Egy bank elhitte a zsarolóvírus-támadók szavát

Egy amerikai pénzintézet, amelyet a kiberbiztonsági jelentések állítólag River Bankként azonosítottak, jelentős kiberbiztonsági incidenst hozott nyilvánosságra, miután zsarolóvírus-támadók terabájtnyi érzékeny adatot loptak el, köztük ügyfélprofilokat, belső dokumentumokat és bizalmas banki nyilvántartásokat. A váltságdíj kifizetése után a bank azt nyilatkozta, hogy úgy hiszi, a támadók törölték az ellopott adatokat, nagyrészt magának a bűnözői csoportnak az ígéretére alapozva.

Ez a részlet teszi az esetet figyelemre méltóvá. A zsarolóvírus-tárgyalások gyakran azzal az ígérettel végződnek, hogy a lopott fájlokat a fizetés beérkezése után megsemmisítik. De ezekbe a tranzakciókba nincs beépítve független ellenőrzési folyamat. Egy banknak vagy bármilyen szervezetnek, amely egy bűnbanda szavára támaszkodik, nincs valódi módja meggyőződni arról, hogy az adatok valóban eltűntek. Azokat lemásolhatták, továbbadhatták, vagy hónapokkal később egy újabb zsarolási kísérlethez is felhasználhatják.

Miért jelent kockázatot megbízni egy zsarolóvírus-bandában

A zsarolóvírus-támadások a pénz kicsikarására épülnek, nem a megállapodások betartására. Amint a támadók megszerezték az adatokat, minden másolat felett ők rendelkeznek. A törlési ígéret kikényszeríthetetlen, és nincs olyan technikai mechanizmus, amellyel az áldozat szervezet ellenőrizhetné a teljesítést. Még ha a támadás konkrét elkövetői törölni is akarnák a saját példányukat, a lopott adatok gyakran keresztülmennek partnerhálózatokon, kezdeti hozzáférés-értékesítőkön vagy harmadik féltől származó vevőkön keresztül, mielőtt egyáltalán váltságdíjat követelnének. Egyetlen példány törlése nem jelenti azt, hogy minden másolat eltűnt.

Egy olyan bank számára, amely ügyfélprofilokat és bizalmas pénzügyi adatokat kezel, ennek óriási jelentősége van. A banki adatok nem olyanok, mint egy ellopott jelszó, amelyet egyszerűen vissza lehet állítani. A számlaszámok, a tranzakciós előzmények és a belső megfelelőségi dokumentumok a csalás és a személyazonosság-lopás szempontjából még jóval az incidens nyilvánosságra hozatala után is értékkel bírnak. Amikor egy intézmény azt közli a szabályozókkal és az ügyfelekkel, hogy hisz az adatok törlésében, lényegében arra kéri a nyilvánosságot, hogy bízzon ugyanazokban a szereplőkben, akik betörtek és eleve ellopták az információkat.

Ez a mintázat nem egyedi eset. Biztonsági kutatók és iparági jelentések ismételten kimutatták, hogy a zsarolóvírus-csoportok gyakran megtartják, továbbadják vagy kiszivárogtatják az adatokat még a fizetés beérkezése után is. Ha egy bűnözői csoport ígéretét az incidens lezárásaként kezeljük, nem pedig ellenőrizetlen állításként, az aggasztó precedenst teremt arra, hogy a pénzintézetek hogyan kommunikálják a kockázatot azoknak az ügyfeleknek, akiknek az adatai ténylegesen veszélybe kerültek.

Mit jelent ez Önnek

Ha olyan banknál vezet számlát, amely incidensről számolt be, vagy akár olyannál, amely (még) nem jelentett be ilyet, a legbiztonságosabb feltételezés az, hogy a zsarolóvírus-támadásban érintett adatokat véglegesen kompromittáltnak kell tekinteni, függetlenül a támadók állításaitól. Ez a gyakorlatban a következőket jelenti:

  • Kísérje figyelemmel bankszámlakivonatait és hiteljelentéseit, különösen a bankja által bejelentett incidens utáni hónapokban, ismeretlen tevékenységek után kutatva.
  • Változtassa meg online banki jelszavait, és engedélyezze a többtényezős hitelesítést, ha még nem tette meg, mivel a lopott belső dokumentumok néha tartalmazhatnak olyan információkat, amelyeket a biztonsági kérdések megválaszolásához vagy a hitelesítési adatok visszaállításához használnak.
  • Legyen szkeptikus a kéretlen hívásokkal, SMS-ekkel vagy e-mailekkel szemben, amelyek a bankjára, számlaszámára vagy a közelmúltbeli tranzakcióira hivatkoznak. A lopott banki adatokat gyakran használják meggyőző adathalász kísérletek készítéséhez.
  • Fontolja meg VPN használatát, amikor nyilvános vagy ismeretlen Wi-Fi hálózaton keresztül banki ügyintézést végez, mivel a kapcsolat titkosítása csökkenti annak kockázatát, hogy a hitelesítési adatait a banknál történt incidens mellett más módon is elfogják. Az olyan szolgáltatások, mint a Mozilla VPN ingyenes próbaverziója, alacsony kockázatú lehetőséget kínálnak arra, hogy kipróbálja, illik-e a titkosított böngészés a megszokott banki szokásaihoz.

Ezek a lépések természetesen nem vonják vissza a már megtörtént incidenst, de csökkentik annak az esélyét, hogy a lopott adatokból közvetlen anyagi kár származzon.

A nagyobb kép a pénzintézetek számára

Ez az eset rávilágít egy szélesebb körű feszültségre abban, ahogyan a feltört szervezetek kommunikálnak a nyilvánossággal. A szabályozók egyre inkább megkövetelik a jelentős kiberbiztonsági incidensek nyilvánosságra hozatalát, de a bejelentési szabályok nem írják elő, hogy a szervezetek ellenőrizzék a támadók állításait, mielőtt azokat megismételnék. Amikor egy bank azt közli ügyfeleivel, hogy hisz az adatok törlésében, ez a kijelentés inkább reményt, mint bizonyítékot tükröz. Az érzékeny ügyféladatokat kezelő pénzintézeteknek olyan incidensreagálási gyakorlatokra van szükségük, amelyek a lopott információk legrosszabb esetben történő megtartását feltételezik, nem pedig olyan nyilvános kommunikációra, amely a zsarolóvírus-banda saját üzeneteit visszhangozza.

A legfontosabb tanulságok

A váltságdíj kifizetése nem garantálja az adatok törlését, és egyetlen bank vagy vállalat sem tudja ellenőrizni, hogy egy bűnözői csoport valóban megsemmisítette-e a lopott fájlokat. Ha az Ön pénzintézete incidensről számolt be, kezelje adatait tartósan veszélyeztetettként: kísérje figyelemmel számláit, szigorítsa a bejelentkezési biztonságot, és legyen résen a valós számlaadatokra hivatkozó adathalász kísérletekkel szemben. A zsarolóvírus-szereplők ígéreteibe vetett bizalom nem biztonsági stratégia, és az Öné sem lehet az.