Da politimyndighetene kikket bak teppet
I februar 2024 demonterte en koalisjon av internasjonale politimyndigheter infrastrukturen bak LockBit, en av de mest produktive løsepengevirusoperasjonene i nyere tid. Det etterforskerne fant da de fikk tilgang til LockBits systemer, var mer enn bare bevis på kriminell aktivitet. De oppdaget at gruppen hadde beholdt kopier av stjålne offerdata selv etter å ha fortalt ofrene – ofte i bytte mot betaling – at dataene var blitt slettet.
Denne ene detaljen har større betydning enn den kan synes ved første øyekast. I årevis har standardplanen for organisasjoner som rammes av løsepengevirus, inkludert et stille, ubehagelig alternativ: betal løsepengene, få en slettegaranti fra angriperen, og gå videre. LockBit-avsløringen bekrefter det mange sikkerhetsforskere lenge har mistenkt. Det løftet er ofte verdiløst, og ofrene har ofte ingen måte å vite det på.
Avstanden mellom det ofrene får høre og det som faktisk skjer
Forhandlinger om løsepengevirus skjer typisk utenfor offentlighetens søkelys, formidlet av hendelseshåndteringsfirmaer, forsikringsselskaper eller offerorganisasjonene selv. Når en kriminell gruppe hevder å ha slettet stjålne filer, finnes det sjelden noen uavhengig måte å verifisere påstanden på. Ofrene blir i praksis bedt om å stole på ordet til den samme aktøren som brøt seg inn i systemene deres og stjal dataene i utgangspunktet.
LockBit-saken viser hvorfor den tilliten er misforstått. Selv når en kriminell virksomhet er sofistikert nok til å drive en fungerende «kundeservice»-operasjon for sine ofre, komplett med forhandlingsportaler og slettesertifikater, er det underliggende insentivet til faktisk å ødelegge verdifulle stjålne data rett og slett ikke til stede. Data har videresalgsverdi, utnyttelsesverdi og fremtidig utpressingsverdi. Å slette dem strider mot angriperens egne interesser.
Dette misforholdet havner sjelden i overskriftene slik en innbruddsmelding gjør. Selskaper som betaler i det stille for å få et problem til å forsvinne, har liten grunn til å offentliggjøre at slettegarantien ikke ble overholdt, spesielt hvis de aldri får vite det. Den tausheten er en del av grunnen til at negative utfall skjer oftere enn det offentlige arkivet tilsier. Nedstengningen av LockBits infrastruktur er et av de få tilfellene der avstanden mellom løfte og virkelighet i det hele tatt ble synlig, omtrent på samme måte som Googles avsløring av et KKP-tilknyttet hackernettverk dro teppet til side for aktivitet som ellers ville ha forblitt skjult for de berørte organisasjonene.
Hvorfor dette bør endre organisasjoners tankegang om løsepengevirus
Den praktiske lærdommen er ikke at det alltid er feil å betale løsepenger. Enhver hendelse har sitt eget juridiske, operasjonelle og økonomiske press, og noen organisasjoner kan fortsatt bestemme at betaling er det minst dårlige alternativet. Lærdommen er at betaling aldri bør behandles som en løsning på et dataleksponeringsproblem.
Når data først har forlatt en organisasjons kontroll, bør de anses som permanent kompromitterte, uavhengig av eventuelle forsikringer som følger. Det innebærer at meldeplikter, kundekommunikasjon og risikovurderinger må gjennomføres som om de stjålne dataene fortsatt er i omløp, for det kan de meget vel være. Cyberforsikringer og hendelseshåndteringsplaner som antar en ren avslutning etter betaling, bygger på et utdatert og stadig mer miskreditert premiss.
Hva dette betyr for deg
For enkeltpersoner hvis data kan ha blitt fanget opp i et innbrudd tilknyttet et løsepengeangrep, er LockBit-avsløringen en påminnelse om ikke å senke skuldrene bare fordi et selskap kunngjør at hendelsen er «løst». En slettegaranti fra kriminelle er ingen garanti, og informasjonen din kan forbli eksponert lenge etter at overskriftene har falmet.
For bedrifter, spesielt små og mellomstore uten egne sikkerhetsteam, er dette et argument for forebygging fremfor forhandling. Gode sikkerhetskopieringsrutiner, nettverkssegmentering og grunnleggende endepunktshygiene reduserer sjansene for noen gang å havne i en posisjon der du må stole på en utpressers ord. Å gjennomgå hvordan personlige og profesjonelle kontoer beskyttes, inkludert om sensitiv trafikk rutes gjennom sikre tilkoblinger, er et fornuftig sted å begynne; noen organisasjoner ser på alternativer som de som finnes på sider som sammenligner tilbydere som IVPN eller Mozilla VPN som en del av en bredere innsats for å redusere eksponering, selv om intet enkelt verktøy erstatter en fullstendig sikkerhetsstrategi.
Praktiske råd
- Anta at alle data stjålet i en løsepengehendelse forblir i faresonen på ubestemt tid, selv om det gis en slettegaranti.
- Ikke la en løsepengeutbetaling erstatte full innbruddsvarsling og kundebeskyttelsestiltak.
- Prioriter sikkerhetskopiering og nettverkssegmentering slik at det aldri er eneste utvei å betale angripere.
- Hvis du får beskjed om at dataene dine var involvert i et innbrudd, overvåk kontoene og kredittrapportene dine lenge etter den første kunngjøringen.
- Press på for åpenhet fra enhver organisasjon som håndterer dataene dine om hvordan den reagerer på løsepengehendelser, ikke bare om den betalte.
LockBit-nedslaget ga et sjeldent, ufiltrert innblikk i hvordan nettutpressing faktisk utspiller seg når de kriminelle ikke lenger kontrollerer narrativet. Å behandle slettegarantier som fakta, snarere enn som ubekreftede påstander fra en fiendtlig aktør, har gitt altfor mange ofre en falsk følelse av avslutning. Å forbli skeptisk og forbli forberedt, er fortsatt den beste langsiktige strategien.
