Egy régi zsarolási taktika új csavarja
A zsarolóvírus-támadások önmagukban is elég stresszesek anélkül, hogy egy második ragadozó is színre lépne. A legutóbbi beszámolók szerint egy „Ransom Busters" néven tevékenykedő fenyegető szereplő most olyan szervezeteket céloz meg, amelyek már zsarolóvírus áldozatául estek – ezúttal helyreállítási szolgáltatásként tüntetve fel magát. A szereplő azt állítja, hogy vissza tudja állítani a titkosított fájlokat, és olyan mentőövet kínál, amely vonzónak tűnik azoknak a vállalatoknak, amelyek kétségbeesetten szeretnék visszaszerezni adataikat váltságdíj fizetése nélkül.
De az ajánlat nem az, aminek látszik. A Ransom Busters ahelyett, hogy független helyreállítási cégként működne – a beszámolók szerint – magához a zsarolóvírus-művelethez kapcsolódik, és olyan affiliátként funkcionál, amely pontosan azokból a támadásokból profitál, amelyek megoldásában állítólag segít. Azoknak az áldozatoknak, akik már amúgy is a támadás okozta káosszal küzdenek, ez a fajta megtévesztés egy veszélyes új kockázati réteget ad egy amúgy is nehéz helyzet tetejére.
Hogyan működik a megtévesztő helyreállítási ajánlat
A konstrukció magja a bizalomra és a sürgősségre épít – két dologra, amelyből a zsarolóvírus-áldozatoknak igen kevés jut. Amikor egy vállalat rendszerei le vannak zárva, a fájlok pedig titkosítva vannak, a döntéshozók gyakran kétségbeesetten keresnek bármilyen életképes utat a helyreállításhoz. Egy csoport, amely adat-helyreállítási szakértőként mutatkozik be – különösen, ha úgy tűnik, belső ismeretei vannak a támadásról – hihető opciónak tűnhet.
Ez a vélt hitelesség jelenti a csapdát. Ahogyan azt a Ransom Busters konstrukciójáról szóló korábbi tudósításunkban részleteztük, a szereplő láthatóan kihasználja zsarolóvírus-affiliát pozícióját, hogy beépüljön a tárgyalási folyamatba, és gyakorlatilag olyan kifizetések felé terelje az áldozatokat, amelyek végső soron ugyanazt a bűnözői ökoszisztémát gazdagítják, amely az eredeti támadásért felelős. Ahelyett, hogy egy független harmadik fél dolgozna a kár csökkentésén, az áldozatok lehet, hogy a támadó újracsomagolt ágával állnak szemben, amely megoldásnak van álcázva, nem pedig a probléma folytatásának.
Ez a taktika egy valós hiányosságot használ ki a zsarolóvírus-incidensek kezelésének területén. Léteznek legitim incidenskezelő és adat-helyreállító cégek, és a kétségbeesett szervezetek gyakran külső segítséghez fordulnak, amikor a belső IT-csapatok túlterheltek. A Ransom Busters láthatóan éppen erre a legitim igényre épít, és ezt használja fedésként, hogy továbbra is pénzt csaljon ki azokból az áldozatokból, akik azt hiszik, hogy semleges féllel tárgyalnak.
Miért fontos ez az adatvédelem szempontjából
A közvetlen pénzügyi kockázaton túl az olyan konstrukciók, mint a Ransom Busters, komoly adatvédelmi aggályokat vetnek fel. A zsarolóvírus-támadások gyakran járnak adatlopással a titkosítás mellett, ami azt jelenti, hogy érzékeny ügyfél-nyilvántartások, munkavállalói adatok és belső kommunikáció már a támadó kezében lehet. Amikor egy áldozat szervezet kapcsolatba lép egy hamis helyreállítási szolgáltatással, még több információt adhat ki, beleértve a hálózatára, az adataira és a fizetési hajlandóságára vonatkozó részleteket is – mindezt fel lehet használni a nyomás fokozására vagy a hozzáférés más bűnözői csoportoknak való továbbértékesítésére.
Emellett egy halmozódó bizalmi probléma is jelentkezik. A zsarolóvírus-áldozatoknak már eleve attól kell tartaniuk, vajon a támadók betartják-e ígéretüket, hogy a váltságdíj kifizetése után törlik az ellopott adatokat – ez a garancia soha nem volt megbízható. Ha erre rárakódik egy hamis helyreállítási szolgáltatás, az áldozatoknak most már nemcsak a támadó állításait kell ellenőrizniük, hanem bárki más hitelességét is, aki segítséget kínál – pontosan abban a pillanatban, amikor a legkevésbé képesek ilyen jellegű kellő gondosságra.
Mit jelent ez Önnek
Ha az Ön szervezete valaha is zsarolóvírus-áldozatává válik, a gyors megoldás megtalálásának nyomása beárnyékolhatja az ítélőképességet. A Ransom Busters esete arra emlékeztet, hogy nem minden segítségajánlat valódi – még azok sem, amelyek látszólag a támadáson kívülről érkeznek. Mielőtt bármilyen helyreállítási szolgáltatást igénybe venne, függetlenül ellenőrizze a cég azonosságát, keressen ellenőrizhető üzleti múltat, és vonjon be megbízható incidenskezelő szakembereket vagy a bűnüldöző hatóságokat, ahelyett hogy kizárólag a támadás alatt vagy közvetlenül utána felbukkanó kéretlen megkeresésekre hagyatkozna.
Ez egyúttal egy szélesebb körű adatvédelmi tanulságra is rávilágít, amely messze túlmutat a zsarolóvírusokon. Minél kevesebb érzékeny adatot tárol vagy tesz ki egy szervezet szükségtelenül, annál kisebb célpontot jelent. A megbízható biztonsági mentési gyakorlat, a hálózati szegmentálás és a világos incidenskezelési tervek csökkentik azt a nyomásgyakorlási lehetőséget, amellyel a támadók – és láthatóan most már a hamis helyreállítási szereplők is – eleve rendelkeznek az áldozatokkal szemben.
Gyakorlati tanácsok
- Kezelje fenntartással a kéretlen helyreállítási ajánlatokat, különösen azokat, amelyek közvetlenül egy zsarolóvírus-incidens után jelennek meg.
- Ellenőrizze az incidenskezelő vagy helyreállító céget független csatornákon keresztül, mielőtt hálózati adatokat osztana meg vagy kifizetést teljesítene.
- Vonjon be bűnüldöző hatóságokat és megalapozott kiberbiztonsági szakembereket, ahelyett hogy ismeretlen felekkel tárgyalna egyedül.
- Tartson fenn offline, tesztelt biztonsági mentéseket, hogy a helyreállítás ne függjön attól, hogy megbízik-e egy támadóban vagy közvetítőben.
- Kövesse nyomon a fejlődő zsarolóvírus-taktikákat, mivel az olyan konstrukciók, mint a Ransom Busters, megmutatják, milyen gyorsan képesek alkalmazkodni a zsarolási módszerek.
A zsarolóvírus továbbra is komoly fenyegetést jelent, és az olyan átverések, mint a Ransom Busters, azt mutatják, hogy a veszély nem mindig ér véget az első támadással. Az óvatosság, minden állítás ellenőrzése és a megbízható biztonsági erőforrásokra való támaszkodás a legjobb védekezés a kétszeri áldozattá válás ellen.
