«Ransom Busters»-svindel retter seg mot løsepengevirus-ofre

En ny vri på en gammel utpressingsmanus

Løsepengevirus-angrep er stressende nok uten at en andre rovdyr dukker opp i bildet. Ifølge nyere rapportering retter en trusselaktør som opererer under navnet «Ransom Busters» seg nå mot organisasjoner som allerede har blitt ofre for løsepengevirus – denne gangen ved å utgi seg for å være en gjenopprettingstjeneste. Aktøren hevder å kunne gjenopprette krypterte filer, og tilbyr det som ser ut som en livline for selskaper som desperat ønsker å få dataene sine tilbake uten å betale løsepenger.

Men tilbudet er ikke det det gir seg ut for å være. I stedet for å fungere som et uavhengig gjenopprettingsfirma, er Ransom Busters angivelig knyttet til selve løsepengevirus-operasjonen, og fungerer som en partner som tjener på selve angrepene det hevder å hjelpe med å løse. For ofre som allerede håndterer kaoset etter et brudd, legger denne typen bedrag en farlig ny risikodimensjon oppå en allerede vanskelig situasjon.

Slik fungerer det villedende gjenopprettingstilbudet

Kjernen i ordningen bygger på tillit og hastverk – to ting løsepengevirus-ofre har lite av. Når et selskaps systemer er låst og filer er kryptert, er beslutningstakere ofte i full sving med å finne en levedyktig vei til gjenoppretting. En gruppe som presenterer seg som en spesialist på datagjenoppretting – spesielt en som ser ut til å ha innsidekunnskap om angrepet – kan fremstå som et troverdig alternativ.

Den oppfattede troverdigheten er fellen. Som beskrevet i tidligere dekning av Ransom Busters-ordningen, ser aktøren ut til å utnytte sin posisjon som løsepengevirus-partner for å presse seg inn i forhandlingsprosessen, og effektivt omdirigere ofre mot betalinger som til syvende og sist gagner det samme kriminelle økosystemet som står bak det opprinnelige angrepet. I stedet for å være en uavhengig tredjepart som jobber for å redusere skade, kan ofre stå overfor en relansert arm av angriperen, forkledd som en løsning i stedet for en fortsettelse av problemet.

Denne taktikken utnytter et reelt gap i landskapet for håndtering av løsepengevirus-angrep. Seriøse selskaper for hendelsesrespons og datagjenoppretting finnes, og desperate organisasjoner søker ofte ekstern hjelp når interne IT-team er overveldet. Ransom Busters ser ut til å kapitalisere på dette legitime behovet, og bruker det som dekke for å fortsette å presse penger ut av ofre som tror de forhandler med en nøytral part.

Hvorfor dette betyr noe for personvern

Utover den umiddelbare økonomiske risikoen reiser ordninger som Ransom Busters alvorlige personvernbekymringer. Løsepengevirus-angrep involverer ofte datatyveri i tillegg til kryptering, noe som betyr at sensitive kunderegistre, ansattinformasjon og intern kommunikasjon allerede kan være i angriperens hender. Når en offerorganisasjon engasjerer seg med en falsk gjenopprettingstjeneste, kan den gi fra seg enda mer informasjon – inkludert detaljer om nettverket sitt, dataene sine og betalingsvilligheten – som alle kan brukes til å øke presset eller videreselge tilgang til andre kriminelle grupper.

Det finnes også et forsterkende tillitsproblem. Løsepengevirus-ofre må allerede bekymre seg for om angripere vil holde løfter om å slette stjålne data etter at løsepenger er betalt – en garanti som aldri har vært pålitelig i utgangspunktet. Når en falsk gjenopprettingstjeneste legges oppå denne dynamikken, betyr det at ofre nå må verifisere ikke bare angriperens påstander, men også troverdigheten til alle som tilbyr hjelp – i nøyaktig det øyeblikket de er minst rustet til å utføre den typen due diligence.

Hva dette betyr for deg

Hvis organisasjonen din noen gang blir rammet av løsepengevirus, kan presset for å finne en rask løsning skyggelegge dømmekraften. Ransom Busters-saken er en påminnelse om at ikke alle tilbud om hjelp er ekte, selv de som ser ut til å komme utenfra selve angrepet. Før du engasjerer en gjenopprettingstjeneste, bør du verifisere identiteten uavhengig, sjekke for en verifiserbar forretningshistorie, og involvere betrodde hendelsesresponseksperter eller politi i stedet for å stole utelukkende på uoppfordret henvendelse som dukker opp under eller umiddelbart etter et angrep.

Dette understreker også en bredere personvernleksjon som gjelder langt utover løsepengevirus. Jo mindre sensitiv data en organisasjon lagrer eller eksponerer unødvendig, desto mindre mål utgjør den. Solide sikkerhetskopieringsrutiner, nettverkssegmentering og klare beredskapsplaner reduserer innflytelsen angripere – og nå tilsynelatende også falske gjenopprettingsaktører – har over ofre i utgangspunktet.

Konkrete tiltak

• Behandle uoppfordrede gjenopprettingstilbud med skepsis, spesielt de som dukker opp umiddelbart etter et løsepengevirus-angrep.
• Verifiser ethvert hendelsesrespons- eller gjenopprettingsfirma gjennom uavhengige kanaler før du deler nettverksdetaljer eller foretar betalinger.
• Involver politi og etablerte cybersikkerhetseksperter i stedet for å forhandle alene med ukjente parter.
• Oppretthold offline, testede sikkerhetskopier slik at gjenoppretting ikke avhenger av å stole på en angriper eller en mellommann.
• Hold deg oppdatert på utviklende løsepengevirus-taktikker, siden ordninger som Ransom Busters viser hvor raskt utpressingsmetoder kan tilpasse seg.

Løsepengevirus forblir en alvorlig trussel, og svindler som Ransom Busters viser at faren ikke alltid slutter når det opprinnelige angrepet gjør det. Å være forsiktig, verifisere alle påstander og støtte seg på betrodde sikkerhetsressurser er de beste forsvar mot å bli offer to ganger.