Een nieuw zichtbare groep die zichzelf ScarlettGroup noemt, trekt de aandacht van dreigingsintelligentie-onderzoekers. De datalek-extortiegroep ScarlettGroup beheert een darkweb-leksite en is in verband gebracht met inbreukclaims tegen organisaties waaronder VinSolutions en Yale University Press. Voor de meeste mensen is niet de groep zelf het belangrijkste punt. Het gaat erom hoe gegevens die bij een bedrijf zijn weggenomen, klanten kunnen treffen die nog nooit hebben gehoord van degenen die ze in handen hebben.

Wie ScarlettGroup is en wat het heeft geclaimd

Volgens dreigingsintelligentie-rapportage van Foresiet is ScarlettGroup een opkomende datalek-extortiegroep. De voetafdruk omvat een darkweb-leksite en activiteit op ondergrondse forums, waar groepen zoals deze adverteren met wat zij zeggen te hebben buitgemaakt.

Twee vermeldingen springen eruit. In het ene geval beweerde een dreigingsactor onder de naam ScarlettGroup dat het customer relationship management (CRM)-gegevens had gestolen van autosoftwareleverancier VinSolutions. Onze eerdere berichtgeving over de SCARLETTGROUP VinSolutions CRM-inbreukclaim behandelt wat er is gepost. In het andere geval plaatste de groep wat zij presenteert als een inbreuk bij Yale University Press op BreachForums, uiteengezet in ons artikel over de Yale University Press-datalekclaim.

Een voorbehoud is hier op zijn plaats. Dit zijn claims van de groep, geen bevestigde bevindingen. Extortieactoren hebben er belang bij te overdrijven, en een vermelding op een leksite bewijst niet de omvang of inhoud van enige diefstal. Beschouw ze als signalen die het volgen waard zijn, niet als vaststaande feiten.

Hoe leksite-extortie werkt

Datalek-extortie verschilt op één punt van klassieke ransomware. Ransomware vergrendelt systemen en eist betaling voor een decryptiesleutel. Datalek-extortiegroepen richten zich op de gestolen informatie zelf en dreigen die te publiceren tenzij het slachtoffer betaalt.

De leksite is het drukmiddel. Het gebruikelijke patroon ziet er zo uit:

  1. Toegang en diefstal. De aanvallers komen een systeem binnen en kopiëren gegevens.
  2. Vermelding. De naam van het slachtoffer verschijnt op de leksite van de groep, vaak met een voorbeeld als bewijs.
  3. Druk. De groep stelt een deadline. Openbare berichten over ScarlettGroup beschrijven darkweb-afteltimers die worden gebruikt om de release van bedrijfsgegevens te dreigen.
  4. Release of verkoop. Als het doelwit niet betaalt, kunnen de gegevens worden gepubliceerd of verkocht op ondergrondse forums.

Omdat de druk komt van openbare blootstelling, kan de vermelding zelf de reputatie van een organisatie schaden voordat iemand de claim heeft geverifieerd. Ondertussen hebben de mensen wier gegevens mogelijk in de data zitten geen stem aan de onderhandelingstafel.

Wat dit voor u betekent

Als u klant bent van een bedrijf dat op een leksite wordt genoemd, bent u een derde partij in het geschil. U hebt niets verkeerd gedaan, toch kunnen uw gegevens het drukmiddel zijn.

Het risico hangt af van wat er is weggenomen. CRM-gegevens bevatten bijvoorbeeld doorgaans contactgegevens en verslagen van klantinteracties. Uitgevers- of instellingsgegevens kunnen namen, e-mails en accountgegevens bevatten. We kunnen niet met zekerheid zeggen wat ScarlettGroup in handen heeft, en de claims van de groep zijn niet onafhankelijk geverifieerd. Maar de realistische consumentenrisico's van dit soort blootstelling zijn welbekend:

  • Gerichte phishing. Oplichters kunnen verwijzen naar een echte zakelijke relatie om berichten legitiem te laten lijken.
  • Aanvallen via hergebruik van inloggegevens. Als wachtwoorden zijn blootgesteld en u ze hergebruikt, worden andere accounts kwetsbaar.
  • Impersonatie en fraude. Persoonlijke gegevens kunnen iemand helpen zich voor te doen als u bij een bank, provider of helpdesk.

Niets hiervan is een reden tot paniek. Het is een reden om vroeg te handelen, want de kosten van het beveiligen van uw accounts zijn klein vergeleken met het opruimen na fraude.

Stappen om uw blootstelling te beperken

U kunt niet bepalen of een bedrijf dat u gebruikt wordt getroffen. U kunt wel bepalen hoeveel schade gestolen gegevens kunnen aanrichten.

  • Controleer of u getroffen bent. Let op berichten van bedrijven waar u zaken mee hebt gedaan en controleer uw e-mail bij een betrouwbare dienst voor datalekmeldingen.
  • Gebruik unieke wachtwoorden. Een wachtwoordmanager maakt dit praktisch. Als één site uw wachtwoord lekt, blijven de andere beschermd.
  • Schakel multifactorauthenticatie in. Geef waar mogelijk de voorkeur aan een authenticator-app of hardwarematige sleutel boven sms.
  • Wees sceptisch over onverwachte berichten. Als een e-mail of sms een voertuigaankoop, een dealer of een boekbestelling noemt die u niet verwachtte, ga dan rechtstreeks naar de officiële site van het bedrijf in plaats van te klikken.
  • Houd uw financiële rekeningen in het oog. Controleer afschriften en overweeg een kredietblokkade als gevoelige identificatiegegevens mogelijk zijn blootgesteld.
  • Houd software up-to-date. Dit beperkt wat aanvallers kunnen doen met toegang die ze verkrijgen.

Een VPN kan uw verkeer op onbetrouwbare netwerken beschermen, maar doet niets aan gegevens die al op de servers van een bedrijf zijn opgeslagen. Accounthygiëne is hier de relevantere verdediging.

De kern

De datalek-extortiegroep ScarlettGroup is nog opkomend, en veel over zijn methoden en bereik is onbevestigd. Wat duidelijk is, is het model: gegevens stelen, het slachtoffer openbaar vermelden en de dreiging van release als drukmiddel gebruiken. Dat plaatst gewone klanten in de vuurlinie.

Begin met controleren of u zaken doet met een van de genoemde organisaties, en beveilig vervolgens uw wachtwoorden en schakel multifactorauthenticatie in. Voor details over specifieke vermeldingen leest u onze berichtgeving over de VinSolutions-inbreukclaim en de Yale University Press-inbreukclaim, en let u op officiële berichten van de betrokken bedrijven.