Føderale etterforskere har angivelig identifisert ledere i to separate selskaper som forhandler om cyberhendelser, og som hadde uvanlig nære relasjoner til utpressingsgruppen ShinyHunters. Ifølge KrebsOnSecuritys reportasje, oppsummert av Security Arsenal, skal én leder med base i USA ha gått lenger og hjulpet med å drive nettstedet som ble brukt til å presse ofre til å betale. Påstanden om ShinyHunters løsepengeforhandler-utpressingsnettsted er fortsatt nettopp det, en påstand, men den reiser et vanskelig spørsmål for alle hvis data ligger hos et selskap som en dag kan bli utsatt for et brudd: hvem sitter egentlig på den andre siden av bordet?
Hva etterforskerne påstår om forhandlerne og ShinyHunters
Reportasjen sier at føderale etterforskere, som arbeidet med data fra FBI, identifiserte ledere i to forhandlingsselskaper som hadde nær kontakt med ShinyHunters. Én av dem, en leder med base i USA, påstås å ha hjulpet med å drive nettstedet gruppen brukte for å presse ofre til å betale løsepenger.
Noen punkter er verdt å ha i bakhodet. Det tilgjengelige sammendraget legger ikke frem noen siktelser, og påstandene kommer fra reportasjer om hva etterforskerne mistenker. Verken lederne eller selskapene deres er navngitt i materialet vi har gjennomgått, så vi vil ikke spekulere i identiteter. Behandle dette som en sak under utvikling, og forvent at detaljene endrer seg etter hvert som mer informasjon bekreftes.
Hvordan løsepengeforhandling og utpressingsnettsteder fungerer
Når et selskap rammes av datatyveri eller løsepengevirus, leier det ofte inn et eksternt selskap til å håndtere kommunikasjonen med angriperne. Disse forhandlerne verifiserer vanligvis hva som er stjålet, prøver å redusere kravet og arrangerer betaling hvis selskapet bestemmer seg for å betale. Fordi de snakker direkte med kriminelle, sitter de på sensitiv kunnskap: hvor mye offeret har råd til å betale, hvilke data som er tatt, og hvor pressende selskapets frist er.
Utpressingsnettsteder er pressverktøyet på den andre siden. Grupper som ShinyHunters bruker et nettsted til å navngi ofre, true med å publisere stjålne data og presse selskaper mot en avtale. Nettstedet er en del av salgspitchen: jo mer troverdig og skremmende trusselen er, desto mer sannsynlig er det at et offer betaler.
Det er derfor påstanden er viktig. Hvis en forhandler også hjulpet med å drive pressnettstedet, kan samme person i teorien være både offerets pålitelige rådgiver og en deltaker i trusselen. Det er en skolebokmessig interessekonflikt, og offeret er kanskje ikke klar over den.
Hvorfor en interessekonflikt i hendelseshåndtering er viktig
Hendelseshåndtering avhenger av tillit. Et selskap som er rammet, overlater logger, nettverksdetaljer og sensitiv forretningsinformasjon til personene som hjelper det med å gjenopprette driften. Hvis noen av disse rådgiverne har bånd til angriperne, kan flere ting gå galt:
- Forhandlingsstyrke kan lekke. Å vite et offers budsjett eller frist hjelper en utpresser med å sette prisen.
- Råd kan være skjeve. En rådgiver med interessekonflikt kan skyve et selskap mot å betale i stedet for å gjenopprette på en annen måte.
- Datahåndtering blir usikker. Betaling skal angivelig kjøpe sletting av stjålne data, men, som med andre nylige utpressingstilfeller, er det ingen måte å være sikker på at dataene virkelig er borte.
For kunder, pasienter, studenter eller ansatte hvis opplysninger ligger inne hos det rammede selskapet, er dette utenfor deres kontroll. Du velger ikke forhandleren, og du får sjelden vite hvem det var. På bransjenivå er det en grunn til å be om klarere kontroll og åpenhet om interessekonflikter, og for at regulatorer og forsikringsselskaper ser på hvordan disse selskapene blir screenet.
Hva dette betyr for deg
Du kan ikke revidere leverandørenes partnere for hendelseshåndtering. Det du kan gjøre, er å begrense skaden hvis dataene dine havner i feil hender, uansett hvem som håndterte forhandlingen. Gå ut fra at en betaling ikke garanterer at informasjonen din ble ødelagt, og at stjålne detaljer kan gjenbrukes i oppfølgingssvindel. Utpressingsgrupper og etterlignere utnytter også nyheter om databrudd: en falsk ShinyHunters-sekstorsjons-e-post har for eksempel angivelig brukt ekte brudddetaljer for å få trusler til å virke troverdige.
Hva du bør gjøre hvis et selskap du bruker er rammet
Når et varsel om databrudd kommer, handle på det i stedet for å vente på at saken skal falle på plass:
- Bytt gjenbrukte passord. Start med den rammede tjenesten, deretter alle andre kontoer som deler samme passord. Bruk et unikt passord for hver konto, helst lagret i en passordbehandler.
- Slå på flerfaktorautentisering. Foretrekk en autentiseringsapp eller en fysisk nøkkel fremfor SMS der det er mulig.
- Vær oppmerksom på phishing- og utpressings-e-poster. Vær skeptisk til meldinger som viser til ekte detaljer om deg og krever penger eller hastevirkning. Ikke svar, ikke klikk på lenker og ikke åpne vedlegg. Gå direkte til selskapets offisielle nettsted i stedet.
- Sjekk varselet selv. Bekreft at det kom fra selskapet gjennom en kanal du kan verifisere, siden angripere etterligner varsler om databrudd.
- Overvåk kontoene dine. Gå gjennom kontoutskrifter og kortutskrifter, og vurder en kredittsperre hvis varselet sier at finansielle data eller identitetsdata er eksponert.
Konklusjonen
Den påståtte koblingen mellom en løsepengeforhandler og et ShinyHunters-utpressingsnettsted er ennå ikke en avklart sak, men den viser hvor mye av bruddhåndteringen som bygger på tillit som enkeltpersoner ikke kan se. Inntil fakta er fullt ut etablert, er den fornuftige tilnærmingen å beskytte deg selv på samme måte hver gang: unike passord, flerfaktorautentisering og en sunn skepsis til enhver melding som lener seg på lekke data for å skremme deg. Gjør disse tingene etter ethvert varsel om databrudd, og du reduserer verdien av det angriperne, eller mellomleddene deres, sitter på.
