Un tipo diverso di minaccia ransomware

La maggior parte delle persone immagina un attacco ransomware allo stesso modo: i file di un'azienda si bloccano improvvisamente, sullo schermo appare una richiesta di riscatto e il reparto IT si affanna a ripristinare i backup. Silent Ransom Group, noto anche come Luna Moth, non funziona affatto così. Invece di cifrare qualsiasi cosa, questo gruppo ruba direttamente dati sensibili, spesso telefonando ai dipendenti, e poi minaccia di divulgarli se non viene pagato un riscatto. Non c'è detonazione di malware, non c'è un disco rigido bloccato e spesso non c'è alcun campanello d'allarme tecnico evidente. Solo una telefonata, una truffa e un silenzioso furto di dati che le vittime potrebbero non notare finché non arriva la richiesta di estorsione.

Questo cambiamento è importante perché modifica ciò a cui devono prestare attenzione i difensori. Le difese tradizionali contro il ransomware si concentrano in gran parte sull'arresto della crittografia: backup, rilevamento degli endpoint, segmentazione della rete. Silent Ransom Group aggira tutto questo prendendo di mira l'anello più debole nella maggior parte dei programmi di sicurezza, ovvero la fiducia umana.

Come funziona l'attacco

Il manuale operativo del gruppo si basa sull'ingegneria sociale piuttosto che su exploit software. Gli attaccanti si spacciano per personale di supporto IT, spesso tramite telefonate, per convincere i dipendenti o il personale dell'help desk a concedere l'accesso remoto o a consegnare le credenziali. Una volta dentro, l'obiettivo non è diffondere ransomware sulla rete. È individuare ed esfiltrare silenziosamente file di valore: registrazioni dei clienti, dati finanziari, materiali legali o qualsiasi altra cosa che potrebbe causare gravi danni se resa pubblica.

Questo approccio si è dimostrato particolarmente efficace contro le organizzazioni che detengono grandi volumi di informazioni riservate. Come dettagliato nella copertura delle tattiche di impersonificazione IT di Silent Ransom Group contro gli studi legali, il gruppo ha preso di mira specificamente gli studi legali, che conservano abitualmente dettagli di fusioni, strategie legali e registrazioni personali dei clienti che parti esterne pagherebbero profumatamente per mantenere private. Poiché gli studi legali spesso gestiscono informazioni per più clienti contemporaneamente, una singola intrusione riuscita può esporre una vasta rete di relazioni sensibili.

La posta in gioco finanziaria può essere significativa. Un caso documentato che coinvolge il gruppo ha preso di mira importanti studi legali tra cui Jones Day e WilmerHale, con una richiesta di riscatto che ha raggiunto i 13 milioni di dollari, secondo quanto riportato nella campagna di estorsione di Luna Moth contro Jones Day e WilmerHale. Questa cifra sottolinea quanto possa essere redditizia l'estorsione basata sul puro furto di dati, anche senza che venga cifrato un solo file.

Perché questa è una storia sulla privacy, non solo sulla sicurezza

Il ransomware basato sulla crittografia è dirompente, ma è fondamentalmente un problema di disponibilità: i sistemi restano inattivi finché non vengono ripristinati. Il modello di Silent Ransom Group è un problema di riservatezza fin dall'inizio. Nel momento in cui i dati lasciano il controllo di un'organizzazione, sono esposti, indipendentemente dal fatto che venga pagato un riscatto. Le vittime si ritrovano a negoziare non per riavere i loro sistemi, ma per cercare di impedire che informazioni private vengano pubblicate o vendute.

Questa distinzione è importante per chiunque abbia dati personali che potrebbero trovarsi all'interno dei file di un'organizzazione presa di mira. I clienti di uno studio legale violato, i pazienti di un fornitore di assistenza sanitaria o i clienti di qualsiasi azienda che conserva registrazioni personali non hanno alcun controllo diretto su quanto bene quell'organizzazione formi il proprio personale a riconoscere una finta chiamata di supporto IT. L'attacco riesce non violando la crittografia o sfruttando un difetto software, ma sfruttando un momento di fiducia mal riposta durante una conversazione telefonica dall'aria routine.

Cosa significa per te

Se lavori in un'organizzazione che gestisce dati sensibili di clienti, pazienti o finanziari, questa tendenza è un promemoria del fatto che le sole difese tecniche non fermeranno ogni minaccia. L'ingegneria sociale telefonica aggira completamente firewall e protezione degli endpoint perché prende di mira le persone, non i sistemi.

Per i dipendenti, la lezione pratica è semplice: il supporto IT legittimo raramente ha bisogno che tu conceda l'accesso remoto o condivida le credenziali durante una telefonata non richiesta. Qualsiasi richiesta del genere merita una verifica indipendente attraverso un canale interno conosciuto prima di agire.

Per le organizzazioni, questo significa che il personale dell'help desk e del supporto ha bisogno di protocolli espliciti per verificare l'identità del chiamante prima di concedere l'accesso o reimpostare le credenziali. Significa anche monitorare modelli insoliti di accesso ai dati e trasferimenti di file di grandi dimensioni, poiché l'esfiltrazione, non la crittografia, è l'obiettivo reale.

Per gli individui i cui dati potrebbero essere conservati da uno studio legale, un fornitore di assistenza sanitaria o un'istituzione finanziaria, vale la pena ricordare che la protezione dei dati non riguarda solo le tue abitudini. Dipende anche dalla cultura della sicurezza di ogni organizzazione che conserva i tuoi dati.

Punti chiave

L'approccio di Silent Ransom Group dimostra che il ransomware non ha bisogno della crittografia per essere pericoloso. Affidandosi all'impersonificazione telefonica e all'ingegneria sociale, il gruppo ha estorto ingenti richieste di riscatto a grandi organizzazioni, tra cui studi legali che gestiscono dati altamente sensibili dei clienti. Rafforzare le procedure di verifica dell'identità, formare il personale a mettere in discussione le chiamate IT non richieste e monitorare movimenti insoliti di dati sono difese molto più efficaci in questo caso rispetto ai soli strumenti anti-ransomware tradizionali. Man mano che le tattiche di estorsione si evolvono dalla crittografia verso il puro furto di dati, restare vigili contro l'ingegneria sociale potrebbe contare più che mai.