De FBI zegt tegen leden van de afpersgroep ShinyHunters dat ze zich moeten aangeven. De waarschuwing volgt op de arrestatie door de Nederlandse politie van een man die het bureau omschreef als een van de vermeende leiders van de groep. Voor iedereen wiens accounts mogelijk betrokken zijn geraakt bij een bedrijfsinbreuk, is het verhaal over de ShinyHunters-arrestatie en de FBI-afpersgroep de moeite waard om te begrijpen, vooral vanwege wat het wel en niet verandert voor slachtoffers.

Wat de FBI en de Nederlandse politie aankondigden

De kernfeiten zijn kort. De Nederlandse politie arresteerde een man, en de FBI karakteriseerde hem als een vermeende leider van ShinyHunters. Het bureau stuurde vervolgens een openbare boodschap gericht aan de rest van de groep: geef je over in plaats van te wachten tot je wordt geïdentificeerd en gearresteerd.

Dat soort openbare oproep is een drukmiddel. Het signaleert dat onderzoekers menen informatie te hebben over andere leden en overlopers of vrijwillige overgave willen aanmoedigen. Het toont ook internationale samenwerking, waarbij Amerikaanse en Nederlandse autoriteiten aan dezelfde zaak werken.

Sommige details zijn nog onduidelijk, en secundaire berichten verschillen op bepaalde specifieke punten over de verdachte. Totdat autoriteiten volledige gerechtelijke of aanklachtendocumenten publiceren, moeten individuele beweringen in socialmediaposts en aggregatorpagina's met voorzichtigheid worden behandeld. Een arrestatie is ook geen veroordeling, en de verdachte heeft recht op het vermoeden van onschuld.

Wie ShinyHunters is en hoe hun afpersmodel werkt

ShinyHunters wordt beschreven als een groep voor datadiefstal en afpersing. Het algemene model van zulke groepen is eenvoudig:

  • Aanvallers krijgen toegang tot de systemen of cloudaccounts van een bedrijf.
  • Ze kopiëren gevoelige data, vaak klant- of personeelsgegevens.
  • Ze contacteren het slachtoffer en eisen betaling, met de dreiging de data te publiceren of te verkopen als het slachtoffer weigert.

Anders dan bij klassieke ransomware vereist data-afpersing niet altijd dat er iets wordt versleuteld. De hefboom komt volledig van de gestolen informatie. Dat maakt de dreiging moeilijker te "verhelpen" met back-ups, omdat het herstellen van je eigen bestanden niets doet aan kopieën die op iemands anders server staan.

De bredere trend van escalerende afpersing is ook elders zichtbaar. Onze berichtgeving over de Medusa-ransomwarecampagne en de meer dan 500 getroffen organisaties laat zien hoe federale agentschappen vergelijkbare drukmiddelen tegen organisaties in verschillende sectoren volgen.

Waarom een arrestatie het risico voor je data niet beëindigt

Het is verleidelijk om een arrestatie als een happy end te lezen. Voor mensen wier data werd gestolen is dat meestal niet zo, om een paar praktische redenen.

Gestolen data verdwijnt niet. Zodra gegevens zijn gekopieerd, kunnen ze worden opgeslagen, gedeeld of doorverkocht. Het verwijderen van één persoon uit het beeld verwijdert die kopieën niet.

Groepen zijn geen individuen. Afpersploegen bestaan vaak uit meerdere leden met verschillende rollen. De oproep van de FBI aan leden om zich over te geven suggereert dat onderzoekers menen dat anderen nog actief en onvindbaar zijn.

Oude inloggegevens blijven bruikbaar. Aanvallers en opportunistische criminelen proberen routinematig gelekte e-mailadres-wachtwoordcombinaties op andere diensten, een techniek die credential stuffing wordt genoemd. Als je een wachtwoord hebt hergebruikt, maakt de leeftijd van de inbreuk minder uit dan je misschien denkt.

Druk van wetshandhaving is op de lange termijn goed nieuws, omdat het de kosten van het runnen van deze operaties verhoogt. Maar het is een reden voor voorzichtig optimisme, niet een reden om te ontspannen.

Hoe je je blootgestelde accounts controleert en beschermt

Je hoeft niet te weten of ShinyHunters specifiek jouw data heeft aangeraakt om verstandige stappen te nemen. De meeste van deze acties helpen tegen elke inbreuk.

  1. Controleer breach-databases. Gebruik een betrouwbare dienst voor inbreukmeldingen om te zien of je e-mailadressen of telefoonnummers in bekende lekken voorkomen. Controleer elk adres dat je hebt gebruikt, ook oude.
  2. Verander eerst hergebruikte wachtwoorden. Begin met e-mail, bankieren en elk account dat andere accounts kan resetten. Je e-mailinbox is de hoofdsleutel tot het grootste deel van je digitale leven.
  3. Gebruik een uniek wachtwoord voor elk account. Een wachtwoordmanager maakt dit realistisch, omdat je maar één sterke wachtwoordzin hoeft te onthouden.
  4. Schakel multifactor-authenticatie in. Geef de voorkeur aan een authenticator-app of een hardwarebeveiligingssleutel boven sms-codes wanneer de dienst dit toelaat. Zelfs als een wachtwoord uitlekt, kan een tweede factor een login stoppen.
  5. Let op vervolgscams. Getroffen klanten ontvangen vaak phishing-e-mails of -berichten die naar echte details verwijzen. Klik niet op links in onverwachte berichten; ga rechtstreeks naar de site van het bedrijf.
  6. Monitor financiële accounts. Als een inbreukmelding financiële of identiteitsgegevens vermeldt, overweeg dan een kredietblokkade en controleer regelmatig je afschriften.

Wat dit voor jou betekent

De arrestatie en de openbare oproep van de FBI zijn een teken dat autoriteiten echte druk uitoefenen op datagroepen die afpersen. Ze zijn geen signaal dat blootgestelde data nu veilig is. Als een bedrijf waarmee je zaken doet je op de hoogte heeft gesteld van een inbreuk, of als je gegevens opduiken in een breach-database, ga er dan van uit dat de informatie nog lang kan circuleren en handel naar die aanname.

Een VPN beschermt niet tegen dit soort dreiging, omdat de data uit de systemen van een bedrijf is gehaald en niet uit jouw verbinding. Sterke, unieke wachtwoorden en multifactor-authenticatie zijn hier veel effectiever.

Belangrijkste punten

  • De FBI wil dat ShinyHunters-leden zich overgeven nadat de Nederlandse politie een vermeende leider arresteerde, maar het onderzoek lijkt nog gaande.
  • Arrestaties wissen gestolen data niet uit, dus het risico voor getroffen gebruikers blijft bestaan.
  • Controleer of je inloggegevens in breach-databases voorkomen, en vervang vandaag nog elk hergebruikt wachtwoord.
  • Schakel multifactor-authenticatie in op e-mail-, financiële en werkaccounts.
  • Blijf waakzaam voor phishing die echte details uit eerdere inbreuken gebruikt.

De ontwikkelingen rond de ShinyHunters-arrestatie en de FBI-afpersgroep zijn bemoedigend, maar je beste verdediging is nog steeds degene die je zelf beheert. Besteed tien minuten aan het controleren van je blootstelling en het aanscherpen van je logins, en lees daarna ons rapport over de Medusa-ransomwarecampagne om te zien hoe afpersingsdreigingen in alle sectoren escaleren.