Ransomwarebendes die elkaar aanvallen zijn zeldzaam, maar het is net gebeurd. Volgens Dark Reading heeft de afpersingsgroep ShinyHunters de Dark Web-leksite van Clop, een rivaliserende ransomware-operatie, beklad en beweert daarbij slachtoffergegevens te hebben gestolen. De inbreuk roept een ongemakkelijke vraag op voor organisaties die eerder doelwit waren van Clop, waaronder degenen die losgeld betaalden om hun gestolen gegevens privé te houden: zouden die gegevens nu opnieuw kunnen worden blootgesteld?

Clop is de afgelopen jaren een van de meest productieve ransomware- en data-afpersingsgroepen geweest, met massale exploitatiescampagnes tegen bestandsoverdrachtssoftware en het publiceren van gestolen bestanden op zijn Dark Web-site wanneer slachtoffers weigeren te betalen. Shell bevestigde bijvoorbeeld eerder dat het een Cl0p-claim van een datalek van 89GB aan het onderzoeken was nadat de groep de energiegigant op zijn leakportaal had vermeld. Dergelijke incidenten tonen hoe ver Clop's bereik zich over bedrijfstakken heeft uitgestrekt, van energie tot productie tot zakelijke dienstverlening.

Wat ShinyHunters naar verluidt heeft gedaan

Volgens het rapport van Dark Reading heeft ShinyHunters vorige week Clop's op Tor gebaseerde leksite beklad en beweerd interne gegevens van de groep zelf te hebben geëxfiltreerd. Dat omvat naar verluidt informatie die verband houdt met slachtoffers die Clop eerder had afgeperst. Als dit klopt, betekent dit dat gegevens die organisaties mogelijk hebben betaald om onderdrukt te houden, of die al waren gepubliceerd en mogelijk weer verwijderd, opnieuw kunnen opduiken onder de controle van een nieuwe groep.

Dit is niet simpelweg een daad van digitale graffiti. Ransomware-leksites functioneren als hefboom: de dreiging van publicatie is vaak wat slachtoffers onder druk zet om te betalen. Wanneer een tweede groep toegang krijgt tot diezelfde hefboom, kunnen slachtoffers die dachten dat een hoofdstuk was afgesloten, zich weer bij af vinden, geconfronteerd met nieuwe afpersingseisen of ongeoorloofde publicatie van gevoelige bestanden.

Waarom dit verder reikt dan de criminele onderwereld

Het is verleidelijk om dit te zien als een verhaal over criminelen die criminelen aanvallen, maar de praktische gevolgen treffen echte organisaties en de mensen wier gegevens zij beheren. Bedrijven die door Clop waren getroffen, of ze nu betaalden of niet, moeten mogelijk hun blootstelling opnieuw beoordelen. Het betalen van losgeld was nooit een garantie voor permanente verwijdering, en dit incident is een pijnlijke herinnering aan dat feit. Gestolen gegevens verdwijnen niet zomaar omdat een factuur is voldaan.

Voor bedrijven die vermoeden dat ze tot Clop's slachtoffers behoorden, versterkt deze ontwikkeling het pleidooi voor proactieve monitoring in plaats van aan te nemen dat een incident is opgelost zodra de onderhandelingen eindigen. Beveiligingsteams moeten letten op nieuwe pogingen tot afpersingscontact, Dark Web-forums en leksites in de gaten houden voor opnieuw verschijnende datasets, en nagaan of eerdere inbreukmeldingen aan toezichthouders of getroffen personen bijgewerkt moeten worden als nieuwe blootstelling optreedt. In veel rechtsgebieden kan een nieuwe openbaarmaking van dezelfde gestolen gegevens door een andere actor afzonderlijke meldingsverplichtingen triggeren, omdat het een nieuwe ongeoorloofde toegangsgebeurtenis vertegenwoordigt.

Er zit ook een technische les verborgen in dit verhaal. Veel van Clop's historische inbreuken maakten misbruik van kwetsbaarheden in bestandsoverdrachtshulpmiddelen en vertrouwden op zwakke netwerksegmentatie om van een eerste voet aan de grond naar bredere systeemtoegang te bewegen. Organisaties die laterale beweging beperken door sterke netwerksegmentatie, versleutelde verbindingen afdwingen voor externe en derde-partijtoegang, en beperken hoe breed gevoelige bestanden intern worden gedeeld, verkleinen de impact wanneer een enkel systeem wordt gecompromitteerd, ongeacht welke criminele groep achter de intrusie zit.

Wat dit voor u betekent

Als uw organisatie in het verleden een melding heeft ontvangen dat zij getroffen was door een Clop-inbreuk, is het de moeite waard om met uw beveiligings- of juridische team te overleggen of dit nieuwe incident uw risicoprofiel verandert. Vraag of een deel van uw gegevens deel uitmaakte van wat ShinyHunters beweert te hebben benaderd, en of monitoringdiensten die Dark Web-vermeldingen van uw bedrijfsnaam of domeinen dekken al actief zijn.

Voor individuele consumenten is het advies vergelijkbaar met elke andere inbreukscenario: let op phishingpogingen die verwijzen naar oude incidenten, gebruik unieke wachtwoorden voor accounts die gekoppeld zijn aan organisaties waarmee u zaken heeft gedaan, en overweeg kredietmonitoring als u eerder bent geïnformeerd dat uw persoonlijke gegevens waren blootgesteld. Een tweede golf van blootstelling vanuit dezelfde onderliggende inbreuk kan betekenen dat uw informatie circuleert in nieuwe criminele kringen, zelfs als u de eerste keer al voorzorgsmaatregelen heeft genomen.

Concrete aandachtspunten

  • Bekijk eerdere inbreukmeldingen die u heeft ontvangen van leveranciers of werkgevers die Clop als aanvaller noemden, en vraag of het ShinyHunters-incident die gegevens beïnvloedt.
  • Schakel Dark Web-monitoring of kredietmonitoring in als dat nog niet actief is, vooral als u eerder bent geïnformeerd over blootstelling.
  • Gebruik unieke, sterke wachtwoorden en multi-factor authenticatie op alle accounts die gekoppeld zijn aan organisaties die mogelijk getroffen zijn.
  • Beveiligingsteams moeten netwerksegmentatie en versleutelde toegangscontroles auditen, aangezien het beperken van laterale beweging een van de meest effectieve verdedigingen tegen ransomware blijft, ongeacht welke groep achter een aanval zit.
  • Blijf alert op nieuwe phishing- of afpersingspogingen die verwijzen naar oude gegevens, aangezien een tweede groep die toegang krijgt tot gestolen bestanden kan betekenen dat er een tweede ronde criminele activiteit op dezelfde inbreuk wordt gebouwd.

De rivaliteit tussen ShinyHunters en Clop is een herinnering dat ransomware-ecosystemen onvoorspelbaar zijn, en dat de gevolgen van een inbreuk kunnen opduiken lang nadat een slachtoffer gelooft dat de zaak is afgesloten. Geïnformeerd en proactief blijven, in plaats van aan te nemen dat een betaald losgeld of een stille nieuwscyclus betekent dat het risico is geweken, is op dit moment de best beschikbare verdediging.