Weil, WilmerHale, Goodwin 50 millió dollárt fizettek kiberzsarolóknak

Egy 50 millió dolláros ébresztő a BigLaw számára

Az Egyesült Államok néhány legtekintélyesebb ügyvédi irodája, köztük a Weil Gotshal & Manges, a WilmerHale és a Goodwin Procter, állítólag összesen közel 50 millió dollárt fizetett egy kiberzsaroló csoportnak az elmúlt hónapokban. Amitől ez az eset különösen nyugtalanító, az nem csupán a dollárösszeg. Hanem az, ahogyan a támadás lezajlott. Egyetlen rendszert sem titkosítottak. Nem volt lezárt képernyő, nem volt visszaszámláló óra, és nem volt hagyományos váltságdíj-követelés sem, amely a befagyasztott fájlok feloldásáért követelt volna fizetést. Ez a ransomware egy csendesebb, precízebb formája volt, amely inkább ellopott adatokra épült, mintsem megbénított infrastruktúrára.

Egy olyan iparág számára, amely a létező legérzékenyebb információkat őrzi – a privilegizált ügyfél-kommunikációtól kezdve a pénzügyi nyilvántartásokon át az egyesülési részletekig –, ez az incidens emlékeztetőül szolgál arra, hogy még a legjobban ellátott intézményeket is váratlanul érheti támadás.

Miért nem mindig úgy néz ki a ransomware, mint ransomware

A ransomware-támadás klasszikus képe szerint egy vállalat arra ébred, hogy minden fájlja titkosítva van, és egy üzenet kriptovalutát követel a hozzáférés helyreállításáért. A ransomware-nek ez a változata még mindig létezik, de a támadók egyre inkább egy másik modell felé mozdultak el: először csendben kiszivárogtatják az adatokat, majd azzal fenyegetőznek, hogy nyilvánosságra hozzák vagy eladják azokat, hacsak nem fizetnek. Nincs szükség titkosításra. Nem kell leállniuk a rendszereknek. A nyomásgyakorlás teljes mértékben a nyilvánosságra hozatal fenyegetéséből fakad.

Ez a váltás azért fontos, mert megváltoztatja azt, hogyan néz ki a „felderítés". A hagyományos ransomware abban a pillanatban bejelenti magát, amikor a fájlok lezáródnak. Az adatzsarolás ezzel szemben csendben történhet, akár hetekig vagy hónapokig is, mielőtt az áldozat egyáltalán észrevenné, hogy az információ elhagyta a hálózatát. Az ügyvédi irodák különösen vonzó célpontok ehhez a megközelítéshez, mert az általuk birtokolt adatok – a perstratégia, a pénzügyi nyilvánosságra hozatalok, az ügyfelek személyes adatai – gyakran értékesebbek, ha bizalmasak maradnak, mintha egyszerűen törölnék őket.

Ez a forgatókönyv nem kizárólag a jogi iparágra jellemző. Hasonló zsarolási taktikákat alkalmaztak a jogi szektoron jóval kívül eső vállalatok ellen is. Ausztráliában egy támadó nyilvánosan azzal fenyegetőzött, hogy milliónyi ügyfélfájlt szivárogtat ki, hacsak az Origin Energy nem fizet, az energiaóriás Shell pedig azt vizsgálta, hogy a Cl0p csoport valóban közel 89 GB vállalati adatot lopott el. Az ezekben az esetekben közös szál az, hogy a valódi kár nem egy lezárt rendszer. Hanem maga az adat, és az, hogy mi történik, ha nyilvánosságra kerül.

Mit jelent ez az Ön számára

Ha Ön egy ügyvédi iroda, könyvelőiroda vagy bármely, érzékeny személyes vagy pénzügyi adatokat kezelő szervezet ügyfele, ez az incidens hasznos emlékeztető, hogy az adatbiztonság nem garantált pusztán azért, mert egy intézmény nagy, megalapozott vagy jól finanszírozott. A hírnév és az erőforrások nem jelentenek automatikusan erős kiberbiztonsági gyakorlatot.

Ha professzionális szolgáltatási környezetben dolgozik, különösen könyvelőirodánál vagy ügyvédi irodánál, a tanulság közvetlenebb: az Ön cégének fenyegetettségi modelljének számolnia kell az adatlopással, nem csak a rendszerleállással. A biztonsági mentési és helyreállítási tervek, amelyek csak a titkosított fájlokra készülnek fel, nem segítenek, ha a valódi kockázat a bizalmas ügyféladatok kiszivárgása. A kiberbiztosítási kötvényeknek, az incidenskezelési terveknek és az ügyfélkommunikációs stratégiáknak mind tükrözniük kell ezt a valóságot.

Gyakorlati védekezés, amit érdemes előtérbe helyezni

Néhány konkrét lépés érdemben csökkentheti az ilyen típusú támadásoknak való kitettséget. Az erős titkosítás a tárolt és a továbbított adatok esetében korlátozza, hogy a támadók valójában mit tudnak hasznosítani, még akkor is, ha hozzáférnek a fájlokhoz. A rendszeres, tesztelt biztonsági mentések továbbra is fontosak, nem azért, mert visszavonják az adatszivárgást, hanem mert biztosítják, hogy a működés folytatódhasson anélkül, hogy tárgyalni kellene a támadókkal. A hálózati szegmentáció egy másik kulcsfontosságú védelem: azzal, hogy korlátozza, milyen messzire juthat egy behatoló a hálózaton belül, a cégek csökkentik annak az esélyét, hogy egyetlen feltört fiók vállalatszintű adatszivárgáshoz vezessen.

A nulla bizalom (zero-trust) architektúra, amely a felhasználók és eszközök folyamatos hitelesítését követeli meg, nem pedig a hálózati hely alapján feltételezett bizalmat, különösen hatékony az olyan oldalirányú mozgás ellen, amely egyetlen feltört bejelentkezésből vállalatszintű adatkiszivárogtatási eseményt hoz létre. Szigorú hozzáférés-vezérléssel, többtényezős hitelesítéssel és a szokatlan adatátvitel figyelésével kombinálva ezek az intézkedések jelentősen megnehezítik a támadók számára, hogy csendben nagy mennyiségű érzékeny adatot gyűjtsenek be, mielőtt bárki észrevenné.

A lényeg

A BigLaw-irodák által kifizetett 50 millió dollár rávilágít arra a szélesebb elmozdulásra, hogyan működik ma valójában a ransomware és a kiberzsarolás. A támadóknak már nem kell egyetlen fájlt sem lezárniuk ahhoz, hogy komoly kárt okozzanak – csak hozzáférésre van szükségük a megfelelő adatokhoz, és elegendő türelemre, hogy csendben kinyerjék azokat. Az ügyvédi irodák, könyvelőirodák és bármely, érzékeny ügyfél-információkkal megbízott szervezet számára a tanulság világos: a titkosítás, a szegmentáció, a tesztelt biztonsági mentések és a nulla bizalom elvei már nem opcionális kiegészítők. Ezek alapkövetelmények azok védelmében, akik a legmagánjellegűbb információikat bízzák Önökre.