Løsepengevirus pleide å være et enkelt og brutalt problem: angripere låste filene dine og krevde betaling for nøkkelen. I dag er bildet mer komplisert. Denne guiden gir en gjennomgang av dobbelt utpressing med løsepengevirus forklart for vanlige lesere, basert på en nylig japanskspråklig kommentar av Masaya Kinoshita som beskriver hvordan skade fra løsepengevirus har blitt stadig mer sofistikert og alvorlig.

Hovedpoenget er at den dominerende taktikken nå er «dobbelt utpressing». Angripere krypterer ikke lenger bare data. De stjeler også informasjon og truer med å lekke den hvis kravene deres ikke innfris. Det skiftet endrer hva forsvar betyr, for organisasjoner og for enkeltpersonene hvis data disse organisasjonene oppbevarer.

Hvordan dobbelt utpressing fungerer

I et klassisk løsepengevirusangrep krypterer kriminelle offerets filer og krever penger for dekryptering. Offerets hovedspørsmål er om de kan gjenopprette systemene sine.

Dobbelt utpressing legger til en ekstra spak. Før eller mens de krypterer, kopierer angriperne sensitive opplysninger ut av offerets nettverk. Deretter presenterer de to trusler samtidig:

  • Betal, ellers forblir systemene dine låst.
  • Betal, ellers blir de stjålne dataene dine publisert.

Kommentaren beskriver dette som den dominerende tilnærmingen, ikke en eksotisk variant. Den andre trusselen er det som gjør taktikken så effektiv. Selv et offer med en perfekt gjenopprettingsplan står fortsatt overfor utsikten til at kunderegistre, ansattopplysninger eller interne dokumenter dukker opp offentlig.

Hvorfor sikkerhetskopier alene ikke lenger løser problemet

Det er fortsatt avgjørende å sikkerhetskopiere data. Kilden understreker å sikre robuste sikkerhetskopier som ett av de konkrete tiltakene organisasjoner bør iverksette, fordi gode sikkerhetskopier lar et offer gjenopprette driften uten å betale for en dekrypteringsnøkkel.

Men sikkerhetskopier svarer bare på krypteringstrusselen. De gjør ingenting med stjålne kopier. Å gjenopprette filene dine fra en ren sikkerhetskopi henter ikke dataene dine tilbake fra en angripers server. Når informasjon først er eksfiltrert, har offeret mistet kontrollen over hvem som ser den, og de kriminelle vet det.

Dette er grunnen til at kilden kombinerer sikkerhetskopier med andre tiltak, som flerfaktorautentisering. Å hindre angripere i å komme seg inn, eller i å bevege seg fritt når de først er inne, er den eneste måten å forhindre tyveri i utgangspunktet. Sikkerhetskopier er et gjenopprettingsverktøy, ikke et forebyggingsverktøy.

Hva lekkasjesider som RansomHouse betyr for dine personopplysninger

Presset bak dobbelt utpressing blir ofte anvendt offentlig. Kilden viser til et nettsted kalt RansomHouse, et eksempel på lekkasjesidene der utpressingsgrupper navngir ofre og truer med å frigjøre eller faktisk publiserer stjålet materiale. Videoen som diskuteres i kommentaren, fremhever denne typen nettsted som en del av den nåværende trusselen.

For vanlige mennesker er hovedpoenget at du kan bli påvirket uten noen gang å være målet. Hvis et selskap, en klinikk, en skole eller en leverandør som oppbevarer informasjonen din, blir rammet, kan dataene dine være en del av det som blir stjålet. En oppføring på en lekkasjeside er et tegn på at gruppen presser organisasjonen, ikke bevis på at påstanden er riktig. For eksempel bemerker vår dekning av Everest-løsepengevirusoppføringen av Capgemini Engineering at slike påstander vanligvis er ubekreftet på det tidspunktet de dukker opp.

Et nylig eksempel på dette mønsteret er Uber Freight-bruddet, der Helix-gruppen hevdet nesten 1 million filer etter å ha listet selskapet på sin lekkasjeside på dark web. Selskapet sa at de etterforsket en datasikkerhetshendelse. Hvis du vil forstå hvor stjålet informasjon havner videre, dekker vår forklaring om hva som skjer med dataene dine etter et brudd kjedereaksjonen som kan følge.

Hva dette betyr for deg

De fleste lesere driver ikke et bedriftsnettverk, men du er fortsatt en del av historien om dobbelt utpressing. Dataene dine lever i andres systemer, og du kan ikke kontrollere deres sikkerhet. Det du kan kontrollere, er hvor mye skade en lekkasje gjør mot deg.

Et publisert eller solgt sett med personopplysninger kan drive phishing, forsøk på kontoovertakelse og identitetsmisbruk. Gjenbruk av passord gjør dette verre, fordi én lekket påloggingsinformasjon kan låse opp flere kontoer. Den gode nyheten er at noen få vaner kraftig begrenser skadevirkningene.

Praktiske tiltak for enkeltpersoner og små organisasjoner

For enkeltpersoner:

  • Bruk et unikt passord for hver konto, lagret i en passordbehandler.
  • Slå på flerfaktorautentisering der det tilbys, og start med e-post, bank og skylagring.
  • Vær skeptisk til uventede meldinger som refererer til virkelige opplysninger om deg, siden lekne data gjør svindel mer overbevisende.
  • Hvis du varsles om et brudd, endre det berørte passordet umiddelbart og alle andre som var likt det.
  • Del bare personopplysningene en tjeneste virkelig trenger.

For små organisasjoner:

  • Oppretthold robuste sikkerhetskopier, og lagre minst én kopi offline eller adskilt fra hovednettverket slik at angripere ikke kan kryptere den også.
  • Krev flerfaktorautentisering for ansatte, spesielt for fjernaccess og administratorkontoer.
  • Samle inn og oppbevar mindre sensitive data. Informasjon du ikke har, kan ikke stjeles.
  • Forbered en hendelsesplan som dekker datatyveri, ikke bare systemgjenoppretting, inkludert hvem du vil varsle.

Viktige punkter

Å forstå dobbelt utpressing med løsepengevirus forklart i enkle ord kommer ned til én idé: kryptering er det synlige angrepet, og tyveri er det varige. Sikkerhetskopier beskytter driften din, men bare forebygging, som flerfaktorautentisering og å begrense hvilke data som lagres, reduserer sjansen for en lekkasje.

For å se hva som vanligvis skjer etter at informasjon er tatt, les guiden vår om hva som skjer med dataene dine etter et brudd, og gjennomgå Uber Freight- og Helix-rapporten som et nylig eksempel på en utpressningsoppføring på en lekkasjeside. Bruk deretter ti minutter i dag på å aktivere flerfaktorautentisering på de viktigste kontoene dine.