Amikor a zsarolóvírus ügyfélproblémává válik
A zsarolóvírusok mindig is technikai fejfájást okoztak, de csendesen valami sokkal nagyobbá fejlődtek: egyszerre jelentenek közvetlen fenyegetést az ügyfelek adatvédelmére és a vállalati pénzügyekre. A hálózati zsarolási taktikákról szóló új jelentések szerint a támadók egyre gyakrabban hajlandóak közvetlenül kapcsolatba lépni az áldozat szervezet saját ügyfeleivel, ha a váltságdíjat nem fizetik ki egy szigorú határidőn belül. Ez az egyetlen részlet teljesen átírja a számítást minden olyan vállalkozás számára, amely ügyféladatokat tárol, mert a következmények többé nem korlátozódnak az IT-részlegekre és az eseménykezelő csapatokra. A hatás közvetlenül érinti az ügyfelek bizalmát, a szabályozói kitettséget és a pénzügyi eredményt.
Ezt a taktikát, amelyet néha kettős vagy többszörös zsarolásnak neveznek, az adatlopás és a nyilvános közzététel fenyegetésének kombinálása teszi működőképessé. A támadók már nem csupán titkosítják a fájlokat; először érzékeny adatokat szivárogtatnak ki, majd a kiszivárogtatással vagy az adatok terjesztésével (újságíróknak, szabályozó hatóságoknak, vagy most már maguknak az ügyfeleknek) további nyomást gyakorolnak. Az áldozatok számára ez azt jelenti, hogy a váltságdíj kifizetéséről vagy elutasításáról hozott döntés többé nem pusztán technikai vagy pénzügyi kérdés. Olyan döntés, amely magában foglalhatja azoknak az értesítését – vagy épp az értesítés elmulasztását –, akiknek az adatai veszélyben vannak.
Miért nem elegendőek a szokványos biztosítási kötvények?
A jelentés egyik legfontosabb felvetése, hogy a szokványos vagyon- és balesetbiztosítási kötvények, sőt még az alapvető kiberbiztosítási formák is gyakran fedezetlenül hagyják a szervezeteket, amikor egy ilyen zsarolási esemény bekövetkezik. A hagyományos biztosítások a kiberkockázat szűkebb értelmezése köré épültek, gyakran az üzemszünetre vagy az adat-helyreállítási költségekre összpontosítva. Nem olyan világra tervezték őket, ahol a támadók nyomásgyakorló taktikaként használják az ügyfelek értesítésével való fenyegetést.
Ez a hiányosság azért számít, mert egy hálózati zsarolási esemény tényleges költségei messze túlmutatnak magán a váltságdíjon. A jogi díjak, szabályozói bírságok, igazságügyi informatikai vizsgálatok, az érintett ügyfelek hitelmonitorozása és a jó hírnévben bekövetkezett károk mind gyorsan halmozódhatnak, és e költségek közül sokat egy általános kiberbiztosítási kötvény nem fedez automatikusan. Azok a szervezetek, amelyek azt feltételezik, hogy védve vannak, mert van „valamilyen” kiberfedezetük, csak egy incidens után szembesülhetnek azzal, hogy kötvényük jelentős hiányosságokat mutat a zsarolás-specifikus forgatókönyvek, különösen a harmadik felek értesítésével kapcsolatos fenyegetések terén.
A helyzetek kezelését az is nehezíti, hogy maga a váltságdíj-tárgyalás folyamata mögött emberi tényező áll. A folyamat hibáinak tétjét jól szemléltetik az olyan esetek, mint egy BlackCat-hez kötődő zsarolóvírus-tárgyaló elítélése, amely emlékeztet arra, hogy az ilyen ügyleteket közvetítő egyének jogilag homályos térben mozognak, és a tárgyalás során elkövetett hibák a közvetlen pénzügyi veszteségen messze túlmutató következményekkel járhatnak.
A pénzügyi igazgatók által nem figyelmen kívül hagyható, láncreakciószerű pénzügyi hatás
A pénzügyi igazgatók és kockázatkezelők számára a kihívás abban rejlik, hogy egyetlen hálózati zsarolási incidens olyan költségek láncreakcióját indítja el, amelyek ritkán jelennek meg a kezdeti kárbecslésekben. Ott van az azonnali működési fennakadás, amit a nyilvánosságra került személyes adatokhoz kapcsolódó jogi és megfelelőségi kötelezettségek követnek, majd az ügyfelek bizalmának elvesztéséből fakadó jó hírnévvel kapcsolatos költségek, amikor megtudják, hogy adataik veszélybe kerültek – néha közvetlenül a támadóktól, nem pedig magától a cégtől.
Ez utóbbi pont különös figyelmet érdemel. Amikor a támadók teljesen kikerülik a céget, és közvetlenül az ügyfelekkel lépnek kapcsolatba, azzal megfosztják a szervezetet a saját kríziskommunikációja feletti ellenőrzéstől. Ahelyett, hogy a vállalat egy megfontolt, jogilag felülvizsgált értesítési folyamaton keresztül irányítaná a narratívát, az ügyfelek először egy bűnözők által küldött fenyegető üzenetből szerezhetnek tudomást az adatszivárgásról. Ez a dinamika felerősíti a jó hírnévben bekövetkező kárt, és felgyorsíthatja az ügyfelek lemorzsolódását, a szabályozói vizsgálatokat, sőt a peres eljárásokat is – mindezek jóval a váltságdíj eredeti határidejének lejárta után is terhelik a mérleget.
Mit jelent ez Önnek?
Akár kisvállalkozást vezet, akár vállalati kockázatot kezel egy nagyobb szervezetnél, a legfontosabb tanulság, hogy a zsarolóvírusos zsarolás többé nem egy háttérirodai informatikai probléma. Ez egy ügyféloldali kockázat. Ha szervezete személyes adatokat tárol – legyen szó fizetési adatokról, egészségügyi nyilvántartásokról vagy alapvető elérhetőségi információkról –, akkor abból kell kiindulnia, hogy egy jövőbeli zsarolóvírus-incidens magában foglalhatja az adatbázisban szereplő személyek közvetlen megkeresését. Ennek a lehetőségnek kell alakítania azt, ahogy az incidenskezelési tervezésre, a kommunikációs protokollokra és a biztosítási fedezetre gondol.
Az átlagfogyasztók számára ez a tendencia hasznos emlékeztető arra, hogy legyenek éberek. Ha valaha kap egy váratlan üzenetet, amely azt állítja, hogy adatait ellopták egy olyan cégtől, amellyel üzleti kapcsolatban áll, ellenőrizze azt hivatalos csatornákon keresztül, mielőtt válaszolna, és vegye figyelembe, hogy a jogszerű adatszivárgás-értesítések ritkán érkeznek váltságdíjra jellemző sürgetéssel vagy fenyegetésekkel.
Megvalósítható tanulságok
A szervezeteknek kifejezetten a zsarolási és a harmadik felek értesítésével kapcsolatos forgatókönyvekre kell felülvizsgálniuk kiberbiztosítási kötvényeiket, ne csak az általános adat-helyreállítási fedezetet. Készítsenek olyan kommunikációs tervet, amely feltételezi, hogy a támadók megpróbálhatnak közvetlenül kapcsolatba lépni az ügyfelekkel, így a szervezet gyorsan és átláthatóan tud reagálni, nem pedig utólag kapkodva. Végül, a zsarolóvírusokra való felkészülést olyan keresztfunkcionális kérdésként kezeljék, amely a pénzügyi, jogi és kommunikációs csapatokat is bevonja, ne kizárólag informatikai ügyként, hiszen a hálózati zsarolás valódi költsége messze túlmutat magán a váltságdíjkövetelésen.
