Amikor a bűnüldöző szervek a függöny mögé pillantottak

2024 februárjában egy nemzetközi bűnüldöző szervekből álló koalíció felszámolta a LockBit, az utóbbi idők egyik legtermékenyebb zsarolóvírus-műveletének infrastruktúráját. Amikor a nyomozók hozzáfértek a LockBit rendszereihez, nem csupán bűncselekmények bizonyítékaira bukkantak – rájöttek, hogy a csoport még akkor is megőrizte az ellopott áldozati adatok másolatait, amikor az áldozatoknak, gyakran fizetség ellenében, azt állították, hogy az adatokat törölték.

Ez az egyetlen részlet sokkal nagyobb jelentőséggel bír, mint ami első pillantásra látszik. Évek óta a zsarolóvírus-támadást szenvedett szervezetek standard forgatókönyvének része egy csendes, kényelmetlen lehetőség: fizessék ki a váltságdíjat, kapjanak törlési ígéretet a támadótól, és lépjenek tovább. A LockBit leleplezése megerősíti, amit sok biztonsági kutató régóta gyanított: ez az ígéret gyakran semmit sem ér, és az áldozatoknak általában nincs módjuk ezt ellenőrizni.

A szakadék aközött, amit az áldozatoknak mondanak, és ami valójában történik

A zsarolóvírus-tárgyalások tipikusan a nyilvánosság kizárásával zajlanak, incidensreagáló cégek, biztosítók vagy maguk az áldozat szervezetek közvetítésével. Amikor egy bűnözői csoport azt állítja, hogy törölte az ellopott fájlokat, ritkán van független mód az állítás ellenőrzésére. Az áldozatoknak lényegében ugyanannak a szereplőnek a szavában kell bízniuk, aki eredetileg betört a rendszereikbe és ellopta az adataikat.

A LockBit-ügy megmutatja, miért helytelen ez a bizalom. Még akkor is, ha egy bűnszervezet elég kifinomult ahhoz, hogy működő „ügyfélszolgálatot” üzemeltessen áldozatai számára, tárgyalási portálokkal és törlési tanúsítványokkal kiegészítve, az alapvető ösztönző arra, hogy valóban megsemmisítse az értékes ellopott adatokat, egyszerűen hiányzik. Az adatoknak viszonteladási értéke, befolyásolási ereje és jövőbeli zsarolási értéke van. Ezek törlése a támadó saját érdekei ellen dolgozik.

Ez a szakadék ritkán kerül a címlapokra úgy, mint egy adatvédelmi incidens bejelentése. Azoknak a cégeknek, amelyek csendben fizetnek, hogy a probléma eltűnjön, kevés okuk van nyilvánosságra hozni, hogy a törlési ígéretet nem tartották be, különösen, ha soha nem is tudják meg. Ez a hallgatás része annak, hogy a kedvezőtlen kimenetelek gyakrabban fordulnak elő, mint ahogyan azt a nyilvános nyilvántartás sugallja. A LockBit infrastruktúrájának felszámolása azon kevés esetek egyike, ahol az ígéret és a valóság közötti különbség egyáltalán láthatóvá vált, hasonlóan ahhoz, ahogy a Google leleplezett egy CCP-hez köthető hackerhálózatot, ami fellebbentette a fátylat olyan tevékenységekről, amelyek egyébként rejtve maradtak volna az érintett szervezetek elől.

Miért kellene ennek megváltoztatnia a szervezetek zsarolóvírusokkal kapcsolatos gondolkodását?

A gyakorlati tanulság nem az, hogy a váltságdíj kifizetése mindig rossz döntés. Minden incidensnek megvannak a maga jogi, működési és pénzügyi nyomásai, és egyes szervezetek továbbra is úgy dönthetnek, hogy a fizetés a legkevésbé rossz lehetőség. A tanulság az, hogy a fizetést soha nem szabad az adatvédelmi probléma megoldásaként kezelni.

Amint az adatok kikerülnek egy szervezet ellenőrzése alól, azokat véglegesen kompromittáltnak kell tekinteni, függetlenül minden későbbi biztosítéktól. Ez azt jelenti, hogy az értesítési kötelezettségeket, az ügyfélkommunikációt és a kockázatértékeléseket úgy kell folytatni, mintha az ellopott adatok továbbra is forgalomban lennének, mert könnyen lehet, hogy így van. Azok a kiberbiztosítási kötvények és incidensreagálási tervek, amelyek a fizetés utáni tiszta megoldást feltételezik, elavult és egyre inkább hiteltelen előfeltevésre épülnek.

Mit jelent ez Önnek?

Azon személyek számára, akiknek az adatai egy zsarolóvírus-támadáshoz kapcsolódó adatvédelmi incidensbe kerülhettek, a LockBit leleplezése arra emlékeztet, hogy ne engedjék le az őrséget csak azért, mert egy cég bejelenti, hogy az esetet „megoldották”. A bűnözők törlési ígérete nem garancia, és az Ön adatai a hírek elhalványulása után is veszélyben maradhatnak.

A vállalkozások, különösen a dedikált biztonsági csapat nélküli kis- és középvállalkozások számára ez a megelőzés melletti érv a tárgyalással szemben. Az erős biztonsági mentési gyakorlatok, a hálózatszegmentálás és az alapvető végpont-higiénia csökkenti annak esélyét, hogy valaha is olyan helyzetbe kerüljön, ahol egy zsaroló szavára kell hagyatkoznia. Annak áttekintése, hogy a személyes és szakmai fiókok hogyan vannak védve, beleértve azt is, hogy az érzékeny forgalom biztonságos kapcsolatokon keresztül halad-e, ésszerű kiindulópont; egyes szervezetek olyan lehetőségeket keresnek, mint amilyenek a szolgáltatókat, például az IVPN-t vagy a Mozilla VPN-t összehasonlító oldalakon találhatók, a kitettség csökkentésére irányuló szélesebb körű erőfeszítések részeként, bár semmilyen egyedi eszköz nem helyettesíti a teljes biztonsági stratégiát.

Gyakorlati tanácsok

  • Tételezze fel, hogy a zsarolóvírus-incidens során ellopott adatok határozatlan ideig veszélyben maradnak, még akkor is, ha törlési ígéretet tettek.
  • Ne hagyja, hogy a váltságdíj kifizetése helyettesítse a teljes körű incidensbejelentést és az ügyfélvédelmi intézkedéseket.
  • Részesítse előnyben a biztonsági mentéseket és a hálózatszegmentálást, hogy a támadók kifizetése soha ne legyen az egyetlen lehetséges opció.
  • Ha értesítik, hogy adatai incidensben érintettek, figyelje fiókjait és hiteljelentéseit jóval a kezdeti bejelentés után is.
  • Szorgalmazza az átláthatóságot minden olyan szervezetnél, amely adatait kezeli arra vonatkozóan, hogyan reagál a zsarolóvírus-esetekre, ne csak azt, hogy fizetett-e.

A LockBit felszámolása ritka, szűretlen bepillantást engedett abba, hogyan zajlik valójában a kiberzsarolás, amikor a bűnözők már nem irányítják a narratívát. Ha a törlési ígéreteket tényként kezeljük, nem pedig ellenőrizetlen állításként egy ellenséges féltől, azzal túl sok áldozat kap hamis lezárás érzetet. Szkeptikusnak maradni és felkészültnek lenni továbbra is a jobb hosszú távú stratégia.