Una banca ha creduto alla parola degli hacker del ransomware

Un istituto finanziario americano, identificato nei report di cybersecurity come River Bank, ha comunicato un incidente di sicurezza informatica rilevante dopo che alcuni aggressori ransomware hanno rubato terabyte di dati sensibili, inclusi profili dei clienti, documenti interni e registri bancari confidenziali. In seguito al pagamento di un riscatto, la banca ha dichiarato di ritenere che gli aggressori abbiano cancellato i dati rubati, basandosi in gran parte sulle assicurazioni fornite dal gruppo criminale stesso.

È questo dettaglio a rendere la storia degna di nota. Le trattative con i ransomware si concludono spesso con la promessa che i file rubati verranno distrutti una volta ricevuto il pagamento. Ma in queste transazioni non è previsto alcun processo di verifica indipendente. Una banca, o qualsiasi organizzazione, che si affidi alla parola di una gang criminale non ha alcun modo reale di confermare che i dati siano spariti. Potrebbero essere copiati, rivenduti o conservati per un secondo tentativo di estorsione mesi dopo.

Perché fidarsi di una gang di ransomware è un azzardo

Le operazioni ransomware sono concepite per ottenere un pagamento, non per rispettare gli accordi. Una volta che gli aggressori hanno esfiltrato i dati, ne controllano ogni copia. Una promessa di cancellazione non è applicabile e non esiste alcun meccanismo tecnico che consenta all'organizzazione vittima di verificarne l'adempimento. Anche se i singoli individui dietro un attacco intendessero davvero cancellare la propria copia, i dati rubati transitano spesso attraverso reti di affiliati, broker di accesso iniziale o acquirenti terzi prima ancora che venga richiesto un riscatto. Cancellare una copia non significa che ogni copia sia sparita.

Per una banca che gestisce profili dei clienti e registri finanziari confidenziali, questo aspetto ha un'importanza enorme. I dati bancari non sono come una password rubata che può essere semplicemente reimpostata. Numeri di conto, cronologia delle transazioni e documenti interni di conformità mantengono un valore per frodi e furti d'identità a lungo dopo che la violazione è stata resa nota. Quando un istituto comunica alle autorità di regolamentazione e ai clienti di ritenere che i dati siano stati cancellati, sta in sostanza chiedendo al pubblico di fidarsi degli stessi soggetti che hanno violato i sistemi e rubato le informazioni in primo luogo.

Questo schema non è esclusivo di un singolo episodio. Ricercatori di sicurezza e report di settore hanno ripetutamente dimostrato che i gruppi ransomware spesso conservano, rivendono o diffondono i dati anche dopo aver ricevuto il pagamento. Trattare le rassicurazioni di un gruppo criminale come una risoluzione della violazione, anziché come un'affermazione non verificata, costituisce un precedente preoccupante per il modo in cui le istituzioni finanziarie comunicano il rischio ai clienti i cui dati sono stati effettivamente esposti.

Cosa significa per te

Se hai un conto presso un istituto che ha comunicato una violazione, o anche presso uno che non l'ha (ancora) segnalata, l'ipotesi più sicura è che qualsiasi dato coinvolto in un attacco ransomware debba essere considerato compromesso in modo permanente, indipendentemente da ciò che affermano gli aggressori. In pratica, ciò significa:

  • Monitorare attentamente gli estratti conto e i report creditizi per attività sospette, specialmente nei mesi successivi a qualsiasi comunicazione di violazione da parte della tua banca.
  • Cambiare le password dell'online banking e attivare l'autenticazione a più fattori se non l'hai già fatto, poiché i documenti interni rubati possono talvolta includere informazioni utilizzate per rispondere alle domande di sicurezza o reimpostare le credenziali.
  • Diffidare di chiamate, SMS o email non richieste che facciano riferimento alla tua banca, al numero di conto o a transazioni recenti. I dati bancari rubati vengono spesso utilizzati per creare tentativi di phishing convincenti.
  • Valutare l'uso di una VPN quando accedi all'online banking su reti Wi-Fi pubbliche o non familiari, poiché crittografare la connessione riduce il rischio che le tue credenziali vengano intercettate separatamente da qualsiasi violazione subita dall'istituto stesso. Servizi come la prova gratuita di Mozilla VPN offrono un modo a basso impegno per verificare se la navigazione crittografata si integri bene con le tue abitudini bancarie quotidiane.

Nessuno di questi passaggi può annullare una violazione già avvenuta, ma riducono le probabilità che i dati rubati si traducano in un danno finanziario diretto per te.

Il quadro più ampio per le istituzioni finanziarie

Questo incidente mette in luce una tensione più ampia nel modo in cui le organizzazioni violate comunicano con il pubblico. Le autorità di regolamentazione richiedono sempre più spesso la comunicazione degli incidenti di sicurezza informatica rilevanti, ma le norme sulla comunicazione non impongono alle organizzazioni di verificare le affermazioni degli aggressori prima di ripeterle. Quando una banca dice ai clienti di ritenere che i dati siano stati cancellati, tale affermazione riflette più una speranza che una prova. Le istituzioni finanziarie che trattano dati sensibili della clientela hanno bisogno di pratiche di risposta agli incidenti che presuppongano la conservazione peggiore delle informazioni rubate, invece di messaggi pubblici che ricalcano i punti di discussione di una gang di ransomware.

Punti chiave

Il pagamento del riscatto non garantisce la cancellazione dei dati e nessuna banca o azienda può verificare che un gruppo criminale abbia effettivamente distrutto i file rubati. Se il tuo istituto finanziario ha comunicato una violazione, tratta i tuoi dati come esposti a tempo indeterminato: controlla i tuoi conti, rafforza la sicurezza degli accessi e rimani vigile contro i tentativi di phishing che fanno riferimento a dettagli reali del conto. Affidarsi alle promesse degli attori ransomware non è una strategia di sicurezza, e non dovrebbe esserlo nemmeno per te.