Secondo quanto riportato, gli investigatori federali avrebbero identificato dirigenti di due distinte società di negoziazione di incidenti informatici che mantenevano rapporti insolitamente stretti con il gruppo di estorsione ShinyHunters. Stando a quanto riportato da KrebsOnSecurity e sintetizzato da Security Arsenal, un dirigente con sede negli Stati Uniti sarebbe andato oltre, contribuendo a gestire il sito web utilizzato per fare pressione sulle vittime affinché pagassero. L'accusa relativa al sito di estorsione del negoziatore di riscatti ShinyHunters è ancora solo questo, un'accusa, ma solleva una domanda difficile per chiunque abbia i propri dati presso un'azienda che un giorno potrebbe essere violata: chi c'è davvero dall'altra parte del tavolo?

Cosa sostengono gli investigatori sui negoziatori e ShinyHunters

Il servizio giornalistico afferma che gli investigatori federali, lavorando con i dati dell'FBI, hanno identificato dirigenti di due società di negoziazione che avevano contatti stretti con ShinyHunters. Uno di loro, un dirigente con sede negli Stati Uniti, avrebbe contribuito a gestire il sito che il gruppo utilizzava per fare pressione sulle vittime affinché pagassero i riscatti.

Vale la pena tenere presenti alcuni punti. Il riepilogo disponibile non delinea capi d'accusa, e le affermazioni provengono da resoconti su ciò che gli investigatori sospettano. Né i dirigenti né le loro società sono nominati nel materiale che abbiamo esaminato, quindi non speculeremo sulle identità. Trattate questa come una storia in evoluzione e aspettatevi che i dettagli cambino man mano che vengono confermate ulteriori informazioni.

Come funzionano i siti di negoziazione dei riscatti e di estorsione

Quando un'azienda viene colpita da un furto di dati o da un attacco ransomware, spesso assume una società esterna per gestire le comunicazioni con gli aggressori. Questi negoziatori in genere verificano cosa è stato rubato, cercano di ridurre la richiesta e organizzano il pagamento se l'azienda decide di pagare. Poiché parlano direttamente con i criminali, possiedono conoscenze sensibili: quanto può permettersi la vittima, quali dati sono stati presi e quanto è urgente la scadenza dell'azienda.

I siti di estorsione sono lo strumento di pressione dall'altra parte. Gruppi come ShinyHunters utilizzano un sito web per nominare le vittime, minacciare di pubblicare i dati rubati e spingere le aziende verso un accordo. Il sito fa parte della proposta di vendita: più la minaccia è credibile e spaventosa, più è probabile che una vittima paghi.

Ecco perché l'accusa è importante. Se un negoziatore ha anche contribuito a gestire il sito di pressione, la stessa persona potrebbe, in teoria, essere sia il consulente fidato della vittima sia un partecipante alla minaccia. È un conflitto di interessi da manuale, e la vittima potrebbe non esserne a conoscenza.

Perché un conflitto di interessi nella risposta agli incidenti è importante

La risposta agli incidenti si basa sulla fiducia. Un'azienda violata consegna log, dettagli di rete e informazioni aziendali sensibili alle persone che la aiutano a riprendersi. Se uno di questi consulenti ha legami con gli aggressori, diverse cose potrebbero andare storte:

  • La leva negoziale può trapelare. Conoscere il budget o la scadenza di una vittima aiuta un estorsore a fissare il prezzo.
  • I consigli possono essere distorti. Un consulente in conflitto di interessi potrebbe spingere un'azienda verso il pagamento anziché verso un altro tipo di recupero.
  • La gestione dei dati diventa incerta. Il pagamento dovrebbe garantire la cancellazione dei dati rubati, ma, come in altri recenti casi di estorsione, non c'è modo di essere certi che i dati siano davvero spariti.

Per clienti, pazienti, studenti o dipendenti i cui dati si trovano all'interno dell'azienda violata, tutto questo è fuori dal loro controllo. Non scegliete il negoziatore e raramente venite a sapere chi fosse. A livello di settore, questo è un motivo per chiedere una verifica più chiara e la divulgazione dei conflitti di interessi, e per chiedere che le autorità di regolamentazione e le assicurazioni esaminino come vengono selezionate queste società.

Cosa significa questo per voi

Non potete verificare i partner di risposta agli incidenti dei vostri fornitori. Quello che potete fare è limitare i danni se i vostri dati finiscono nelle mani sbagliate, indipendentemente da chi abbia gestito la negoziazione. Date per scontato che un pagamento non garantisca che le vostre informazioni siano state distrutte e che i dettagli rubati possano essere riutilizzati in truffe successive. I gruppi di estorsione e gli imitatori sfruttano anche le notizie sulle violazioni: una falsa email di sextortion di ShinyHunters, ad esempio, avrebbe utilizzato dettagli reali di violazioni per rendere le minacce credibili.

Cosa fare se un'azienda che utilizzate viene violata

Quando arriva una notifica di violazione, agite invece di aspettare che la vicenda si chiarisca:

  1. Cambiate le password riutilizzate. Iniziate dal servizio violato, poi da qualsiasi altro account che condivide la stessa password. Usate una password unica per ogni account, idealmente memorizzata in un gestore di password.
  2. Attivate l'autenticazione a più fattori. Preferite un'app di autenticazione o una chiave hardware rispetto agli SMS, ove possibile.
  3. Fate attenzione alle email di phishing ed estorsione. Siate scettici nei confronti dei messaggi che citano dettagli reali su di voi e richiedono denaro o azioni urgenti. Non rispondete, non cliccate sui link e non aprite gli allegati. Andate invece direttamente al sito ufficiale dell'azienda.
  4. Verificate la notifica stessa. Confermate che provenga dall'azienda attraverso un canale che potete verificare, poiché gli aggressori imitano le notifiche di violazione.
  5. Monitorate i vostri account. Rivedete gli estratti conto bancari e delle carte, e considerate un blocco del credito se la notifica indica che sono stati esposti dati finanziari o di identità.

In conclusione

Il presunto legame tra un negoziatore di riscatti e un sito di estorsione di ShinyHunters non è ancora un caso definito, ma mostra quanto della risposta alle violazioni si basi su una fiducia che gli individui non possono vedere. Finché i fatti non saranno pienamente accertati, l'approccio sensato è proteggervi allo stesso modo ogni volta: password uniche, autenticazione a più fattori e una sana diffidenza verso qualsiasi messaggio che si basa sui vostri dati trapelati per spaventarvi. Fate queste cose dopo qualsiasi notifica di violazione e ridurrete il valore di qualunque cosa gli aggressori, o i loro intermediari, stiano tenendo in mano.