Federale onderzoekers die de hackgroep ShinyHunters opsporen, die onlangs uiterst gevoelige informatie van de FBI heeft gestolen, hebben naar verluidt leidinggevenden geïdentificeerd die met de zaak in verband worden gebracht. Volgens een rapport dat oorspronkelijk door Krebs on Security is gepubliceerd, vermoeden onderzoekers dat een ransomonderhandelaar de afpersingswebsite van ShinyHunters runde. Als dat waar blijkt te zijn, zou dat een schijnwerper richten op een deel van de cybercriminaliteitseconomie dat de meeste mensen nooit te zien krijgen.
De tot nu toe beschikbare details zijn beperkt, en niets hiervan komt neer op een bewezen bevinding. Dit bericht houdt zich aan wat er is gerapporteerd en legt uit wat het zou kunnen betekenen voor iedereen wiens gegevens in een bedrijfsdatabase staan.
Wat onderzoekers beweren over de afpersingssite van ShinyHunters
De berichtgeving stelt dat Amerikaanse federale onderzoekers, die ShinyHunters opsporen nadat de groep zeer gevoelige gegevens van de FBI heeft gestolen, nu vermoeden dat een persoon die als ransomonderhandelaar werkte achter de afpersingswebsite van de groep zat. De samenvatting stelt ook dat onderzoekers leidinggevenden hebben geïdentificeerd, hoewel de beschikbare tekst niet uitlegt welke bedrijven of personen erbij betrokken zijn.
Omdat het bronmateriaal beknopt is, blijven verschillende vragen open: of er aanklachten volgen, hoe het vermoede verband is vastgesteld, en welke rol een bedrijf ook speelde. Verdenking is geen veroordeling, en lezers moeten de bewering als een aantijging behandelen totdat de autoriteiten meer zeggen.
Wat het verhaal opmerkelijk maakt, is de mogelijke overlap van rollen. Een onderhandelaar wordt normaal gesproken door een slachtoffer ingehuurd om met aanvallers om te gaan. Een onderhandelaar die ook de drukcampagne runt, zou aan beide kanten van de tafel zitten.
Hoe afpersing in de stijl van ShinyHunters werkt
Groepen in deze categorie richten zich doorgaans op het stelen van gegevens in plaats van alleen systemen te vergrendelen. Het basispatroon is eenvoudig:
- Aanvallers krijgen toegang tot de systemen of accounts van een bedrijf en kopiëren gevoelige gegevens.
- Ze nemen contact op met het slachtoffer met een eis, vaak met een deadline.
- Een afpersingswebsite wordt gebruikt om slachtoffers te noemen, bewijs van diefstal te tonen en met publicatie te dreigen.
- Als het slachtoffer niet betaalt, kunnen de gestolen gegevens worden gelekt of verkocht.
De leaksite is het drukmiddel. Openbare vermeldingen creëren reputatierisico, waarschuwen klanten en toezichthouders, en drijven leidinggevenden naar een snelle beslissing. Daarom is de identiteit van degene die zo'n site runt zo belangrijk voor onderzoekers: het is de voordeur van de hele operatie.
Waarom ransomonderhandelaars en tussenpersonen onder de loep liggen
Onderhandelaars en herstelbedrijven bestaan omdat veel organisaties geen ervaring hebben met de omgang met criminelen. Ze adviseren over prijzen, verifiëren of gestolen gegevens echt zijn en regelen soms de betaling. Die toegang tot gevoelige informatie en dat vertrouwen creëren een duidelijk risico op belangenverstrengeling als een tussenpersoon profiteert van precies de misdaad die hij is ingehuurd om op te lossen.
Deze zorg is niet puur theoretisch. Onze berichtgeving over de MonsterCloud-eigenaar beschuldigd van een $19M ransomfactureringsschema beschrijft aantijgingen dat een herstelbedrijf slachtoffers veel meer in rekening bracht dan het heimelijk aan aanvallers betaalde. De ShinyHunters-zaak verschilt in zijn specifieke details en blijft onbewezen, maar beide verhalen roepen dezelfde vraag op: hoeveel moet een slachtoffer de mensen vertrouwen die het in een crisis inhuurt?
Wat dit voor jou betekent
De meeste mensen zullen nooit met een afpersingsgroep onderhandelen. Maar je kunt een klant, patiënt, werknemer of rekeninghouder zijn van een bedrijf dat dat wel doet. De praktische les is om ervan uit te gaan dat zodra je gegevens in handen zijn van een derde partij, ze uiteindelijk kunnen worden blootgesteld, ongeacht of het bedrijf betaalt.
Een losgeld betalen garandeert geen verwijdering. Gestolen gegevens kunnen worden gekopieerd, doorverkocht of later worden gelekt. De veiligere mindset is om te beperken wat één datalek jou kan aandoen.
Gelekte contactgegevens en ordergegevens worden vaak gebruikt voor gerichte scams. Ons artikel over de Asus eShop-datalek en phishingrisico laat zien hoe zelfs een datalek zonder betaalgegevens kan leiden tot overtuigende phishingberichten.
Hoe je je blootstelling vermindert wanneer een bedrijf wordt getroffen door een datalek
Je kunt niet bepalen hoe een bedrijf je gegevens beschermt, maar je kunt de schade verkleinen:
- Gebruik een wachtwoordmanager. Unieke wachtwoorden voor elk account betekenen dat één lek niet andere accounts ontgrendelt.
- Schakel multi-factor authenticatie in. Geef waar mogelijk de voorkeur aan app-gebaseerde of hardwaremethoden boven sms.
- Schakel datalekmonitoring in. Meldingen laten je weten wanneer je e-mailadres of inloggegevens in gelekte gegevens opduiken, zodat je snel kunt handelen.
- Deel minder gegevens. Geef diensten alleen wat ze echt nodig hebben, en gebruik aparte e-mailadressen voor verschillende doeleinden.
- Wees sceptisch over onverwachte berichten. Na een datalekmelding moet je e-mails, sms'jes en telefoontjes die naar je account verwijzen met voorzichtigheid behandelen en rechtstreeks naar de officiële website gaan in plaats van op links te klikken.
Belangrijkste punten
Het vermoeden dat een ransomonderhandelaar de afpersingswebsite van ShinyHunters runde, is een aantijging, en meer details zullen van belang zijn. Toch onderstreept het een blijvend punt: afpersing door gegevensdiefstal gedijt op druk, en de mensen in het midden zijn niet altijd neutraal. Bescherm jezelf door je wachtwoorden te versterken, MFA in te schakelen, op datalekmeldingen te letten en zo weinig mogelijk persoonlijke gegevens af te staan. Lees voor meer over wat er na een datalek gebeurt over het Asus eShop-phishingrisico en de MonsterCloud-factureringsaantijgingen.
