Un gruppo di nuova visibilità che si definisce ScarlettGroup sta attirando l'attenzione dei ricercatori di threat intelligence. Il gruppo di estorsione dati ScarlettGroup gestisce un sito di leak nel dark web ed è stato collegato a rivendicazioni di violazioni contro organizzazioni tra cui VinSolutions e Yale University Press. Per la maggior parte delle persone, il punto importante non è il gruppo in sé. È come i dati sottratti a un'azienda possano finire per colpire clienti che non hanno mai sentito parlare di chi li detiene.

Chi è ScarlettGroup e cosa ha rivendicato

Secondo il reporting di threat intelligence di Foresiet, ScarlettGroup è un gruppo emergente di estorsione dati. La sua impronta include un sito di leak nel dark web e attività nei forum sotterranei, dove gruppi come questo pubblicizzano ciò che affermano di aver sottratto.

Due inserzioni si distinguono. In una, un threat actor che usa il nome ScarlettGroup ha asserito di aver rubato dati di customer relationship management (CRM) dal fornitore di software automotive VinSolutions. La nostra precedente copertura della rivendicazione della violazione CRM di VinSolutions da parte di SCARLETTGROUP descrive quanto pubblicato. In un'altra, il gruppo ha pubblicato quello che presenta come una violazione di Yale University Press su BreachForums, dettagliato nel nostro articolo sulla rivendicazione della violazione dati di Yale University Press.

Qui conta un'avvertenza. Queste sono rivendicazioni fatte dal gruppo, non risultati confermati. Gli attori dell'estorsione hanno un incentivo a esagerare, e un'inserzione su un sito di leak non prova la portata o il contenuto di alcun furto. Trattale come segnali da tenere d'occhio, non come fatti stabiliti.

Come funziona l'estorsione tramite sito di leak

L'estorsione dati differisce dal ransomware classico sotto un aspetto. Il ransomware blocca i sistemi e chiede un pagamento per una chiave di decifratura. I gruppi di estorsione dati si concentrano sulle informazioni rubate stesse e minacciano di pubblicarle se la vittima non paga.

Il sito di leak è lo strumento di pressione. Lo schema abituale è questo:

  1. Accesso e furto. Gli attaccanti entrano in un sistema e copiano i dati.
  2. Inserzione. Il nome della vittima appare sul sito di leak del gruppo, spesso con un campione come prova.
  3. Pressione. Il gruppo fissa una scadenza. I resoconti pubblici su ScarlettGroup descrivono contatori alla rovescia nel dark web usati per minacciare il rilascio dei dati aziendali.
  4. Rilascio o vendita. Se il bersaglio non paga, i dati possono essere pubblicati o venduti nei forum sotterranei.

Poiché la pressione deriva dall'esposizione pubblica, l'inserzione stessa può danneggiare la reputazione di un'organizzazione prima che qualcuno abbia verificato la rivendicazione. Nel frattempo, le persone i cui dati potrebbero essere all'interno non hanno voce al tavolo delle trattative.

Cosa significa per te

Se sei un cliente di un'azienda nominata su un sito di leak, sei un terzo nella disputa. Non hai fatto nulla di male, eppure le tue informazioni potrebbero essere la leva.

Il rischio dipende da cosa è stato sottratto. I dati CRM, per esempio, contengono tipicamente dettagli di contatto e registrazioni delle interazioni con i clienti. I dati di un editore o di un'istituzione possono includere nomi, email e dettagli degli account. Non possiamo dire esattamente cosa detenga ScarlettGroup, e le rivendicazioni del gruppo non sono state verificate in modo indipendente. Ma i rischi realistici per i consumatori derivanti da questo tipo di esposizione sono ben noti:

  • Phishing mirato. I truffatori possono fare riferimento a una reale relazione commerciale per rendere i messaggi credibili.
  • Attacchi di riutilizzo delle credenziali. Se le password sono state esposte e le riutilizzi, altri account diventano vulnerabili.
  • Impersonificazione e frode. I dettagli personali possono aiutare qualcuno a fingersi te con una banca, un operatore telefonico o un servizio di assistenza.

Niente di tutto questo è un motivo per farsi prendere dal panico. È un motivo per agire presto, perché il costo di rafforzare i tuoi account è piccolo rispetto alla pulizia dopo una frode.

Passi per ridurre la tua esposizione

Non puoi controllare se un'azienda che usi subisce una violazione. Puoi controllare quanto danno possono fare i dati rubati.

  • Verifica se sei coinvolto. Cerca avvisi dalle aziende con cui hai avuto a che fare e controlla la tua email su un servizio affidabile di notifica delle violazioni.
  • Usa password uniche. Un gestore di password lo rende praticabile. Se un sito espone la tua password, gli altri restano protetti.
  • Attiva l'autenticazione a più fattori. Preferisci un'app di autenticazione o una chiave hardware rispetto agli SMS, quando possibile.
  • Sii scettico verso i messaggi inaspettati. Se un'email o un SMS menziona l'acquisto di un veicolo, una concessionaria o un ordine di libri che non ti aspettavi, vai direttamente al sito ufficiale dell'azienda invece di cliccare.
  • Monitora i tuoi conti finanziari. Rivedi gli estratti conto e considera un blocco del credito se identificatori sensibili potrebbero essere stati esposti.
  • Mantieni aggiornato il software. Questo limita ciò che gli attaccanti possono fare con qualsiasi accesso ottenuto.

Una VPN può proteggere il tuo traffico su reti non affidabili, ma non fa nulla per i dati già memorizzati sui server di un'azienda. L'igiene degli account è la difesa più pertinente in questo caso.

In conclusione

Il gruppo di estorsione dati ScarlettGroup è ancora emergente, e molto sui suoi metodi e sulla sua portata non è confermato. Ciò che è chiaro è il modello: rubare dati, elencare pubblicamente la vittima e usare la minaccia di rilascio come leva. Questo mette i clienti comuni sulla linea di fuoco.

Inizia verificando se hai rapporti commerciali con una qualsiasi organizzazione nominata, poi rafforza le tue password e abilita l'autenticazione a più fattori. Per i dettagli su inserzioni specifiche, leggi la nostra copertura della rivendicazione della violazione di VinSolutions e della rivendicazione della violazione di Yale University Press, e tieni d'occhio gli avvisi ufficiali delle aziende coinvolte.