Et dobbelt slag for Hongkongs finanssektor
To cybersikkerhetshistorier kolliderte i Hongkong innen omtrent 24 timer: en ransomware-gruppe som kaller seg Orova hevdet brudd hos fem Hongkong-selskaper, inkludert minst én regulert kapitalforvalter, og Verdipapirtilsynet (SFC) ila sin første håndhevelsesaksjon noensinne relatert til ransomware. Rapporter indikerer at SFC irettesatte og bøtela et lisensiert selskap 2,1 millioner HK-dollar for cybersikkerhetsbrudd knyttet til et ransomware-angrep, en straff regulatorene fremstilte som et signal om at toppledelsen, ikke bare IT-avdelinger, bærer ansvaret for cyberresiliens.
Tidspunktet var ikke en tilfeldighet så mye som en konvergens. Ransomware-grupper har i økende grad rettet seg mot finansielle tjenesteselskaper fordi de har akkurat den typen sensitiv klientdata som gjør utpressing effektiv, og regulatorer som SFC har i flere måneder signalisert at de har til hensikt å holde lisensierte selskaper ansvarlige når disse forsvarene svikter.
Hvordan dobbel utpressing endret ransomware-spilleboken
Tradisjonell ransomware var på noen måter et enklere problem. Angripere krypterte et offers filer og krevde betaling for dekrypteringsnøkkelen. Organisasjoner med pålitelige, frakoblede sikkerhetskopier kunne ofte gjenopprette systemene sine uten å betale en krone, noe som effektivt nøytraliserte angriperens pressmiddel.
Dobbel utpressing, en taktikk som ble pionert av Maze ransomware-gruppen sent i 2019, lukket det smutthullet. I stedet for bare å kryptere filer, stjeler angriperne først en kopi av offerets sensitive data. Selv om organisasjonen kan gjenopprette fra sikkerhetskopier og nekter å betale for dekryptering, holder angriperne fortsatt et andre kort: de truer med å publisere de stjålne dataene på en lekkasjeportal på det mørke nettet med mindre en løsepenge betales. Dette endrer kalkylen fullstendig. Sikkerhetskopier beskytter mot operasjonell forstyrrelse, men de gjør ingenting for å stoppe en datalekkasje. Det er nettopp det presset Orova ser ut til å legge på de fem rapporterte Hongkong-ofrene.
Dette mønsteret er ikke unikt for Hongkong eller Orova. Finansielt regulerte enheter overalt har klientopplysninger, transaksjonshistorikk og identitetsdokumenter som er verdifulle både for kriminelle og, når de eksponeres, dypt skadelige for individene hvis data havner på et lekkasjenettsted. Det er den samme underliggende risikoen som dukket opp da et britisk statlig investeringsbyrå eksponerte sensitive data som tilhørte 51 myndighetspersoner i omtrent 40 timer: når data er ute, betyr tidspunkt og inneslutning enormt mye, men selve eksponeringen kan ikke gjøres ugjort.
Hvorfor SFCs bot er viktig utenfor Hongkong
Det som gjør dette tidspunktet bemerkelsesverdig er ikke bare at en ny ransomware-gruppe hevdet ofre. Det er at en finansiell regulator beveget seg fra veiledning til håndhevelse. SFCs bot, ifølge rapporter den første knyttet spesifikt til et ransomware-angrep, sender et budskap som har bygget seg opp over hele den globale finansreguleringen: cybersikkerhetsbrudd behandles ikke lenger utelukkende som tekniske hendelser. De er compliance-brudd med reelle økonomiske og omdømmemessige konsekvenser for selskapet og, i økende grad, for lederne som godkjenner risikostyringen.
Ransomware-grupper trenger ikke finne en ny null-dagers sårbarhet for å komme seg inn. Mange brudd starter med langt mer hverdagslige feil: upatchet programvare, svake tilgangskontroller eller ansatte som faller for phishing. Det er en del av grunnen til at upatchede sårbarheter forblir et så vedvarende inngangspunkt; selv høyprofilerte feil som den som er detaljert i nylig rapportering om en upatchet Windows null-dag illustrerer hvordan angripere kan utnytte hull som eksisterer lenge før en oppdatering er tilgjengelig. Regulerte selskaper forventes nå å behandle den typen eksponering som et styringsproblem, ikke bare en IT-sak.
Hva dette betyr for deg
Hvis du er kunde, ansatt eller partner i et finansielt tjenesteselskap, er hendelser som dette en påminnelse om at sikkerheten til dataene dine i stor grad avhenger av beslutninger tatt langt over IT-avdelingen. Styrer og toppledelse er nå eksplisitt ansvarlige for cyberresiliens i jurisdiksjoner som Hongkong, noe som over tid bør presse selskaper mot sterkere grunnbeskyttelse: bedre sikkerhetskopieringsrutiner, raskere oppdatering og mer strenge tilgangskontroller.
For enkeltpersoner har de praktiske rådene ikke endret seg mye, men de betyr mer nå. Overvåk kontoer hos ethvert selskap som rapporterer et brudd, vær skeptisk til uventede kommunikasjoner som refererer til kontodetaljer, og vurder kredittovervåking hvis et selskap bekrefter at dine data var en del av en lekkasje. Dobbel utpressing betyr at selv selskaper som gjenoppretter systemene sine raskt fortsatt kan ha dine data i omløp, så ikke anta at en løst ransomware-hendelse betyr at informasjonen din er trygg.
Viktige lærdommer
Orova-bruddene og SFCs bot illustrerer sammen hvor ransomware-ansvarlighet er på vei: regulatorer er ikke lenger fornøyd med at selskaper bare gjenoppretter seg etter et angrep. De vil ha bevis på at selskapene tok rimelige grep for å forhindre et i utgangspunktet. For lesere forblir de praktiske trinnene de samme uavhengig av jurisdiksjon: spør enhver finansinstitusjon du jobber med om deres varslingsrutiner for brudd, aktiver flerfaktorautentisering der det tilbys, og behandl ethvert bruddvarsel som en oppfordring til å gjennomgå din egen kontoaktivitet i stedet for en rutineformalitet.
