Wie is geïdentificeerd als de beheerder van Qilin-ransomware?

Het onderzoek brengt de beheerder van Qilin in verband met Aleksey Mikhailovich Yakovtsev, een 36-jarige man die in Sint-Petersburg, Rusland woont.

Heeft een rechtbank bevestigd dat Yakovtsev de Qilin-beheerder is?

Nee. De berichtgeving komt uit de bevindingen van een onderzoek, niet uit een rechterlijke uitspraak, en het verband moet worden gelezen als een toeschrijving, niet als een bewezen juridische conclusie.

Schakelt het ontmaskeren van een ransomwarebeheerder de operatie uit?

Niet op zichzelf. Een naam en stad aan een beheerder koppelen kan het persoonlijke risico voor de genoemde persoon verhogen en affiliates en partners voorzichtiger maken, maar het beëindigt een operatie zelden op zichzelf.

Beheerder van Qilin-ransomware geïdentificeerd als 36-jarige man uit Sint-Petersburg

Q: Hoe persen ransomwaregroepen zoals Qilin slachtoffers doorgaans af?

Veel groepen gebruiken dubbele afpersing: ze kopiëren eerst gevoelige data uit het netwerk van een slachtoffer, versleutelen vervolgens systemen en zetten het slachtoffer onder druk om zowel voor een decryptiesleutel te betalen als om te voorkomen dat de gestolen data op een leaksite wordt gepubliceerd.

Q: Als een organisatie haar bestanden herstelt uit back-ups, is zij dan veilig voor ransomware-afpersing?

Nee. Back-ups alleen zijn geen volledige verdediging, want zelfs als een organisatie alles herstelt vanuit een schone kopie, is de gestolen data nog steeds in handen van de criminelen en kan die worden blootgesteld.

Een cybercrime-onderzoek heeft de beheerder van Qilin-ransomware in verband gebracht met Aleksey Mikhailovich Yakovtsev, een 36-jarige man die in Sint-Petersburg, Rusland woont. Nu de Qilin-ransomwarebeheerder bij naam, leeftijd en woonplaats is geïdentificeerd, is dit verhaal een zeldzame ontmaskering in een hoek van de cybercriminaliteit waar daders zich meestal achter aliassen verschuilen. Het roept ook een praktische vraag op: wat verandert een naam voor slachtoffers, en wat kunnen gewone mensen en kleine organisaties doen tegen afpersing via datadiefstal?

Eerst een waarschuwing. De berichtgeving tot nu toe is summier, en de details komen uit de bevindingen van een onderzoek, niet uit een rechterlijke uitspraak. Het verband moet worden gelezen als een toeschrijving, niet als een bewezen juridische conclusie.

Qilin-ransomwarebeheerder geïdentificeerd: naar wie het onderzoek wijst

Volgens het artikel brengt het onderzoek de beheerder van Qilin in verband met Aleksey Mikhailovich Yakovtsev, die 36 is en in Sint-Petersburg, Rusland woont. Dat is de volledige omvang van wat de bron bevestigt. Er wordt niet beschreven hoe onderzoekers tot deze conclusie zijn gekomen, welk bewijs dit ondersteunt, of een wetshandhavingsinstantie actie heeft ondernomen.

Dat gat is belangrijk. Toeschrijving in cybercriminaliteit is vaak opgebouwd uit een mix van gelekte chats, sporen in infrastructuur en operationele fouten, en de sterkte van elke schakel varieert. Totdat meer wordt gepubliceerd of een autoriteit de bevinding bevestigt, moet de naam worden behandeld als een gerapporteerde bewering. Het is de moeite waard om updates te volgen, maar niet iets om als vaststaand te beschouwen.

Hoe ransomwaregroepen zoals Qilin slachtoffers treffen

Het bronartikel beschrijft de methoden van Qilin niet in detail, dus het is nuttig om uit te leggen hoe moderne ransomware-afpersing over het algemeen werkt. Veel groepen vertrouwen niet meer alleen op het versleutelen van bestanden. Ze kopiëren eerst gevoelige data uit het netwerk van een slachtoffer, versleutelen vervolgens systemen en zetten het slachtoffer onder druk met twee dreigementen: betalen voor een decryptiesleutel, en betalen om te voorkomen dat de gestolen data op een leaksite wordt gepubliceerd.

Dit dubbele afpersingsmodel is de reden waarom back-ups alleen geen volledige verdediging zijn. Zelfs als een organisatie alles herstelt vanuit een schone kopie, is de gestolen data nog steeds in handen van de criminelen. Klanten, patiënten, werknemers en partners kunnen worden blootgesteld, ook al hebben ze nooit met de aanvallers te maken gehad.

Veel ransomware-operaties werken ook als een dienst. Een kernteam onderhoudt de malware en infrastructuur, terwijl affiliates de inbraken uitvoeren. Als je een glimp wilt opvangen van hoe die taakverdeling er van binnenuit uitziet, biedt ons rapport over een open server die verband houdt met INC- en The Gentlemen-ransomwareaffiliates een zeldzame kijk op hoe criminelen dagelijks daadwerkelijk te werk gaan.

Wat een ontmaskering wel en niet verandert

Een naam en een stad aan een beheerder koppelen kan ertoe doen, maar het beëindigt een operatie zelden op zichzelf. Hier is een realistische kijk op de impact.

Wat het kan veranderen:

Het verhoogt het persoonlijke risico voor de genoemde persoon, waaronder reisbeperkingen, sancties of aandacht van onderzoekers.
Het kan affiliates en partners voorzichtiger maken met het vertrouwen van de operatie.
Het geeft verdedigers en onderzoekers een extra aanknopingspunt bij het in kaart brengen van infrastructuur en geldstromen.

Wat het meestal niet verandert:

Bestaande slachtoffers worden niet automatisch geholpen. Gestolen data die is gelekt, blijft gelekt.
De malware en tactieken verdwijnen niet. Affiliates, tools en playbooks kunnen overstappen naar andere merken.
Een persoon die in Rusland woont, kan voor buitenlandse autoriteiten moeilijk bereikbaar zijn, dus een arrestatie is niet gegarandeerd. Het artikel meldt geen arrestatie.

Kortom, een identificatie is een drukpunt, geen stopzetting. Je verdediging zou niet moeten afhangen van het verdwijnen van één groep.

Wat dit voor jou betekent

De meeste mensen zullen nooit het directe doelwit zijn van de onderhandelingen van een ransomwaregroep, maar velen zullen er wel door worden getroffen. Jouw data bevindt zich bij ziekenhuizen, winkels, werkgevers, scholen en dienstverleners. Wanneer een van hen wordt getroffen door afpersing via datadiefstal, kan jouw informatie in de leak terechtkomen.

Dat betekent twee dingen. Ten eerste kun je niet volledig controleren of een bedrijf dat je gebruikt wordt gehackt. Ten tweede kun je wel controleren hoeveel schade gestolen data jou berokkent. Unieke wachtwoorden, multi-factorauthenticatie en zorgvuldig omgaan met onverwachte berichten beperken allemaal wat een aanvaller met gelekte gegevens kan doen. Als je een klein bedrijf runt of de apparaten van een huishouden beheert, gelden dezelfde basisprincipes voor je eigen systemen.

Praktische stappen om je blootstelling aan ransomware te verkleinen

Geen van deze stappen is exotisch, en samen verkleinen ze het risico aanzienlijk.

Houd offline of onveranderlijke back-ups aan. Bewaar ten minste één kopie losgekoppeld van je netwerk, zodat ransomware die niet kan versleutelen. Test periodiek het herstellen ervan.
Schakel multi-factorauthenticatie in. Geef prioriteit aan e-mail, bankieren, cloudopslag en alle tools voor externe toegang. Geef waar mogelijk de voorkeur aan authenticator-apps of hardwarematige sleutels boven sms.
Gebruik een wachtwoordmanager en unieke wachtwoorden. Als één dienst lekt, mogen hergebruikte inloggegevens je andere accounts niet ontgrendelen.
Patch tijdig. Werk besturingssystemen, browsers, routers en bedrijfssoftware bij zodra fixes beschikbaar zijn.
Wees sceptisch over ongevraagde berichten. Phishing blijft een veelgebruikte manier om een netwerk binnen te komen. Verifieer onverwachte verzoeken via een apart kanaal.
Beperk wat je opslaat en deelt. Data die je niet meer nodig hebt, is data die niet kan worden gestolen. Verwijder oude bestanden en sluit ongebruikte accounts.
Bescherm gevoelige communicatie. Gebruik end-to-end versleutelde berichtendiensten voor privégesprekken, en een betrouwbare VPN op onbetrouwbare netwerken zoals openbare wifi. Een VPN stopt geen ransomware, maar verkleint de blootstelling aan meekijken op de verbinding.

De kern van de zaak

De Qilin-ransomwarebeheerder die in dit onderzoek is geïdentificeerd, is een opmerkelijke ontwikkeling, maar de berichtgeving is nog dun en het praktische effect op slachtoffers is beperkt. Ransomware-afpersing is afhankelijk van gestolen data, zwakke toegangscontroles en onvoorbereide doelwitten, en die omstandigheden blijven bestaan ongeacht wie er achter een bepaald merk zit.

Gebruik dit moment om je eigen opzet te versterken: maak offline back-ups, schakel MFA in op je belangrijkste accounts en verplaats privégesprekken naar versleutelde kanalen. Voor nog een zeldzame kijk in hoe ransomwareaffiliates te werk gaan, lees onze berichtgeving over de SOCRadar-ontdekking van een open server die verband houdt met INC- en The Gentlemen-aanvallen, en kom hier terug voor updates als de Qilin-toeschrijving wordt bevestigd of betwist.