La scommessa di una banca sull'onestà dei criminali

Quando si parla di ransomware, una delle parti più strane dell'intero modello criminale è la promessa che segue il pagamento: consegna il denaro e noi cancelleremo i tuoi dati rubati. River Financial Corporation, la società madre di River Bank & Trust con sede in Alabama, sembra aver preso quella promessa alla lettera. In un modulo 8-K depositato presso la Securities and Exchange Commission, la banca ha dichiarato di aver "adottato misure per tentare di sopprimere i dati interessati, incluso l'ottenimento di dichiarazioni" dagli aggressori, in pratica un'assicurazione scritta che le informazioni rubate sarebbero state distrutte. È significativo che il deposito non confermi esplicitamente se River Bank abbia effettivamente pagato un riscatto, anche se ottenere tali "dichiarazioni" dagli operatori ransomware di solito avviene solo dopo che il denaro ha cambiato mano.

Questa rivelazione arriva in un momento imbarazzante per chiunque sia incline a fidarsi di una promessa di cancellazione dei dati ransomware. L'intervento delle forze dell'ordine contro l'operazione ransomware LockBit ha rivelato che i dati delle vittime venivano conservati dall'infrastruttura del gruppo anche nei casi in cui le vittime avevano già pagato la richiesta di estorsione. In altre parole, la casella spuntata con l'etichetta "dati cancellati", su cui tante aziende fanno affidamento per chiudere l'incidente e rassicurare autorità di regolamentazione, clienti e i propri consigli di amministrazione, era, almeno in alcuni casi documentati, semplicemente falsa.

Perché una promessa di cancellazione dei dati ransomware raramente regge

L'intero concetto di pagare una banda ransomware per la cancellazione dei dati si basa su una contraddizione evidente: stai chiedendo a un'organizzazione criminale, la stessa che si è introdotta nella tua rete e ha rubato dati sensibili, di rinunciare volontariamente alla propria leva. Non esiste alcun meccanismo di applicazione, nessuna traccia di audit e nessun ricorso legale se il gruppo conserva una copia, la vende su un mercato del dark web o la utilizza per un secondo round di estorsione in seguito. I ricercatori di sicurezza avvertono da tempo che i video, gli screenshot o le dichiarazioni scritte di "prova dell'avvenuta cancellazione" forniti dalle crew ransomware sono non verificabili per definizione. L'operazione contro LockBit ha semplicemente fornito prove concrete di ciò che molti nella comunità della sicurezza davano già per scontato.

Per un istituto finanziario, questo è estremamente importante. Le banche detengono alcuni dei dati personali più sensibili esistenti, inclusi codici fiscali, dettagli dei conti e cronologie delle transazioni. Quando tali dati vengono esfiltrati durante un'intrusione, la promessa di un criminale di cancellarli non offre alcuna protezione reale ai clienti le cui informazioni sono state esposte. Offre, nella migliore delle ipotesi, un argomento da spendere in un deposito normativo.

Come è avvenuta la violazione

L'incidente di River Bank non è avvenuto nel vuoto. Secondo precedenti report di threat intelligence, la violazione era legata all'accesso non autorizzato di un attore attraverso una vulnerabilità in un protocollo VPN obsoleto, un dettaglio approfondito nella nostra precedente copertura dell'incidente ransomware di River Bank & Trust. Le infrastrutture di accesso remoto obsolete rimangono uno dei punti di ingresso più comuni per le crew ransomware, proprio perché spesso si trovano ai margini della rete, sono facili da individuare tramite scansione e vengono frequentemente trascurate nei cicli di gestione delle patch. Una volta entrati, gli aggressori in genere si muovono lateralmente, individuano gli archivi di dati preziosi ed esfiltrano le informazioni prima ancora di attivare il payload ransomware, il che significa che il furto avviene spesso molto prima che qualcuno si accorga che c'è qualcosa che non va.

Cosa significa per te

Se sei un cliente di River Bank & Trust, o un cliente di qualsiasi istituto che abbia reso noto un incidente ransomware, la realtà pratica è questa: qualsiasi promessa da parte degli aggressori di cancellare i tuoi dati non dovrebbe essere trattata come una garanzia di sicurezza. Una volta che le informazioni lasciano la rete di un'azienda in un attacco ransomware, dovrebbero essere considerate compromesse in modo permanente, indipendentemente da quali rassicurazioni vengano ottenute in seguito. Ciò significa monitorare i tuoi conti e i report creditizi per attività insolite, prestare attenzione ai tentativi di phishing che fanno riferimento a dettagli reali del conto (una tattica di follow-up comune quando i dati bancari rubati circolano tra gruppi criminali) e considerare un blocco del credito se i codici fiscali o i numeri di conto facevano parte dei dati esposti.

Per le aziende e gli istituti finanziari che osservano questa vicenda, la lezione è più ampia. Affidarsi a una promessa di cancellazione dei dati ransomware come parte di una strategia di risposta agli incidenti, e tantomeno come qualcosa che valga la pena comunicare alle autorità di regolamentazione come misura attenuante, invia il segnale sbagliato su quanto seriamente un'organizzazione stia prendendo la protezione dei dati. Backup verificati, segmentazione della rete e l'applicazione tempestiva di patch all'infrastruttura di accesso remoto come i gateway VPN fanno molto di più per proteggere i dati dei clienti di qualsiasi assicurazione estorta a un'impresa criminale.

Punti chiave

  • Tratta qualsiasi promessa di cancellare i dati rubati da parte di un gruppo ransomware come non verificabile e non applicabile, non come una vera salvaguardia.
  • Se sei cliente di una banca che ha reso nota una violazione, monitora attentamente estratti conto e rapporti creditizi e prendi in considerazione un blocco del credito.
  • Presta particolare attenzione ai messaggi di phishing che fanno riferimento a dettagli reali di conti o dati personali nelle settimane e nei mesi successivi a un incidente reso noto.
  • Le organizzazioni dovrebbero dare priorità all'applicazione di patch alle vulnerabilità note di VPN e accesso remoto, poiché i protocolli obsoleti rimangono un punto di ingresso principale per le crew ransomware.

Mentre le indagini sui ransomware continuano a esporre il divario tra ciò che i gruppi criminali promettono e ciò che effettivamente fanno, sia i consumatori che le aziende dovrebbero pianificare come se i dati rubati non scompaiano mai veramente, indipendentemente da quale dichiarazione una crew ransomware fornisca per iscritto.