Kettős csapás Hongkong pénzügyi szektorára

Két kiberbiztonsági történet ütközött Hongkongban nagyjából 24 órán belül: egy magát Orovának nevező zsarolóvírus-csoport betörést jelentett be öt hongkongi cégnél, köztük legalább egy szabályozott vagyonkezelőnél, a Securities and Futures Commission (SFC) pedig kiszabta első, zsarolóvírushoz kapcsolódó végrehajtási intézkedését. A jelentések szerint az SFC megrovásban részesített és 2,1 millió hongkongi dollárra bírságolt egy engedéllyel rendelkező társaságot egy zsarolóvírus-támadáshoz kapcsolódó kiberbiztonsági hiányosságok miatt, ezt a büntetést a szabályozók annak jeleként értékelték, hogy a kiberrezilienciáért nemcsak az IT-részlegek, hanem a felső vezetés is felelős.

Az időzítés nem annyira véletlen, mint inkább konvergencia volt. A zsarolóvírus-csoportok egyre inkább a pénzügyi szolgáltatókat veszik célba, mivel pontosan olyan érzékeny ügyféladatokat birtokolnak, amelyek a zsarolást hatékonyabbá teszik, és az olyan szabályozók, mint az SFC, hónapok óta jelzik, hogy felelősségre kívánják vonni az engedéllyel rendelkező cégeket, ha a védekezés kudarcot vall.

Hogyan változtatta meg a kettős zsarolás a zsarolóvírusok játékszabályait

A hagyományos zsarolóvírus bizonyos szempontból egyszerűbb probléma volt. A támadók titkosították az áldozat fájljait, és fizetést követeltek a visszafejtő kulcsért. A megbízható, offline biztonsági mentésekkel rendelkező szervezetek gyakran fizetés nélkül is vissza tudták állítani a rendszereiket, ezzel hatástalanítva a támadó nyomásgyakorlását.

A kettős zsarolás, a Maze zsarolóvírus-csoport által 2019 végén úttörő módon alkalmazott taktika, ezt a kiskaput bezárta. Ahelyett, hogy csak titkosítanák a fájlokat, a támadók először ellopják az áldozat érzékeny adatainak másolatát. Ha a szervezet vissza is tudja állítani az adatokat a biztonsági mentésekből, és megtagadja a fizetést a visszafejtésért, a támadóknak még mindig van egy második ütőkártyájuk: azzal fenyegetőznek, hogy közzéteszik az ellopott adatokat egy dark webes szivárogtató portálon, ha nem fizetnek váltságdíjat. Ez teljesen megváltoztatja a számítást. A biztonsági mentések védenek a működési zavarok ellen, de semmit sem tesznek az adatszivárgás ellen. Pontosan ezt a nyomást látszik gyakorolni az Orova a bejelentett öt hongkongi áldozatára.

Ez a minta nem csak Hongkongra vagy az Orovára jellemző. A pénzügyi szabályozás alá eső szervezetek mindenütt olyan ügyfélnyilvántartásokat, tranzakciós előzményeket és személyazonosító okmányokat tárolnak, amelyek mind a bűnözők számára értékesek, mind pedig rendkívül károsak azokra az egyénekre nézve, akiknek adatai kiszivárognak. Ugyanaz a mögöttes kockázat, ami akkor került felszínre, amikor egy brit állami befektetési ügynökség hozzávetőlegesen 40 órára nyilvánosságra hozta 51 kormánytisztviselő érzékeny adatait: ha az adatok egyszer kikerültek, az időzítés és a kárelhárítás rendkívül fontos, de a nyilvánosságra kerülést nem lehet visszacsinálni.

Miért számít az SFC bírsága Hongkongon túl is

Ami ezt a pillanatot figyelemre méltóvá teszi, nem csupán az, hogy egy újabb zsarolóvírus-csoport áldozatokat jelentett be. Hanem az, hogy egy pénzügyi szabályozó az iránymutatástól a végrehajtásig lépett tovább. Az SFC bírsága, amely a hírek szerint az első, kifejezetten zsarolóvírus-incidenshez kapcsolódó büntetés, egy olyan üzenetet közvetít, amely globálisan egyre erősödik a pénzügyi szabályozásban: a kiberbiztonsági hiányosságokat többé nem pusztán technikai incidensként kezelik. Hanem olyan megfelelőségi kudarcokként, amelyek valódi pénzügyi és reputációs következményekkel járnak a cégre, és egyre inkább azon vezetőkre nézve is, akik jóváhagyják a kockázatkezelést.

A zsarolóvírus-csoportoknak nincs szükségük vadonatúj nulladik napi sebezhetőségre ahhoz, hogy bejussanak. Sok betörés sokkal hétköznapibb hibákkal kezdődik: nem javított szoftverek, gyenge hozzáférés-szabályozás vagy adathalászatnak bedőlő alkalmazottak. Részben ezért is maradnak a javítatlan sebezhetőségek ilyen kitartó belépési pontok; még az olyan nagy horderejű hibák is, mint amelyet a javítatlan Windows nulladik napi hibáról szóló legutóbbi tudósítás részletez, azt mutatják, hogy a támadók kihasználhatják azokat a hiányosságokat, amelyek jóval a javítás elérhetősége előtt léteznek. A szabályozott cégektől ma már elvárják, hogy az ilyen kitettséget irányítási kérdésként kezeljék, ne csupán egy IT-feladatként.

Mit jelent ez Önnek

Ha Ön egy pénzügyi szolgáltató ügyfele, alkalmazottja vagy partnere, az ilyen incidensek emlékeztetnek arra, hogy adatai biztonsága nagymértékben függ az IT-részleg felett hozott döntésektől. Az igazgatótanácsok és a felső vezetés a hongkongihoz hasonló joghatóságokban ma már kifejezetten felelősséggel tartoznak a kiberrezilienciáért, aminek idővel erősebb alapvédelmet kellene eredményeznie: jobb biztonsági mentési gyakorlatot, gyorsabb javítást és szigorúbb hozzáférés-szabályozást.

Az egyének számára a gyakorlati tanácsok nem sokat változtak, de most fontosabbak. Kísérje figyelemmel az olyan cégeknél vezetett számláit, amelyek adatszivárgást jelentenek be, legyen gyanakvó a váratlan, számlaadatokat említő üzenetekkel szemben, és fontolja meg a hitelfigyelést, ha egy cég megerősíti, hogy az Ön adatai is kiszivárogtak. A kettős zsarolás azt jelenti, hogy még azok a cégek is, amelyek gyorsan helyreállítják a rendszereiket, továbbra is keringhetnek az Ön adatai, ezért ne feltételezze, hogy egy megoldott zsarolóvírus-incidens után az Ön információi biztonságban vannak.

Főbb tanulságok

Az Orova betörései és az SFC bírsága együtt mutatják, merre tart a zsarolóvírusokkal kapcsolatos elszámoltathatóság: a szabályozók többé nem elégednek meg azzal, hogy a cégek egyszerűen helyreállítják a támadás utáni állapotot. Bizonyítékot akarnak arra, hogy a cégek eleve ésszerű lépéseket tettek a támadás megelőzésére. Az olvasók számára a gyakorlati lépések joghatóságtól függetlenül ugyanazok: kérdezze meg bármelyik pénzintézetet, amellyel kapcsolatban áll, az adatszivárgás bejelentésére vonatkozó szabályzatairól, kapcsolja be a többtényezős hitelesítést mindenhol, ahol elérhető, és kezeljen minden adatszivárgásról szóló értesítést úgy, mint ami arra ösztönzi, hogy áttekintse saját fióktevékenységét, ne pedig rutin formalitásként.