Egy másfajta zsarolóvírus-fenyegetés

A legtöbb ember ugyanúgy képzeli el a zsarolóvírus-támadást: a vállalat fájljai hirtelen zárolódnak, a képernyőn megjelenik egy váltságdíjról szóló üzenet, és az IT osztály azonnal a biztonsági mentések helyreállításán dolgozik. A Silent Ransom Group, más néven Luna Moth, egyáltalán nem így működik. Ahelyett, hogy bármit titkosítana, ez a csoport közvetlenül ellopja az érzékeny adatokat, gyakran úgy, hogy telefonon felhívja az alkalmazottakat, majd azzal fenyegetőzik, hogy nyilvánosságra hozza azokat, hacsak nem fizetnek váltságdíjat. Nincs kártevő aktiválás, nincs zárolt merevlemez, és gyakran nincs nyilvánvaló technikai riasztás sem. Csak egy telefonhívás, egy csalás és egy csendes adatlopás, amelyet az áldozatok talán észre sem vesznek addig, amíg meg nem érkezik a zsarolási követelés.

Ez a váltás azért fontos, mert megváltoztatja azt, hogy a védekezőknek mire kell figyelniük. A hagyományos zsarolóvírus-védelem nagy hangsúlyt fektet a titkosítás megállítására: biztonsági mentések, végpontészlelés, hálózatszegmentálás. A Silent Ransom Group mindezt megkerüli azzal, hogy a legtöbb biztonsági program leggyengébb láncszemét célozza meg, ami az emberi bizalom.

Hogyan működik a támadás

A csoport forgatókönyve a social engineeringre, nem pedig szoftveres sebezhetőségek kihasználására összpontosít. A támadók IT-támogatási munkatársaknak adják ki magukat, gyakran telefonhívásokon keresztül, hogy rávegyék az alkalmazottakat vagy az ügyfélszolgálati munkatársakat távoli hozzáférés engedélyezésére vagy hitelesítő adatok átadására. Miután bejutottak, a cél nem az, hogy zsarolóvírust terjesszenek a hálózaton. Hanem az, hogy csendben felkutassák és kicsempésszék az értékes fájlokat: ügyfélnyilvántartásokat, pénzügyi adatokat, peres anyagokat vagy bármi mást, ami komoly kárt okozhatna, ha nyilvánosságra kerülne.

Ez a megközelítés különösen hatékonynak bizonyult azokkal a szervezetekkel szemben, amelyek nagy mennyiségű bizalmas információt tárolnak. Amint arról a Silent Ransom Group ügyvédi irodák elleni IT-megszemélyesítési taktikáiról szóló tudósítás részletesen beszámol, a csoport kifejezetten jogi irodákat vett célba, amelyek rutinszerűen tárolnak fúziós részleteket, perstratégiát és ügyfelek személyes nyilvántartásait, amelyeket külső felek súlyos összegeket fizetnének azért, hogy titokban maradjanak. Mivel az ügyvédi irodák gyakran egyszerre több ügyfél információit kezelik, egyetlen sikeres behatolás a bizalmas kapcsolatok széles hálóját teheti ki.

A pénzügyi tét jelentős lehet. A csoporthoz köthető egyik dokumentált eset olyan nagy ügyvédi irodákat célzott, mint a Jones Day és a WilmerHale, a váltságdíj követelése pedig elérte a 13 millió dollárt a Luna Moth Jones Day és WilmerHale elleni zsarolási kampányáról szóló beszámoló szerint. Ez a szám rávilágít arra, mennyire jövedelmező lehet a pusztán adatlopáson alapuló zsarolás, még akkor is, ha egyetlen fájlt sem titkosítanak.

Miért adatvédelmi, nem csupán biztonsági ügy ez

A titkosításon alapuló zsarolóvírus zavaró, de alapvetően rendelkezésre állási probléma: a rendszerek leállnak, amíg helyre nem állítják őket. A Silent Ransom Group modellje kezdettől fogva bizalmassági probléma. Abban a pillanatban, hogy az adatok kikerülnek egy szervezet ellenőrzése alól, ki vannak téve, függetlenül attól, hogy fizetnek-e váltságdíjat. Az áldozatok nem azért tárgyalnak, hogy visszakapják a rendszereiket, hanem hogy megpróbálják megakadályozni a személyes információk közzétételét vagy eladását.

Ez a különbség mindenki számára fontos, akinek a személyes adatai egy célba vett szervezet fájljaiban lehetnek. Egy feltört ügyvédi iroda ügyfelei, egy egészségügyi szolgáltató betegei vagy bármely olyan vállalat ügyfelei, amely személyes nyilvántartásokat tárol, nincsenek közvetlen befolyással arra, hogy az adott szervezet milyen jól képzi a munkatársait egy hamis IT-támogatási hívás felismerésére. A támadás nem a titkosítás feltörésével vagy egy szoftverhiba kihasználásával sikerül, hanem a bizalom egy pillanatnyi téves megnyilvánulásának kihasználásával egy rutinszerűnek tűnő telefonbeszélgetés során.

Mit jelent ez Önnek

Ha olyan szervezetnél dolgozik, amely érzékeny ügyfél-, beteg- vagy pénzügyi adatokat kezel, ez a tendencia emlékeztető arra, hogy a technikai védelem önmagában nem állít meg minden fenyegetést. A telefonon alapuló social engineering teljesen megkerüli a tűzfalakat és a végpontvédelmet, mert embereket céloz meg, nem rendszereket.

Az alkalmazottak számára a gyakorlati tanulság egyszerű: a legitim IT-támogatás ritkán kéri, hogy kéretlen telefonhívás során engedélyezzen távoli hozzáférést vagy adjon át hitelesítő adatokat. Minden ilyen kérést független módon ellenőrizni kell egy ismert belső csatornán keresztül, mielőtt cselekszik.

A szervezetek számára ez azt jelenti, hogy az ügyfélszolgálati és támogatási munkatársaknak egyértelmű protokollokra van szükségük a hívó személyazonosságának ellenőrzéséhez, mielőtt hozzáférést engedélyeznének vagy hitelesítő adatokat állítanának vissza. Ez azt is jelenti, hogy figyelni kell a szokatlan adathozzáférési mintákra és a nagy fájlmozgásokra, mivel a tényleges cél az adatkiszivárogtatás, nem a titkosítás.

Azoknak, akiknek az adatait esetleg egy ügyvédi iroda, egészségügyi szolgáltató vagy pénzügyi intézmény tárolja, érdemes emlékezniük arra, hogy az adatvédelem nem csak a saját szokásaikról szól. Az is függ minden szervezet biztonsági kultúrájától, amely az Ön nyilvántartásait tárolja.

Kulcsfontosságú tanulságok

A Silent Ransom Group megközelítése azt mutatja, hogy a zsarolóvírusnak nem kell titkosítania ahhoz, hogy veszélyes legyen. A telefonon alapuló megszemélyesítésre és social engineeringre támaszkodva a csoport nagy váltságdíj-követeléseket csikart ki jelentős szervezetektől, köztük rendkívül érzékeny ügyféladatokat kezelő ügyvédi irodáktól. A személyazonosság-ellenőrzési eljárások megerősítése, a munkatársak képzése arra, hogy megkérdőjelezzék a kéretlen IT-hívásokat, valamint a szokatlan adatmozgások figyelése sokkal hatékonyabb védekezés ebben az esetben, mint a hagyományos zsarolóvírus-ellenes eszközök önmagukban. Ahogy a zsarolási taktikák a titkosítástól a tiszta adatlopás felé fejlődnek, a social engineeringre való éberség talán még soha nem volt ilyen fontos.