Cosa è successo quando ShinyHunters ha violato il sito di leak di Clop
Secondo quanto riportato da Lawrence Abrams per DataBreaches.Net, il gruppo di estorsione ShinyHunters ha violato il sito di leak di dati gestito dalla gang ransomware Clop (scritto anche come Cl0p). ShinyHunters ha deturpato il portale di leak di Clop basato su Tor e, secondo quanto riportato, minaccia di estorcere denaro alla stessa operazione ransomware. In effetti, un gruppo noto soprattutto per rubare e vendere dati aziendali ha rivolto lo stesso modus operandi contro uno degli operatori ransomware più prolifici attualmente attivi.
Clop è stato responsabile di alcune delle più grandi campagne di estorsione di massa degli ultimi anni, sfruttando spesso vulnerabilità nel software di trasferimento file per rubare dati da centinaia di organizzazioni contemporaneamente, anziché crittografare i loro sistemi. Il suo sito di leak è servito come punto di pressione pubblico dove Clop nomina le vittime e minaccia di pubblicare i file rubati se i riscatti non vengono pagati. Il fatto che la stessa infrastruttura sia stata compromessa e deturpata da un altro gruppo criminale è un colpo di scena insolito, e sottolinea una tendenza più ampia: le gang ransomware che si hackerano a vicenda stanno diventando un modello riconoscibile nel sottomondo criminale, non solo una rara curiosità.
Perché i gruppi di estorsione rivali si stanno rivoltando gli uni contro gli altri
Le operazioni di ransomware ed estorsione dei dati funzionano come aziende informali. Competono per affiliati, broker di accesso e reputazione sui forum criminali, e proteggono i loro siti di leak e portali di negoziazione come risorse fondamentali. Quando una gang viola l'infrastruttura di un'altra, può servire a diversi scopi contemporaneamente: umiliare un rivale, interrompere le sue operazioni, rubare i dati delle sue vittime per rivenderli, o semplicemente dimostrare la propria superiorità tecnica per costruire credibilità tra gli altri criminali.
ShinyHunters ha un curriculum di furti di dati su larga scala e di attività pubbliche su siti di leak, quindi violare il sito di Clop rientra in un modello in cui un marchio di estorsione si impone su un altro. Per i difensori e i ricercatori, questi scontri possono occasionalmente offrire un lato positivo, esponendo dettagli interni delle gang o destabilizzando un attore minaccioso attivo. Ma per le persone i cui dati personali e aziendali erano già stati rubati da Clop, la situazione si ribalta.
Cosa significa questo per le vittime i cui dati sono già stati rubati
Se la vostra organizzazione, o le vostre informazioni personali, sono state precedentemente coinvolte in una campagna di furto di dati di Clop, questo incidente è un promemoria del fatto che i dati rubati non rimangono contenuti una volta usciti dalla rete della vittima. Possono essere copiati, rivenduti o ridistribuiti da altri attori minacciosi molto tempo dopo la violazione originale. Quando un gruppo criminale compromette il sito di leak di un altro, non c'è modo di verificare chi ora possiede copie di quei dati, come potrebbero essere riconfezionati, o se riemergeranno su nuove piattaforme completamente separate dal tentativo di estorsione originale.
Questo è il rischio pratico dietro l'angolazione editoriale di questo articolo: i dati che una gang ransomware ha rubato e minacciato di divulgare possono finire per circolare in modo molto più ampio e imprevedibile di quanto suggerisse la minaccia originale. Le vittime che hanno negoziato, pagato o semplicemente atteso che passasse una minaccia originale di Clop non possono presumere che la questione sia chiusa solo perché il sito di leak iniziale è diventato silenzioso o è stato rimosso. Un gruppo rivale che ottiene accesso alla stessa infrastruttura, anche solo brevemente, aggiunge un ulteriore livello di incertezza su dove siano finiti i dati.
Come verificare se i vostri dati sono esposti indipendentemente da chi li detiene
Poiché i dati rubati possono passare di mano tra gruppi criminali, la difesa più affidabile non è cercare di rintracciare quale gang controlla attualmente un dato sito di leak. Concentratevi invece sul monitoraggio diretto della vostra esposizione. Utilizzate servizi affidabili di notifica delle violazioni per verificare se i vostri indirizzi email o account sono apparsi in leak noti, abilitate l'autenticazione a due fattori ovunque sia disponibile e trattate qualsiasi richiesta inaspettata di reimpostazione della password o avviso di accesso come un segnale da investigare immediatamente.
Se un gestore di password, un browser o un dispositivo segnala che una delle vostre credenziali è emersa in un leak, vale la pena capire esattamente cosa significa quell'avviso e come rispondere. La nostra guida su cosa significa l'avviso che una password è apparsa in un leak illustra i passaggi da intraprendere, dal cambiare la password interessata alla verifica di credenziali riutilizzate su altri account. Questo consiglio vale tanto quando i dati riemergono attraverso una violazione secondaria, come questa che coinvolge ShinyHunters e Clop, quanto per l'incidente originale.
Punti chiave
La violazione da parte di ShinyHunters del sito di leak di Clop è un chiaro esempio di gang ransomware che si hackerano a vicenda, e illustra quanto sia realmente instabile e imprevedibile l'ecosistema criminale attorno ai dati rubati. Le vittime non possono controllare cosa succede alle loro informazioni una volta che lasciano la rete di un'azienda, ma possono controllare la rapidità con cui rispondono ai segnali di esposizione. Verificate regolarmente se le vostre credenziali sono apparse in leak noti, aggiornate e diversificate le vostre password, e agite prontamente su qualsiasi avviso di leak riceviate, indipendentemente da quale gruppo criminale stia attualmente rivendicando il merito della violazione.
