Een ander soort ransomware-dreiging

De meeste mensen stellen zich een ransomwareaanval hetzelfde voor: de bestanden van een bedrijf worden plotseling vergrendeld, er verschijnt een losgeldbrief op het scherm en IT heeft haast om back-ups te herstellen. Silent Ransom Group, ook bekend als Luna Moth, werkt helemaal niet zo. In plaats van iets te versleutelen, steelt deze groep rechtstreeks gevoelige gegevens, vaak door werknemers telefonisch te bellen, en dreigt vervolgens die gegevens te lekken tenzij er losgeld wordt betaald. Er is geen malware die afgaat, geen vergrendelde harde schijf en vaak geen duidelijk technisch alarmsignaal. Alleen een telefoontje, een oplichtingspraktijk en een stille datadiefstal die slachtoffers mogelijk pas opmerken wanneer de afpersingseis binnenkomt.

Deze verschuiving is belangrijk omdat ze verandert waar verdedigers op moeten letten. Traditionele ransomwareverdediging richt zich sterk op het stoppen van versleuteling: back-ups, endpointdetectie, netwerksegmentatie. Silent Ransom Group omzeilt dat allemaal door zich te richten op de zwakste schakel in de meeste beveiligingsprogramma's, namelijk menselijk vertrouwen.

Hoe de aanval werkt

Het draaiboek van de groep draait om social engineering in plaats van software-exploits. Aanvallers doen zich voor als IT-supportmedewerkers, vaak via telefoongesprekken, om werknemers of helpdeskpersoneel te overtuigen remote toegang te verlenen of inloggegevens te overhandigen. Eenmaal binnen is het doel niet om ransomware door het netwerk te verspreiden. Het is om stilletjes waardevolle bestanden te lokaliseren en te exfiltreren: klantdossiers, financiële gegevens, juridische stukken of alles wat ernstige schade kan veroorzaken als het openbaar wordt gemaakt.

Deze aanpak is vooral effectief gebleken tegen organisaties die grote hoeveelheden vertrouwelijke informatie beheren. Zoals uiteengezet in de berichtgeving over Silent Ransom Groups IT-imitatiepraktijken tegen advocatenkantoren, heeft de groep specifiek juridische praktijken aangevallen, die routinematig fusiedetails, processtrategie en persoonlijke klantdossiers opslaan die buitenstaanders graag privé zouden houden. Omdat advocatenkantoren vaak tegelijkertijd informatie voor meerdere cliënten beheren, kan één succesvolle inbraak een breed web van gevoelige relaties blootleggen.

De financiële belangen kunnen aanzienlijk zijn. In één gedocumenteerd geval richtte de groep zich op grote advocatenkantoren, waaronder Jones Day en WilmerHale, met een losgeldeis die opliep tot $13 miljoen, volgens berichtgeving over de Luna Moth-afpersingscampagne tegen Jones Day en WilmerHale. Dat bedrag onderstreept hoe lucratief afpersing via pure datadiefstal kan zijn, zelfs zonder dat er één bestand wordt versleuteld.

Waarom dit een privacyverhaal is, niet alleen een beveiligingsverhaal

Ransomware op basis van versleuteling is ontwrichtend, maar is in essentie een beschikbaarheidsprobleem: systemen liggen eruit tot ze worden hersteld. Het model van Silent Ransom Group is vanaf het begin een vertrouwelijkheidsprobleem. Op het moment dat gegevens de controle van een organisatie verlaten, liggen ze bloot, ongeacht of er losgeld wordt betaald. Slachtoffers onderhandelen niet om hun systemen terug te krijgen, maar om te proberen te voorkomen dat privé-informatie wordt gepubliceerd of verkocht.

Dat onderscheid is belangrijk voor iedereen wiens persoonlijke gegevens zich mogelijk in de bestanden van een getroffen organisatie bevinden. Cliënten van een getroffen advocatenkantoor, patiënten van een zorgverlener of klanten van elk bedrijf dat persoonlijke gegevens opslaat, hebben geen directe controle over hoe goed die organisatie haar personeel traint om een neptelefoontje van IT-support te herkennen. De aanval slaagt niet door versleuteling te kraken of een softwarefout te misbruiken, maar door een moment van misplaatst vertrouwen tijdens een ogenschijnlijk routineus telefoongesprek te benutten.

Wat dit voor jou betekent

Als je werkt bij een organisatie die gevoelige cliënt-, patiënt- of financiële gegevens beheert, is deze trend een herinnering dat technische verdediging alleen niet elke dreiging stopt. Telefoongebaseerde social engineering omzeilt firewalls en endpointbescherming volledig, omdat het zich richt op mensen, niet op systemen.

Voor werknemers is de praktische les simpel: legitieme IT-support heeft zelden nodig dat je remote toegang verleent of inloggegevens deelt tijdens een ongevraagd telefoongesprek. Elk dergelijk verzoek verdient onafhankelijke verificatie via een bekend intern kanaal voordat je handelt.

Voor organisaties betekent dit dat helpdesk- en supportmedewerkers expliciete protocollen nodig hebben om de identiteit van bellers te verifiëren voordat ze toegang verlenen of inloggegevens resetten. Het betekent ook dat er moet worden gemonitord op ongebruikelijke patronen van gegevenstoegang en grote bestandsoverdrachten, aangezien exfiltratie, niet versleuteling, het werkelijke doel is.

Voor individuen wier informatie mogelijk wordt opgeslagen door een advocatenkantoor, zorgverlener of financiële instelling, is het de moeite waard te onthouden dat gegevensbescherming niet alleen om je eigen gewoonten draait. Het hangt ook af van de beveiligingscultuur van elke organisatie die jouw gegevens bewaart.

Belangrijkste punten

De aanpak van Silent Ransom Group laat zien dat ransomware geen versleuteling nodig heeft om gevaarlijk te zijn. Door te vertrouwen op telefonische imitatie en social engineering heeft de groep grote losgeldeisen weten los te peuteren bij grote organisaties, waaronder advocatenkantoren die zeer gevoelige cliëntgegevens beheren. Het versterken van identiteitsverificatieprocedures, het trainen van personeel om ongevraagde IT-telefoontjes in twijfel te trekken en het monitoren van ongebruikelijke gegevensbewegingen zijn hier veel effectievere verdedigingen dan traditionele anti-ransomwaretools alleen. Naarmate afpersingstactieken zich van versleuteling af bewegen en richting pure datadiefstal, kan waakzaam blijven voor social engineering belangrijker zijn dan ooit.