A zsarolóvírus megváltozott. Míg a korai támadások a fájlok titkosítására és váltságdíj követelésére támaszkodtak a visszafejtési kulcsért, a Silent Ransom Group néven ismert csoport egy másik cél köré építette játszókönyvét: érzékeny adatok ellopása és azok nyilvánosságra hozatalával való fenyegetés. Ez a taktika, amelyet gyakran kizárólag zsarolásra épülő zsarolóvírusnak neveznek, teljesen kihagyja a titkosítást, és helyette a nyilvános szivárgástól való félelemmel gyakorol nyomást az áldozatokra. Most a csoport egy lépéssel tovább vitte ezt a stratégiát: hamis IT-dolgozókat vet be, akik személyesen jelennek meg, hogy hozzáférést szerezzenek az áldozati szervezetekhez. ## A titkosítástól a zsarolásig: A zsarolóvírus-taktikák fejlődése A váltás oka gyakorlati. A megbízható biztonsági mentési rendszerek széles körű elterjedése és az ingyenes visszafejtő eszközök növekvő elérhetősége kevésbé hatékonnyá tette a hagyományos, titkosításon alapuló zsarolóvírust. Ha az áldozat egyszerűen vissza tudja állítani adatait egy biztonsági mentésből, nincs ösztönzés a váltságdíj kifizetésére a visszafejtési kulcsért. A zsarolásra összpontosító csoportok úgy alkalmazkodtak, hogy teljesen kivették a titkosítást az egyenletből. Ehelyett csendben másolják az érzékeny fájlokat, majd azzal fenyegetőznek, hogy nyilvánosságra hozzák vagy eladják azokat az adatokat, hacsak az áldozat nem fizet. Ez a megközelítés megköveteli a támadóktól, hogy kreatívak legyenek abban, hogyan szereznek hozzáférést eleve, mivel nincs olyan kártevő hasznos teher, amely elvégezné a nehéz munkát. Itt jön képbe a társadalmi mérnöklés, és most már a fizikai jelenlét is. ## Hamis IT-dolgozók és személyes betörések Az FBI által kiadott figyelmeztetés szerint a Silent Ransom Group, amelyet Luna Moth, Chatty Spider és UNC3753 néven is nyomon követnek, ügyvédi irodákat célzott meg adathalász e-mailek és az IT-támogató személyzet megszemélyesítésének kombinációjával. A jelentések szerint a csoporthoz kapcsolódó operátorok nem csupán távoli támadásokra támaszkodtak, hanem személyesen is megjelentek a célzott irodákban, IT-technikusként adva ki magukat, hogy fizikai hozzáférést szerezzenek a hálózatokhoz és rendszerekhez. A kampányt nyomon követő biztonsági kutatók, köztük a Mandiant elemzői, az év elején azonosították az ilyen pénzügyi indíttatású adatlopási műveletek hullámát amerikai ügyvédi irodák ellen. A minta a zsarolóvírus-ökoszisztéma szélesebb körű tendenciáját tükrözi, ahol a fenyegető szereplők egyre inkább digitális és fizikai taktikákat ötvöznek, hogy megkerüljék azokat a technikai védelmi intézkedéseket, amelyeket kívülről egyre nehezebb feltörni. Ez visszhangozza a zsarolóvírus-világ más területein is megfigyelhető mintát, ahol a csoportok gyorsan váltanak, amint egy sebezhetőség vagy technika hatékonynak bizonyul, ez a dinamika pedig a [BlueHammer sebezhetőség zsarolóvírus-bandák általi folyamatos kihasználásában](/en/cisa-confirms-bluehammer-flaw-now-used-by-ransomware-gangs) is megfigyelhető. ## Miért vannak veszélyben az ügyvédi irodák és a magánélet Az ügyvédi irodák vonzó célpontok pontosan azok miatt az okok miatt, amelyek hatékonnyá teszik a kizárólag zsarolásra épülő zsarolóvírust. Hatalmas mennyiségű bizalmas ügyféladatot tárolnak, a peres iratoktól a pénzügyi dokumentumokig és az ügyvédi titoktartás alá eső személyes adatokig. Egy iroda elleni adatvédelmi incidens nem csupán magát a szervezetet teszi ki, hanem minden ügyfelet, akinek adatai azon az irodán keresztül haladnak át, kiteszi annak kockázatának, hogy érzékeny részleteket kiszivárogtatnak vagy eladnak. A hamis IT-dolgozók alkalmazása további aggodalmat kelt. Az alkalmazottakat arra képzik, hogy gyanakodjanak a gyanús e-mailekre vagy hivatkozásokra, de sokkal kevesebb szervezet rendelkezik szilárd protokollal annak ellenőrzésére, hogy valóban az-e, aki azt állítja magáról, hogy IT-támogató, és bejön az ajtón. Miután bejutott, a megszemélyesítő közvetlen hozzáférést szerezhet munkaállomásokhoz, szerverekhez vagy hitelesítő adatokhoz, amelyeket egyébként távolról technikai kihasználás útján kellene elérni. Ez a hozzáférés aztán arra használható, hogy csendben kimenekítsék az adatokat, jóval azelőtt, hogy bárki észrevenné, hogy valami baj van. ## Mit jelent ez az Ön számára Még ha nem is dolgozik ügyvédi irodában, ez a váltás számít. Azt jelzi, hogy a támadók hajlandóak időt és erőfeszítést fektetni fizikai felderítésbe és megszemélyesítésbe, amikor a digitális védelem túl erőssé válik. Bármely szervezet, amely érzékeny személyes vagy pénzügyi adatokat kezel, beleértve az egészségügyi szolgáltatókat, pénzügyi intézményeket és kormányzati vállalkozókat, a jövőben ugyanezzel a játszókönyvvel válhat célponttá. Az egyének számára a tanulság a tudatosságról szól. Az adatok, amelyeket bármely szakmai szolgáltatással megoszt, legyen az ügyvéd, könyvelő vagy egészségügyi szolgáltató, csak annyira biztonságosak, mint az adott szervezet leggyengébb láncszeme, amely egyre inkább magában foglalja a bejárati ellenőrzési folyamatát is, nem csak a tűzfalait. ## Gyakorlati tanulságok - Kérdezze meg az érzékeny adatait kezelő szolgáltatóktól, például ügyvédi irodáktól vagy pénzügyi tanácsadóktól, hogy rendelkeznek-e személyazonosság-ellenőrzési eljárásokkal a személyes IT-látogatásokhoz. - Legyen óvatos, mennyi személyes információt oszt meg bármely szervezettel, és kérdezze meg, meddig tárolják azokat. - Ha értesítést kap egy Ön által igénybe vett szakmai szolgáltatást érintő adatvédelmi incidensről, figyelje számláit és hiteljelentéseit gyanús tevékenység után kutatva. - A szervezeteknek képezniük kell munkatársaikat, hogy ellenőrizzék bárki személyazonosságát, aki IT-személyzetnek állítja magát, függetlenül attól, hogy a kapcsolatfelvétel telefonon, e-mailben vagy személyesen történik. A Silent Ransom Group hamis IT-dolgozók felé való elmozdulása emlékeztető arra, hogy a zsarolóvírus elleni védelem már nem csupán technikai probléma. Ahogy a zsarolási taktikák fejlődnek, úgy kell fejlődniük az emberi folyamatoknak is, amelyeket azok megállítására terveztek.