerepelhettek egy adatszivárgásban.
  • Legyen szkeptikus a nem kért telefonhívásokkal szemben, amelyek fiókellenőrzést vagy bejelentkezési adatokat kérnek, mivel a social engineering továbbra is az egyik leggyakoribb belépési pont ezeknél a támadásoknál.

A Jack Henry zsarolók iránti elutasítása nem az utolsó nagy nyilvánosságot kapott tesztje lesz ennek az álláspontnak, de megmutatja, hogy a szövetségi útmutatás követése lehetséges, még nyomás alatt is. A fogyasztók számára a legjobb védekezés továbbra is az éberség: a számlák figyelése, a váratlan kérések ellenőrzése és a tájékozottság megőrzése, ahogy ezek az incidensek tovább zajlanak a pénzügyi szektorban.