Taruhan Bank pada Kejujuran Kriminal

Ketika berbicara tentang ransomware, salah satu bagian paling aneh dari seluruh model bisnis kriminal adalah janji yang mengikuti pembayaran: serahkan uang, dan kami akan menghapus data Anda yang dicuri. River Financial Corporation, perusahaan induk dari River Bank & Trust yang berbasis di Alabama, tampaknya menerima janji itu begitu saja. Dalam pengajuan Form 8-K kepada Securities and Exchange Commission, bank tersebut mengungkapkan bahwa mereka "mengambil langkah-langkah untuk mencoba menekan data yang terdampak, termasuk mendapatkan representasi" dari para penyerang, pada dasarnya jaminan tertulis bahwa informasi yang dicuri akan dimusnahkan. Yang perlu dicatat, pengajuan tersebut tidak secara eksplisit mengonfirmasi apakah River Bank benar-benar membayar tebusan, meskipun mendapatkan "representasi" semacam itu dari operator ransomware biasanya hanya terjadi setelah uang berpindah tangan.

Pengungkapan ini terjadi pada saat yang canggung bagi siapa pun yang cenderung mempercayai janji penghapusan data oleh ransomware. Penindakan penegak hukum terhadap operasi ransomware LockBit mengungkapkan bahwa data korban tetap disimpan oleh infrastruktur kelompok tersebut bahkan dalam kasus di mana korban telah membayar permintaan pemerasan. Dengan kata lain, kotak centang berlabel "data dihapus" yang diandalkan oleh begitu banyak perusahaan untuk menutup insiden dan meyakinkan regulator, pelanggan, serta dewan direksi mereka sendiri, dalam setidaknya beberapa kasus yang terdokumentasi, ternyata hanya palsu.

Mengapa Janji Penghapusan Data Ransomware Jarang Dapat Diandalkan

Seluruh konsep membayar geng ransomware untuk penghapusan data bertumpu pada kontradiksi yang jelas: Anda meminta organisasi kriminal, yang membobol jaringan Anda dan mencuri data sensitif sejak awal, untuk secara sukarela melepaskan pengaruhnya. Tidak ada mekanisme penegakan, tidak ada jejak audit, dan tidak ada jalur hukum jika kelompok tersebut menyimpan salinannya, menjualnya di pasar web gelap, atau menggunakannya untuk pemerasan putaran kedua di kemudian hari. Para peneliti keamanan telah lama memperingatkan bahwa video, tangkapan layar, atau pernyataan tertulis "bukti penghapusan" yang diberikan oleh kru ransomware pada dasarnya tidak dapat diverifikasi. Penindakan LockBit hanya memberikan bukti nyata dari apa yang telah diasumsikan oleh banyak pihak di komunitas keamanan.

Bagi lembaga keuangan, hal ini sangat penting. Bank menyimpan beberapa data pribadi paling sensitif yang ada, termasuk nomor Jaminan Sosial, detail akun, dan riwayat transaksi. Ketika data tersebut dieksfiltrasi selama intrusi, janji pelaku kriminal untuk menghapusnya tidak menawarkan perlindungan nyata bagi nasabah yang informasinya terpapar. Paling banter, janji itu hanya menjadi bahan pembicaraan untuk pengajuan regulasi.

Bagaimana Pelanggaran Itu Terjadi

Insiden River Bank tidak terjadi dalam ruang hampa. Menurut laporan intelijen ancaman sebelumnya, pelanggaran tersebut terkait dengan aktor tidak sah yang mendapatkan akses melalui kerentanan protokol VPN yang sudah usang, detail yang dibahas dalam liputan kami sebelumnya tentang insiden ransomware River Bank & Trust. Infrastruktur akses jarak jauh yang usang tetap menjadi salah satu titik masuk paling umum bagi kru ransomware, justru karena seringkali berada di tepi jaringan, mudah dipindai, dan sering diabaikan dalam siklus manajemen tambalan. Begitu masuk, penyerang biasanya bergerak secara lateral, menemukan penyimpanan data berharga, dan mengeksfiltrasi informasi sebelum memicu muatan ransomware, yang berarti pencurian sering terjadi jauh sebelum ada yang menyadari ada sesuatu yang salah.

Apa Artinya Bagi Anda

Jika Anda adalah nasabah River Bank & Trust, atau nasabah dari lembaga mana pun yang telah mengungkapkan insiden ransomware, kenyataan praktisnya adalah: janji apa pun dari para penyerang untuk menghapus data Anda tidak boleh dianggap sebagai jaminan keamanan. Begitu informasi meninggalkan jaringan perusahaan dalam serangan ransomware, informasi tersebut harus dianggap telah dikompromikan secara permanen, terlepas dari jaminan apa pun yang kemudian diperoleh. Itu berarti memantau rekening dan laporan kredit Anda untuk aktivitas yang tidak biasa, waspada terhadap upaya phishing yang merujuk pada detail akun asli (taktik lanjutan yang umum ketika data perbankan yang dicuri beredar di antara kelompok kriminal), dan mempertimbangkan pembekuan kredit jika nomor Jaminan Sosial atau nomor rekening termasuk dalam kumpulan data yang terpapar.

Bagi bisnis dan lembaga keuangan yang menyaksikan kisah ini terungkap, pelajarannya lebih luas. Mengandalkan janji penghapusan data ransomware sebagai bagian dari strategi tanggap insiden, apalagi sebagai sesuatu yang layak diungkapkan kepada regulator sebagai langkah mitigasi, mengirimkan sinyal yang salah tentang seberapa serius sebuah organisasi menangani perlindungan data. Cadangan yang terverifikasi, segmentasi jaringan, dan penambalan segera infrastruktur akses jarak jauh seperti gateway VPN jauh lebih melindungi data nasabah daripada jaminan apa pun yang dapat diperoleh dari perusahaan kriminal.

Poin-Poin Penting

  • Perlakukan janji kelompok ransomware mana pun untuk menghapus data yang dicuri sebagai sesuatu yang tidak dapat diverifikasi dan tidak dapat ditegakkan, bukan perlindungan sejati.
  • Jika Anda menjadi nasabah di lembaga yang telah mengungkapkan pelanggaran, pantau laporan mutasi dan laporan kredit dengan cermat dan pertimbangkan pembekuan kredit.
  • Lebih berhati-hatilah terhadap pesan phishing yang merujuk pada detail akun atau pribadi yang akurat dalam minggu dan bulan setelah insiden diungkapkan.
  • Organisasi harus memprioritaskan penambalan kerentanan VPN dan akses jarak jauh yang diketahui, karena protokol usang tetap menjadi titik masuk utama bagi kru ransomware.

Seiring penyelidikan ransomware terus mengungkap kesenjangan antara apa yang dijanjikan kelompok kriminal dan apa yang sebenarnya mereka lakukan, baik konsumen maupun perusahaan harus merencanakan seolah-olah data yang dicuri tidak pernah benar-benar hilang, tidak peduli representasi tertulis apa pun yang diberikan oleh kru ransomware.