Een dubbele klap voor de financiële sector van Hongkong

Twee cyberbeveiligingsverhalen kwamen in Hongkong binnen ongeveer 24 uur samen: een ransomwaregroep die zichzelf Orova noemt, eiste inbreuken op bij vijf Hongkongse ondernemingen, waaronder ten minste één gereguleerde vermogensbeheerder, en de Securities and Futures Commission (SFC) deelde haar allereerste handhavingsactie uit die verband houdt met ransomware. Berichten geven aan dat de SFC een gelicentieerde onderneming een berisping en een boete van HK$2,1 miljoen heeft opgelegd voor cyberbeveiligingsfalen in verband met een ransomware-aanval – een sanctie die toezichthouders presenteren als een signaal dat het senior management, en niet alleen de IT-afdelingen, verantwoordelijkheid draagt voor cyberweerbaarheid.

De timing was niet zozeer toeval als wel een samenloop van omstandigheden. Ransomwaregroepen richten zich steeds vaker op financiële dienstverleners omdat zij precies het soort gevoelige klantgegevens in handen hebben dat afpersing effectief maakt, en toezichthouders zoals de SFC geven al maanden aan dat zij van plan zijn gelicentieerde ondernemingen ter verantwoording te roepen wanneer die verdediging faalt.

Hoe dubbele afpersing het ransomware-draaiboek veranderde

Traditionele ransomware was in zekere zin een eenvoudiger probleem. Aanvallers versleutelden de bestanden van een slachtoffer en eisten betaling voor de decoderingssleutel. Organisaties met betrouwbare, offline back-ups konden hun systemen vaak herstellen zonder ook maar een cent te betalen, waardoor de pressiemiddelen van de aanvaller praktisch onschadelijk werden gemaakt.

Dubbele afpersing, een tactiek die eind 2019 door de Maze-ransomwaregroep werd gepionierd, sloot dat achterdeurtje. In plaats van alleen bestanden te versleutelen, stelen aanvallers eerst een kopie van de gevoelige gegevens van het slachtoffer. Zelfs als de organisatie vanuit back-ups kan herstellen en weigert te betalen voor decodering, hebben de aanvallers nog een tweede troef in handen: ze dreigen de gestolen gegevens te publiceren op een lekportaal op het dark web tenzij er losgeld wordt betaald. Dit verandert de hele afweging. Back-ups beschermen tegen operationele verstoring, maar doen niets om een datalek te stoppen. Dat is precies de druk die Orova lijkt uit te oefenen op de vijf gemelde slachtoffers in Hongkong.

Dit patroon is niet uniek voor Hongkong of voor Orova. Financieel gereguleerde entiteiten overal ter wereld beschikken over klantdossiers, transactiegeschiedenissen en identiteitsdocumenten die zowel waardevol zijn voor criminelen als, bij blootstelling, diep schadelijk voor de personen van wie de gegevens op een leksite belanden. Het is hetzelfde onderliggende risico dat aan de oppervlakte kwam toen een Britse investeringsmaatschappij gevoelige gegevens van 51 overheidsfunctionarissen blootstelde gedurende ongeveer 40 uur: eenmaal gegevens buiten zijn, doen timing en indamming er enorm toe, maar de blootstelling zelf kan niet ongedaan worden gemaakt.

Waarom de boete van de SFC verder reikt dan Hongkong

Wat dit moment opmerkelijk maakt, is niet alleen dat er weer een ransomwaregroep slachtoffers heeft opgeëist. Het is dat een financiële toezichthouder is overgegaan van richtlijnen naar handhaving. De boete van de SFC, naar verluidt de eerste die specifiek verband houdt met een ransomware-incident, zendt een boodschap uit die zich wereldwijd binnen de financiële regelgeving heeft opgebouwd: cyberbeveiligingsfalen wordt niet langer louter behandeld als technische incidenten. Het zijn compliancefalen met reële financiële en reputatiegevolgen voor de onderneming en, in toenemende mate, voor de leidinggevenden die het risicomanagement goedkeuren.

Ransomwaregroepen hoeven geen nieuwe zero-day te vinden om binnen te komen. Veel inbreuken beginnen met veel alledaagsere gebreken: ongepatchte software, zwakke toegangscontroles of medewerkers die in phishing trappen. Dat is mede de reden waarom ongepatchte kwetsbaarheden zo'n hardnekkige ingang blijven; zelfs spraakmakende bugs zoals beschreven in recente berichtgeving over een ongepatchte Windows zero-day illustreren hoe aanvallers gaten kunnen misbruiken die al lang bestaan voordat er een patch beschikbaar is. Van gereguleerde ondernemingen wordt nu verwacht dat ze dat soort blootstelling als een governancekwestie behandelen, niet slechts als een IT-melding.

Wat dit voor u betekent

Als u klant, werknemer of partner bent van een financiële dienstverlener, zijn incidenten zoals deze een herinnering dat de veiligheid van uw gegevens sterk afhangt van beslissingen die ver boven de IT-afdeling worden genomen. Raden van bestuur en senior management zijn nu expliciet verantwoordelijk voor cyberweerbaarheid in jurisdicties zoals Hongkong, wat na verloop van tijd ondernemingen zou moeten aanzetten tot sterkere basisbescherming: betere back-uphygiëne, sneller patchen en strengere toegangscontroles.

Voor individuen is het praktische advies niet veel veranderd, maar het weegt nu zwaarder. Houd rekeningen in de gaten die u aanhoudt bij een onderneming die een inbreuk meldt, wees sceptisch over onverwachte communicatie die verwijst naar accountgegevens en overweeg kredietmonitoring als een onderneming bevestigt dat uw gegevens deel uitmaakten van een lek. Dubbele afpersing betekent dat zelfs ondernemingen die hun systemen snel herstellen, uw gegevens mogelijk nog in omloop kunnen hebben, dus ga er niet van uit dat een opgelost ransomware-incident betekent dat uw gegevens veilig zijn.

Belangrijkste punten

De Orova-inbreuken en de boete van de SFC illustreren samen waar de verantwoordingsplicht voor ransomware naartoe gaat: toezichthouders nemen er geen genoegen meer mee dat ondernemingen simpelweg van een aanval herstellen. Ze willen bewijs dat ondernemingen redelijke stappen hebben ondernomen om er überhaupt een te voorkomen. Voor lezers blijven de praktische stappen hetzelfde, ongeacht de jurisdictie: vraag elke financiële instelling waarmee u samenwerkt naar hun beleid voor inbreukmeldingen, schakel multi-factor authenticatie in waar deze wordt aangeboden en beschouw elke inbreukmelding als een aanleiding om uw eigen accountactiviteit te controleren in plaats van als een routinematige formaliteit.