Onderzoekers bevestigen datalekclaims van ExfilSquad
Cybersecurityonderzoekers hebben beweringen van ExfilSquad, een afpersingsgroep die de afgelopen maanden organisaties heeft bedreigd met het vrijgeven van gestolen data, onderbouwd. Volgens nieuwe analyse heeft de groep daadwerkelijk gevoelige informatie verkregen van ten minste 13 organisaties. Deze bevinding neemt een groot deel van de dubbelzinnigheid weg die vaak rond de claims van afpersingsgroepen hangt en bevestigt de omvang van de campagne.
Afpersingsgroepen overdrijven of verzinnen regelmatig inbreukclaims om slachtoffers onder druk te zetten tot betalen, dus onafhankelijke verificatie is belangrijk. In dit geval onderzochten onderzoekers de datasets die ExfilSquad via torrentnetwerken verspreidde en ontdekten dat het materiaal overeenkwam met de eerdere beweringen van de groep. Die distributiemethode is op zichzelf opmerkelijk. In plaats van uitsluitend te vertrouwen op dark web-leksites, heeft ExfilSquad gestolen data in torrentnetwerken gepusht. Dit is een distributiekanaal dat sneller verspreidt en moeilijker offline te halen is zodra bestanden via meerdere peers worden geseed.
De bevestiging sluit aan bij een eerder rapport waarin werd beschreven hoe ExfilSquad in verband is gebracht met 13 datalekken van slachtoffers sinds juli, wat suggereert dat de groep een aanhoudende campagne heeft gevoerd in plaats van één incident bij toeval. De consistentie tussen die eerdere telling en deze nieuwste verificatie wijst op een groep die methodisch te werk gaat bij het documenteren en publiceren van haar vermeende inbraken.
Een patroon over sectoren heen
Wat opvalt aan de activiteiten van ExfilSquad is de breedte van de getroffen organisaties. De doelwitten van de groep waren niet beperkt tot één branche of geografie. Eerdere berichtgeving koppelde de groep aan een inbreuk waarbij 135.000 Britse politiegegevens op de dark web lekten, en afzonderlijk aan de PNLD-inbreuk die het Britse Police National Legal Database trof. Dat wetshandhaving en juridische infrastructuur naast doelwitten in de private sector in de portefeuille van dezelfde afpersingsgroep staan, benadrukt hoe willekeurig deze campagnes zijn geworden. Aanvallers selecteren slachtoffers niet per se op basis van sector; ze lijken misbruik te maken van welke toegang ze ook kunnen verkrijgen en dit achteraf te gelde te maken.
Dat patroon heeft ook de private sector geraakt, zoals te zien is in de zaak rond halfgeleiderfabrikant Analog Devices, die te maken kreeg met een datainbreuk waarbij ExfilSquad dreigde met een lek. De aanwezigheid van een wereldwijd technologiebedrijf naast overheids- en politie-instanties op de vermeende slachtofferlijst van dezelfde groep illustreert waarom organisaties in vrijwel elke sector de activiteiten van afpersingsgroepen als een geloofwaardige dreiging moeten behandelen in plaats van ze af te doen als ruis.
Waarom verificatie de calculus verandert
Tot nu toe was een groot deel van de berichtgeving over ExfilSquad gericht op de eigen claims van de groep, wat gebruikelijk is in de vroege fasen van een afpersingscampagne. Dreigingsactoren plaatsen vaak gedeeltelijke monsters of ongeverifieerde beweringen om media-aandacht te genereren en druk op slachtoffers uit te oefenen voordat de volledige authenticiteit is vastgesteld. De bevestiging dat ten minste 13 organisaties daadwerkelijk gevoelige data hadden blootgesteld, verschuift het gesprek van speculatie naar vaststaand feit, en verhoogt de inzet voor elke organisatie die nog niet heeft vastgesteld of zij op de doelwitlijst van de groep voorkomt.
Voor getroffen organisaties betekenen geverifieerde lekken dat het gebruikelijke incidentresponse-draaiboek volledig van toepassing is: beoordelen welke data is buitgemaakt, waar nodig toezichthouders en getroffen personen op de hoogte stellen, en toezicht houden op frauduleus vervolggebruik of secundaire aanvallen die vaak volgen op een bevestigde inbreuk. Vooral torrent-gebaseerde distributie maakt insluiting moeilijk, omdat bestanden onafhankelijk van één enkel hostingpunt kunnen worden gekopieerd en opnieuw gedeeld, in tegenstelling tot data die op een leksite wordt gehost en mogelijk offline kan worden gehaald.
Wat dit voor u betekent
Als u met een organisatie te maken heeft die in verband wordt gebracht met de activiteiten van ExfilSquad, of het nu als klant, werknemer of partner is, is het de moeite waard om te controleren of die organisatie een datalekmelding heeft uitgegeven. Aangezien politie- en juridische databases tot de bevestigde doelwitten behoren, moeten personen met enige verbinding met Britse wetshandhavingssystemen bijzonder alert zijn op meldingen van die instanties. Voor het algemene publiek is dit incident een herinnering dat gestolen persoonsgegevens steeds vaker via kanalen zoals torrents worden verspreid, die beter bestand zijn tegen verwijdering dan traditionele leksites. Dit betekent dat blootgestelde informatie lang na de initiële inbreuk kan blijven bestaan en circuleren.
Praktische aanbevelingen
Houd officiële communicatie van elke organisatie waarmee u een relatie heeft in de gaten voor datalekmeldingen die verband houden met ExfilSquad. Wijzig wachtwoorden en schakel multi-factorauthenticatie in voor accounts die verband houden met een bevestigde slachtofferorganisatie. Overweeg een fraudewaarschuwing of kredietbevriezing in te stellen als u denkt dat uw data deel uitmaakte van een bevestigd lek, vooral als overheids- of wetshandhavingsgegevens betrokken waren. Blijf sceptisch over ongevraagde communicatie die verwijst naar uw persoonlijke gegevens, aangezien gelekte data vaak wordt gebruikt om overtuigende phishingpogingen op te zetten. Nu de verificatie van de claims van ExfilSquad zich blijft ontvouwen, blijft het op de hoogte blijven via betrouwbare berichtgeving de beste verdediging tegen zowel de inbreuk zelf als de secundaire oplichtingspraktijken die er meestal op volgen.
