Een campagne voor gegevensdiefstal en afpersing in Zuid-Korea heeft een resultaat opgeleverd dat op papier bijna komisch lijkt: 38 organisaties waren het doelwit, gegevens werden gestolen van 90 slachtoffers, en de totale opbrengst was naar verluidt slechts $226. De cijfers, gerapporteerd door Cybernews en ontleend aan politierapporten, maken van deze zaak een nuttige realitycheck. Zuid-Koreaanse afpersers van gegevens slagen er financieel niet altijd in, maar dat betekent niet dat de mensen wier informatie werd gestolen veilig zijn.
Hoe de afpersingscampagne van $226 zich ontvouwde
Volgens de samenvatting van Cybernews zette de groep 38 organisaties onder druk nadat er gegevens van 90 slachtoffers waren gestolen. De opbrengst was $226. Het bronmateriaal dat ons ter beschikking staat, splitst niet uit wie betaalde, hoeveel betalingen er binnenkwamen of wat de losgeldeisen waren, dus we zullen daar niet naar gissen.
Wat de cijfers wel laten zien, is een grote kloof tussen inspanning en beloning. Gegevens stelen van tientallen slachtoffers en tientallen organisaties contacteren is echt werk, toch was de opbrengst minuscuul. Dat wijst op een operatie die slecht werd uitgevoerd, slecht was gericht, of beide, en het suggereert dat de meeste benaderde organisaties niet toegaven.
Dit contrasteert met het meer geïndustrialiseerde beeld van digitale afpersing. Onze analyse van ransomware als bedrijfsmodel beschrijft hoe het veld is verschoven van kleine, heimelijke groepen naar meer georganiseerde structuren. De Zuid-Koreaanse zaak staat aan het andere uiterste: een herinnering dat niet elke afpersingsgroep een gepolijste criminele onderneming is.
Wat politierapporten onthullen over de methoden van de hackers
Het stuk van Cybernews zegt dat de bevindingen afkomstig zijn uit politierapporten. Het deel van het artikel waartoe we toegang hebben, is een samenvatting, en het vermeldt niet de technische methoden die de hackers gebruikten, dus dit bericht zal niet speculeren over specifieke tools of toegangspunten.
Wat op basis van de gerapporteerde cijfers wel gezegd kan worden, is dit:
- Het model was gegevensdiefstal plus druk. De groep nam eerst gegevens weg en contacteerde daarna organisaties. Dat is een veelvoorkomend afpersingspatroon, en het vereist niet dat de systemen van een slachtoffer worden versleuteld.
- De schaal was bescheiden. Negentig slachtoffers en 38 doelwitorganisaties is verre van de grootste campagnes ooit geregistreerd.
- De politie kon de activiteit documenteren. Het bestaan van politierapporten met deze cijfers suggereert dat onderzoekers zicht hadden op wat er gebeurde, inclusief hoe weinig geld er van eigenaar wisselde.
Afpersing met weinig vaardigheid werkt vaak op één aanname: dat een organisatie snel zal betalen om vernedering of regelgevende problemen te vermijden. Wanneer organisaties weigeren, of simpelweg niet reageren, stort de economie in. Dat lijkt hier te zijn gebeurd.
Waarom mislukte afpersing de gegevens van slachtoffers nog steeds in gevaar brengt
Een uitbetaling van $226 is niet hetzelfde als geen schade. De gegevens werden nog steeds gestolen van 90 slachtoffers. Zodra informatie de systemen van een organisatie verlaat, hebben de mensen die erin beschreven worden geen controle meer over wat er daarna gebeurt. Ze kan worden bewaard, verkocht, gedeeld of gepubliceerd, ongeacht of de afpersing slaagde.
Er is ook een praktisch risico voor individuen. Gestolen gegevens zoals namen, e-mailadressen of inloggegevens kunnen opnieuw worden gebruikt in phishing, pogingen tot accountovername of vervolgscams. Een groep die er niet in slaagde geld te verdienen aan de organisatie, kan nog steeds proberen geld te verdienen aan de gegevens zelf.
Zuid-Korea heeft andere incidenten meegemaakt waarbij persoonsgegevens werden blootgesteld. We hebben bijvoorbeeld bericht over hoe een datalek bij een Zuid-Koreaanse diplomaat 10.000 records blootlegde bij een door de overheid gerunde opleidingsacademie. Andere actoren en andere omstandigheden, maar dezelfde kernles: je gegevens bevinden zich vaak in systemen die je niet beheert.
Wat dit voor jou betekent
De meeste mensen kunnen niet voorkomen dat een organisatie wordt gehackt. Wat je wel kunt doen, is de schade beperken als je informatie deel uitmaakt van een gestolen dataset.
- Ga ervan uit dat blootstelling mogelijk is. Als een organisatie waarmee je te maken hebt een datalek meldt, behandel elk contact dat beweert daarmee verband te houden met wantrouwen.
- Verwacht vervolgscams. Afpersingsgroepen en andere criminelen kunnen mensen rechtstreeks e-mailen of berichten sturen met gebruik van gestolen contactgegevens.
- Betaal niet en ga niet in op dreigementen. Als je een bericht ontvangt met de dreiging je gegevens te publiceren, reageer dan niet en stuur geen geld. Deze zaak toont hoe weinig afpersing daadwerkelijk kan opleveren, en betalen garandeert nooit verwijdering.
- Let op accountactiviteit. Onverwachte inlogwaarschuwingen, e-mails over het resetten van wachtwoorden of nieuwe apparaten op je accounts verdienen aandacht.
Hoe je je accounts beschermt tegen afpersingspogingen
Sterke basisprincipes helpen een heel eind, zelfs tegen opportunistische aanvallers:
- Gebruik een uniek wachtwoord voor elk account. Een wachtwoordmanager maakt dit realistisch. Als één dienst je inloggegevens lekt, blijven de andere beschermd.
- Schakel multi-factorauthenticatie in. Geef waar mogelijk de voorkeur aan een authenticator-app of hardwarematige sleutel boven sms.
- Wijzig wachtwoorden na een datalekmelding. Doe dit op de getroffen dienst en overal waar je hetzelfde wachtwoord hebt hergebruikt.
- Beperk wat je deelt. Geef organisaties alleen de persoonsgegevens die ze echt nodig hebben. Gegevens die nooit zijn verzameld, kunnen niet worden gestolen.
- Wees voorzichtig met onverwachte berichten. Klik niet op links en open geen bijlagen in berichten die verwijzen naar een datalek of een dreiging. Ga rechtstreeks naar de officiële website.
- Controleer oude accounts. Verwijder accounts die je niet meer gebruikt, zodat minder organisaties je informatie bewaren.
Zuid-Korea heeft ook meegemaakt dat beveiligingstools zelf een aanvalsoppervlak werden, zoals in de AnySign4PC zero-day waarbij een Koreaanse banktool tot wapen werd gemaakt. Software up-to-date houden is nog een gewoonte die de moeite waard is.
De kern van de zaak
Het cijfer van $226 is een goed verhaal, maar het is geen reden om achterover te leunen. Zuid-Koreaanse afpersers van gegevens wisten in dit geval weinig winst te maken, toch werden de gegevens van 90 slachtoffers nog steeds gestolen. Beveilig je accounts, gebruik unieke wachtwoorden met multi-factorauthenticatie en deel zo weinig persoonsgegevens als je kunt. Lees voor meer context onze berichtgeving over het ransomware- en afpersingsbedrijfsmodel en onze verslaggeving over andere Zuid-Koreaanse datalekken.
