Een bank die gokt op criminele eerlijkheid
Als het op ransomware aankomt, is een van de vreemdste onderdelen van het hele criminele bedrijfsmodel de belofte die volgt op betaling: overhandig het geld en wij verwijderen uw gestolen gegevens. River Financial Corporation, het moederbedrijf van het in Alabama gevestigde River Bank & Trust, lijkt die belofte voor zoete koek te hebben aangenomen. In een Form 8-K-melding aan de Securities and Exchange Commission maakte de bank bekend dat zij "stappen heeft ondernomen om de getroffen gegevens te laten onderdrukken, waaronder het verkrijgen van verklaringen" van de aanvallers – in wezen een schriftelijke verzekering dat de gestolen informatie zou worden vernietigd. Opvallend is dat de melding niet expliciet bevestigt of River Bank daadwerkelijk losgeld heeft betaald, ook al worden dergelijke "verklaringen" van ransomwaregroepen doorgaans pas afgegeven nadat er geld is overgemaakt.
Deze onthulling komt op een ongelukkig moment voor iedereen die geneigd is een belofte tot gegevensverwijdering door ransomware te vertrouwen. Uit de ontmanteling van de LockBit-ransomwarebende door wetshandhavingsinstanties bleek dat slachtoffergegevens op de infrastructuur van de groep werden bewaard, zelfs in gevallen waarin slachtoffers al aan de afpersingseis hadden voldaan. Met andere woorden: het selectievakje met het label 'gegevens verwijderd', waar zo veel bedrijven op vertrouwen om het incident af te sluiten en toezichthouders, klanten en hun eigen bestuur gerust te stellen, was in ten minste enkele gedocumenteerde gevallen eenvoudigweg onjuist.
Waarom een belofte tot gegevensverwijdering van ransomware zelden standhoudt
Het hele concept van het betalen van een ransomwarebende voor het verwijderen van gegevens berust op een voor de hand liggende tegenstrijdigheid: je vraagt een criminele organisatie, dezelfde die inbrak in je netwerk en gevoelige dossiers stal, om vrijwillig drukverhogende middelen uit handen te geven. Er is geen handhavingsmechanisme, geen controlespoor en geen juridische verhaalsmogelijkheid als de groep een kopie bewaart, deze op een darkwebmarktplaats verkoopt of later gebruikt voor een tweede afpersingsronde. Beveiligingsonderzoekers waarschuwen al lang dat video's, schermafbeeldingen of schriftelijke verklaringen van ransomwarebendes als 'bewijs van verwijdering' naar hun aard oncontroleerbaar zijn. De LockBit-ontmanteling legde alleen harde bewijzen neer voor wat velen in de beveiligingswereld al vermoedden.
Voor een financiële instelling telt dit enorm. Banken bezitten enkele van de meest gevoelige persoonsgegevens die er bestaan, waaronder burgerservicenummers, rekeninggegevens en transactiegeschiedenis. Wanneer die gegevens tijdens een inbraak worden buitgemaakt, biedt de belofte van een crimineel om ze te verwijderen geen enkele echte bescherming aan de klanten van wie de informatie is blootgesteld. Het levert hooguit een gespreksonderwerp op voor een melding aan de toezichthouder.
Hoe de inbreuk plaatsvond
Het incident bij River Bank vond niet in een vacuüm plaats. Volgens eerdere rapportages over dreigingsinformatie hield de inbreuk verband met een onbevoegde actor die toegang kreeg via een verouderde kwetsbaarheid in een VPN-protocol – een detail dat nader wordt belicht in onze eerdere berichtgeving over het ransomware-incident bij River Bank & Trust. Verouderde infrastructuur voor externe toegang blijft een van de meest voorkomende toegangspunten voor ransomwarebendes, juist omdat deze zich vaak aan de rand van een netwerk bevindt, gemakkelijk te scannen is en vaak over het hoofd wordt gezien bij patchbeheer. Eenmaal binnen verplaatsen aanvallers zich doorgaans zijwaarts, lokaliseren ze waardevolle gegevensopslagplaatsen en stelen ze informatie voordat ze ooit een ransomware-payload activeren. Dat betekent dat de diefstal vaak plaatsvindt ruim voordat iemand merkt dat er iets mis is.
Wat dit voor u betekent
Als u klant bent bij River Bank & Trust, of klant bij een instelling die een ransomware-incident heeft gemeld, is de praktische realiteit deze: elke belofte van de aanvallers om uw gegevens te verwijderen, mag niet als veiligheidsgarantie worden beschouwd. Zodra informatie bij een ransomware-aanval het netwerk van een bedrijf verlaat, moet deze als permanent gecompromitteerd worden behandeld, ongeacht welke verzekeringen later zijn verkregen. Dat betekent dat u uw rekeningafschriften en kredietrapporten controleert op ongebruikelijke activiteit, alert bent op phishingpogingen die verwijzen naar echte rekeninggegevens (een veelvoorkomende vervolgtactiek wanneer gestolen bankgegevens onder criminele groepen circuleren) en een kredietbevriezing overweegt als burgerservicenummers of rekeningnummers deel uitmaakten van de blootgestelde dataset.
Voor bedrijven en financiële instellingen die dit verhaal volgen, is de les breder. Vertrouwen op een belofte tot gegevensverwijdering van ransomware als onderdeel van een incidentresponsstrategie, laat staan als iets dat het waard is om aan toezichthouders te melden als een mitigerende stap, geeft een verkeerd signaal af over hoe serieus een organisatie gegevensbescherming neemt. Geverifieerde back-ups, netwerksegmentatie en tijdig patchen van infrastructuur voor externe toegang zoals VPN-gateways doen veel meer om klantgegevens te beschermen dan welke verzekering van een criminele onderneming dan ook ooit zou kunnen.
Belangrijkste punten
- Beschouw elke belofte van een ransomwaregroep om gestolen gegevens te verwijderen als oncontroleerbaar en niet-afdwingbaar, en niet als een echte waarborg.
- Als u bankiert bij een instelling die een inbreuk heeft gemeld, controleer dan uw afschriften en kredietrapporten nauwlettend en overweeg een kredietbevriezing.
- Wees extra voorzichtig met phishingberichten die in de weken en maanden na een gemeld incident verwijzen naar juiste account- of persoonsgegevens.
- Organisaties moeten prioriteit geven aan het patchen van bekende kwetsbaarheden in VPN's en externe toegang, aangezien verouderde protocollen nog steeds een belangrijk toegangspunt voor ransomwarebendes vormen.
Terwijl ransomware-onderzoeken de kloof blijven blootleggen tussen wat criminele groepen beloven en wat ze daadwerkelijk doen, moeten zowel consumenten als bedrijven ervan uitgaan dat gestolen gegevens nooit echt verdwenen zijn, wat voor schriftelijke verklaring een ransomwaregroep ook verstrekt.
