Putaran Baru dalam Playbook Pemerasan Lama

Geng ransomware telah lama mengandalkan ketakutan dan urgensi untuk menekan korban agar membayar. Sekarang, menurut laporan tentang skema yang dijuluki 'Ransom Busters,' setidaknya satu afiliasi ransomware telah menemukan sudut pandang baru: berpura-pura menjadi orang-orang yang seharusnya membantu korban pulih.

Alih-alih hanya menuntut pembayaran dan menghilang setelah serangan, aktor ini dilaporkan mendekati korban dengan tawaran bantuan, menampilkan dirinya sebagai layanan pemulihan insiden. Masalahnya adalah 'bantuan' ini tidak netral. Tampaknya dirancang untuk mengalihkan pembayaran tebusan dari jalur yang sah dan kembali ke kantong ekosistem kriminal yang sama yang menyebabkan pelanggaran sejak awal.

Ini adalah perubahan taktik yang signifikan. Operasi ransomware tradisional dibangun di sekitar transaksi yang sederhana, meskipun brutal: mengenkripsi data, menuntut pembayaran, memberikan kunci dekripsi (mungkin). Dengan menyisipkan lapisan pemulihan palsu ke dalam proses itu, penyerang dapat memanipulasi korban yang putus asa dua kali, sekali selama pelanggaran awal, dan lagi saat mereka mencoba mencari jalan keluar.

Mengapa Korban Sangat Rentan Terhadap Tipuan Ini

Organisasi yang terkena ransomware sering beroperasi dalam mode krisis. Sistem down, eksekutif berada di bawah tekanan, dan pengambil keputusan bergegas mencari jalur kredibel untuk memulihkan operasi. Lingkungan itulah yang membuat 'layanan pemulihan' palsu menjadi efektif. Korban tidak selalu memeriksa setiap tawaran bantuan dengan mata skeptis; mereka mencari penyelesaian cepat.

Taktik ini juga bermain pada tren yang lebih luas dari aktor ransomware yang mengaburkan garis antara penyerang dan penolong. Ini menggemakan kasus-kasus terbaru lainnya di mana pelaku ancaman menyamar sebagai peran tepercaya untuk mendapatkan akses atau pengaruh, seperti Silent Ransom Group secara fisik menyamar sebagai staf TI di firma hukum untuk memanipulasi karyawan dari dalam. Baik penyamaran terjadi secara langsung atau melalui merek pemulihan palsu, tujuannya sama: mengeksploitasi kepercayaan tepat pada saat organisasi paling tidak siap untuk memverifikasi siapa yang sebenarnya mereka hadapi.

Kelompok ransomware juga telah menunjukkan kesediaan mereka untuk menargetkan berbagai sektor ketika kesempatan muncul, seperti yang terlihat ketika kelompok SpaceBears menyerang penyedia telekomunikasi Prancis Stellar. Taktik seperti skema 'Ransom Busters' menunjukkan bahwa bahkan setelah serangan awal, korban di berbagai industri tidak dapat berasumsi bahwa bahaya telah berakhir begitu negosiasi dimulai.

Dampak Privasi dari Layanan Pemulihan Palsu

Implikasi privasi di sini melampaui sudut pandang finansial. Ketika korban terlibat dengan apa yang mereka yakini sebagai layanan pemulihan yang sah, mereka dapat membagikan detail sensitif tentang jaringan mereka, paparan data mereka, pengambilan keputusan internal mereka, dan bahkan kesediaan mereka untuk membayar. Jika 'layanan' itu sebenarnya dikendalikan oleh, atau berafiliasi dengan, penyerang, semua informasi itu mengalir langsung kembali ke orang-orang yang bertanggung jawab atas pelanggaran tersebut.

Itu menciptakan lingkaran umpan balik yang menguntungkan penyerang di setiap tahap: mereka dibayar, mereka mendapatkan intelijen tentang bagaimana korban merespons, dan mereka bahkan mungkin mendapatkan kesempatan kedua untuk menarik uang dengan kedok bantuan yang sah. Untuk organisasi mana pun yang sudah berurusan dengan data yang dikompromikan, skema semacam ini melipatgandakan paparan daripada menyelesaikannya.

Apa Artinya Ini Bagi Anda

Jika organisasi Anda pernah terkena ransomware, tekanan untuk menemukan perbaikan cepat bisa sangat besar, tetapi skema ini adalah pengingat bahwa tidak setiap tawaran bantuan selama krisis itu asli. Perusahaan pemulihan, negosiator, dan konsultan keamanan siber harus selalu diverifikasi secara independen, idealnya melalui referensi, reputasi yang mapan, atau penyedia asuransi siber Anda, daripada melalui kontak yang muncul tanpa diminta tepat setelah serangan.

Juga perlu diingat bahwa firma respons insiden yang sah biasanya tidak muncul begitu saja dengan tawaran yang tidak diminta segera setelah pelanggaran. Setiap jangkauan tak terduga yang mengklaim membantu negosiasi tebusan atau pemulihan data layak mendapatkan pemeriksaan ekstra sebelum informasi apa pun, atau uang, berpindah tangan.

Poin-Poin Tindakan yang Dapat Dilakukan

  • Verifikasi layanan pemulihan insiden atau negosiasi apa pun melalui saluran tepercaya dan independen sebelum terlibat, terutama jika mereka menghubungi Anda terlebih dahulu.
  • Libatkan penegakan hukum dan penyedia asuransi siber Anda sejak awal; mereka dapat membantu membedakan mitra pemulihan yang sah dari aktor oportunistik.
  • Hindari membagikan informasi rinci tentang pelanggaran, sistem, atau niat pembayaran Anda kepada pihak mana pun yang kredensialnya belum dikonfirmasi.
  • Perlakukan tawaran bantuan yang tidak diminta setelah pelanggaran dengan skeptisisme yang sama seperti yang Anda terapkan pada catatan tebusan asli.

Skema seperti 'Ransom Busters' menunjukkan bahwa pemerasan ransomware tidak selalu berakhir ketika catatan tebusan muncul. Tetap berhati-hati tentang siapa yang Anda percayai setelah serangan sama pentingnya dengan mempertahankan diri dari pelanggaran awal.