Saat Penegak Hukum Mengintip di Balik Tirai
Pada Februari 2024, koalisi lembaga penegak hukum internasional membongkar infrastruktur di balik LockBit, salah satu operasi ransomware paling produktif dalam ingatan baru-baru ini. Apa yang ditemukan penyelidik saat mereka mendapatkan akses ke sistem LockBit lebih dari sekadar bukti aktivitas kriminal. Mereka menemukan bahwa kelompok tersebut menyimpan salinan data korban yang dicuri, bahkan setelah memberi tahu para korban, seringkali dengan imbalan pembayaran, bahwa data tersebut telah dihapus.
Detail tunggal ini jauh lebih penting daripada yang terlihat pada pandangan pertama. Selama bertahun-tahun, buku panduan standar bagi organisasi yang terkena ransomware mencakup opsi yang sunyi dan tidak nyaman: membayar tebusan, mendapatkan janji penghapusan dari penyerang, dan melanjutkan hidup. Pengungkapan LockBit menegaskan apa yang telah lama dicurigai oleh banyak peneliti keamanan. Janji itu seringkali tidak berharga, dan korban seringkali tidak memiliki cara untuk mengetahuinya.
Kesenjangan Antara Apa yang Diberitahukan kepada Korban dan Apa yang Sebenarnya Terjadi
Negosiasi ransomware biasanya terjadi di luar pandangan publik, dimediasi oleh perusahaan respons insiden, perusahaan asuransi, atau organisasi korban sendiri. Ketika kelompok kriminal mengklaim telah menghapus file yang dicuri, jarang ada cara independen untuk memverifikasi klaim tersebut. Korban pada dasarnya diminta untuk memercayai kata-kata aktor yang sama yang membobol sistem mereka dan mencuri data mereka sejak awal.
Kasus LockBit menunjukkan mengapa kepercayaan itu salah tempat. Bahkan ketika perusahaan kriminal cukup canggih untuk menjalankan operasi "layanan pelanggan" yang berfungsi bagi para korbannya, lengkap dengan portal negosiasi dan sertifikat penghapusan, insentif mendasar untuk benar-benar menghancurkan data curian yang berharga tidak ada. Data memiliki nilai jual kembali, nilai pengaruh, dan nilai pemerasan di masa depan. Menghapusnya bertentangan dengan kepentingan penyerang sendiri.
Ketidaksesuaian ini jarang menjadi berita utama seperti pengumuman pelanggaran. Perusahaan yang membayar secara diam-diam untuk menghilangkan masalah tidak punya alasan untuk mempublikasikan bahwa janji penghapusan tidak ditepati, terutama jika mereka tidak pernah mengetahuinya. Keheningan itulah bagian dari mengapa hasil yang merugikan lebih sering terjadi daripada yang disarankan oleh catatan publik. Penindakan infrastruktur LockBit adalah salah satu dari sedikit contoh di mana kesenjangan antara janji dan kenyataan menjadi terlihat sama sekali, sama seperti gangguan Google terhadap jaringan peretasan yang terkait dengan PKT yang membuka tirai aktivitas yang seharusnya tetap tersembunyi dari organisasi yang terkena dampak.
Mengapa Ini Harus Mengubah Cara Organisasi Berpikir tentang Ransomware
Pelajaran praktisnya bukan berarti membayar tebusan selalu merupakan pilihan yang salah. Setiap insiden memiliki tekanan hukum, operasional, dan finansialnya sendiri, dan beberapa organisasi mungkin masih memutuskan bahwa pembayaran adalah opsi yang paling tidak buruk. Pelajarannya adalah bahwa pembayaran tidak boleh dianggap sebagai resolusi untuk masalah paparan data.
Setelah data meninggalkan kendali suatu organisasi, data tersebut harus diperlakukan sebagai telah dikompromikan secara permanen, terlepas dari jaminan apa pun yang mengikutinya. Itu berarti kewajiban pemberitahuan, komunikasi pelanggan, dan penilaian risiko harus dilakukan seolah-olah data yang dicuri masih beredar, karena kemungkinan besar memang demikian. Polis asuransi siber dan rencana respons insiden yang mengasumsikan resolusi bersih setelah pembayaran dibangun di atas premis yang usang dan semakin tidak kredibel.
Apa Artinya Bagi Anda
Bagi individu yang datanya mungkin tersapu dalam pelanggaran yang terkait dengan serangan ransomware, pengungkapan LockBit adalah pengingat untuk tidak lengah hanya karena sebuah perusahaan mengumumkan bahwa insiden tersebut telah "diselesaikan". Janji penghapusan dari penjahat bukanlah jaminan, dan informasi Anda mungkin tetap terekspos lama setelah berita utama memudar.
Bagi bisnis, terutama yang kecil dan menengah tanpa tim keamanan khusus, ini adalah alasan untuk pencegahan daripada negosiasi. Praktik pencadangan yang kuat, segmentasi jaringan, dan kebersihan endpoint dasar mengurangi kemungkinan berada dalam posisi di mana Anda mengandalkan perkataan pemeras. Meninjau kembali bagaimana akun pribadi dan profesional dilindungi, termasuk apakah lalu lintas sensitif dirutekan melalui koneksi aman, adalah tempat yang wajar untuk memulai; beberapa organisasi mempertimbangkan opsi seperti yang ditemukan di halaman yang membandingkan penyedia seperti IVPN atau Mozilla VPN sebagai bagian dari upaya yang lebih luas untuk mengurangi paparan, meskipun tidak ada alat tunggal yang menggantikan strategi keamanan penuh.
Poin-poin Penting yang Dapat Dilakukan
- Anggap setiap data yang dicuri dalam insiden ransomware tetap berisiko tanpa batas waktu, bahkan jika janji penghapusan telah dibuat.
- Jangan biarkan pembayaran tebusan menggantikan pemberitahuan pelanggaran penuh dan langkah-langkah perlindungan pelanggan.
- Prioritaskan pencadangan dan segmentasi jaringan sehingga membayar penyerang tidak pernah menjadi satu-satunya opsi yang tersedia.
- Jika Anda diberitahu bahwa data Anda terlibat dalam pelanggaran, pantau akun dan laporan kredit Anda dengan baik melampaui pengumuman awal.
- Dorong transparansi dari setiap organisasi yang menangani data Anda tentang bagaimana mereka merespons insiden ransomware, bukan hanya apakah mereka membayar.
Penindakan LockBit memberikan pandangan yang langka dan tanpa filter tentang bagaimana pemerasan siber sebenarnya terjadi begitu para penjahat tidak lagi mengendalikan narasinya. Memperlakukan janji penghapusan sebagai fakta, bukan sebagai klaim yang tidak diverifikasi dari aktor yang bermusuhan, telah membuat terlalu banyak korban dengan rasa penyelesaian yang palsu. Tetap skeptis, dan tetap siap, tetap menjadi strategi jangka panjang yang lebih baik.
