De ene afpersingsbende heeft nu bij een andere gedaan wat afpersingsbenden bij hun slachtoffers doen. Volgens de bronreportage heeft ShinyHunters de darkweb-leksite van Cl0p beklad en gedreigd met het publiceren van gegevens van bedrijven die losgeld aan Cl0p hebben betaald, inclusief hoeveel elk bedrijf heeft betaald. De overname van de Cl0p-leksite door ShinyHunters is op het eerste gezicht een vreemd verhaal, maar het bevat een praktische les voor iedereen wiens persoonlijke gegevens bij een bedrijf liggen dat doelwit zou kunnen worden.

We behandelden de eerste berichtgeving in ons eerdere artikel, ShinyHunters kaapt Clop's ransomware-leksite. In dit bericht kijken we naar wat het incident zegt over losgeldbetalingen en wat gewone mensen eraan kunnen doen.

Wat ShinyHunters deed met de leksite van Cl0p

Een leksite is de plek waar een ransomware- of afpersingsgroep de namen van slachtoffers plaatst en vaak ook gestolen gegevens, om hen onder druk te zetten te betalen. In dit geval nam ShinyHunters juist dat platform over. Het bronartikel zegt dat de groep de site van Cl0p bekladde en gebruikte om een dreiging te uiten: het zou gegevens publiceren van bedrijven die Cl0p hadden betaald, samen met de bedragen.

Dat is een opmerkelijke verschuiving in het doelwit. Het gevoelige materiaal dat op het spel staat, is niet alleen gestolen klantgegevens, maar ook de betaalgeschiedenis van de slachtoffers. Details over wie heeft betaald, en hoeveel, zijn iets wat de meeste bedrijven liever privé houden.

De bron zegt niet of ShinyHunters dergelijke gegevens heeft gepubliceerd, en wij gaan niet speculeren buiten wat is gerapporteerd. Wat telt is de dreiging zelf en wat die impliceert.

Waarom het betalen van losgeld geen stilte garandeert

Bedrijven die een afpersingsgroep betalen, kopen meestal één ding: een belofte. De aanvaller zegt dat hij de gestolen gegevens zal verwijderen en het incident stil zal houden. Die belofte berust volledig op de eerlijkheid van de aanvaller en, zoals deze episode laat zien, op de eigen beveiliging van de aanvaller.

Als de criminelen die die informatie bezitten zelf worden gehackt, kunnen de gegevens van de deal in handen van iemand anders terechtkomen. Een betaling die bedoeld was om een incident af te sluiten, kan een tweede incident worden. Er is geen contract, geen toezichthouder en geen verhaal wanneer de tegenpartij een criminele groep is.

Er is ook een minder zichtbaar gevolg. De mensen wier gegevens bij de oorspronkelijke diefstal betrokken waren, maken geen deel uit van de onderhandeling. Zij hebben er niet voor gekozen dat er namens hen werd betaald, en zij kunnen niet bevestigen dat er iets is verwijderd. Als het gegevensspoor van een betaler opduikt via een lek van een rivaal, kan dat de aandacht voor de oorspronkelijke inbreuk en de daaraan gekoppelde informatie opnieuw aanwakkeren.

Wat de vete onthult over het afpersingsecosysteem

Het is gemakkelijk om dit te lezen als criminelen die onderling vechten en te concluderen dat het ons probleem niet is. Dat doet het tekort. Een paar conclusies springen eruit:

  • Afpersingsgroepen bezitten waardevolle gegevens over hun eigen activiteiten. Lijsten van slachtoffers en betalingen zijn machtsmiddelen, en andere criminelen willen die misschien hebben.
  • Vertrouwen is het zwakke punt. Het model hangt ervan af dat slachtoffers geloven dat een bende zich aan haar woord houdt. Een publieke overname van een leksite ondermijnt dat geloof voor iedereen.
  • Rivaliteit kan nieuwe blootstelling creëren. Een conflict tussen groepen kan slachtofferinformatie in omloop brengen die anders misschien privé was gebleven.

Niets hiervan maakt het betalen van losgeld duidelijk verkeerd of duidelijk juist voor een bepaald bedrijf, en wij geven geen juridisch advies. Maar het bevestigt wel dat betaling geen schone exit is. Organisaties moeten plannen alsof gestolen gegevens kunnen opduiken, ongeacht wat er is afgesproken.

Wat dit voor jou betekent

De meeste mensen zullen nooit met een afpersingsbende onderhandelen. Jouw blootstelling komt van de bedrijven, ziekenhuizen, scholen en dienstverleners die jouw informatie bezitten. Als een van hen getroffen is door Cl0p of een vergelijkbare groep, ga er dan van uit dat jouw gegevens kunnen opduiken, zelfs als het bedrijf zegt dat de kwestie is opgelost.

Als je een inbreukmelding ontvangt, neem die dan serieus, zelfs als er staat dat de gegevens zijn hersteld of verwijderd. Een melding die een losgeld noemt, of zegt dat het bedrijf met de aanvallers heeft samengewerkt, is een reden voor extra voorzichtigheid in plaats van geruststelling.

Wat je kunt doen als een bedrijf dat jouw gegevens bezit getroffen is

  • Houd je accounts in de gaten. Let op onbekende activiteit op je bank-, kaart- en e-mailactiviteit en schakel transactiemeldingen in.
  • Blokkeer je krediet. Een kredietblokkade is doorgaans gratis en maakt het moeilijker voor iemand om nieuwe accounts op jouw naam te openen. Je kunt die opheffen wanneer je krediet wilt aanvragen.
  • Gebruik unieke wachtwoorden. Als een dienst die je gebruikt getroffen is, wijzig dan dat wachtwoord en elk ander account waar je het hebt hergebruikt. Een wachtwoordmanager maakt dit beheersbaar.
  • Schakel inbreukmeldingen in. Veel browsers en wachtwoordmanagers kunnen je waarschuwen wanneer je e-mailadres in een bekend lek voorkomt.
  • Wees waakzaam bij vervolgcontact. Inbreuken worden vaak gevolgd door phishing-e-mails of telefoontjes die naar echte details verwijzen. Verifieer via de officiële kanalen van het bedrijf voordat je reageert.

De kern van de zaak

De overname van de Cl0p-leksite door ShinyHunters is een herinnering dat een losgeldbetaling geen garantie op geheimhouding biedt, en dat de mensen die het meest getroffen worden vaak degenen zijn die niets over de deal te zeggen hadden. Je kunt niet bepalen hoe een bedrijf met een afpersingseis omgaat, maar je kunt de schade aan jouw kant beperken: houd je accounts in de gaten, blokkeer je krediet, houd wachtwoorden uniek en schakel inbreukmeldingen in. Lees voor de achtergrond over hoe dit begon ons oorspronkelijke rapport, ShinyHunters kaapt Clop's ransomware-leksite, en kom terug naarmate er meer details bekend worden.