En banks veddemål om kriminell ærlighet

Når det gjelder løsepengevirus, er en av de merkeligste delene av hele den kriminelle forretningsmodellen løftet som følger etter betaling: gi oss pengene, så skal vi slette dine stjålne data. River Financial Corporation, morselskapet til Alabama-baserte River Bank & Trust, ser ut til å ha tatt det løftet for pålydende. I en Form 8-K-melding til Securities and Exchange Commission opplyste banken at den «iverksatte tiltak for å forsøke å undertrykke de berørte dataene, herunder innhenting av forsikringer» fra angriperne, i praksis en skriftlig bekreftelse på at den stjålne informasjonen ville bli destruert. Bemerkelsesverdig nok bekrefter ikke meldingen eksplisitt om River Bank faktisk betalte løsepenger, selv om slike «forsikringer» fra løsepengevirusoperatører vanligvis bare oppnås etter at penger har skiftet hender.

Denne offentliggjøringen faller på et ubeleilig tidspunkt for alle som er tilbøyelige til å stole på et datadeleteløfte fra løsepengevirusverdenen. Politimyndigheters nedstengning av LockBits løsepengevirusinfrastruktur avslørte at ofrenes data ble oppbevart av gruppens infrastruktur selv i tilfeller der ofrene allerede hadde betalt utpressingskravet. Med andre ord: avkrysningsboksen merket «data slettet», som så mange selskaper baserer seg på for å avslutte hendelsen og berolige tilsynsmyndigheter, kunder og sine egne styrer, var – i hvert fall i noen dokumenterte saker – rett og slett falsk.

Hvorfor et datadeleteløfte fra løsepengeangrep sjelden holder mål

Hele konseptet med å betale en løsepengegjeng for datasletning hviler på en åpenbar selvmotsigelse: du ber en kriminell organisasjon, en som brøt seg inn i nettverket ditt og stjal sensitive data i utgangspunktet, om frivillig å gi fra seg et pressmiddel. Det finnes ingen håndhevingsmekanisme, ikke noe revisjonsspor og ingen rettslig mulighet dersom gruppen beholder en kopi, selger den på et undergrunnsforum eller bruker den til en ny utpressingsrunde senere. Sikkerhetsforskere har lenge advart om at «bevis på sletting»-videoer, skjermbilder eller skriftlige uttalelser fra løsepengekriminelle er uverifiserbare av design. Nedstengningen av LockBit ga ganske enkelt konkrete bevis på det mange i sikkerhetsmiljøet allerede hadde antatt.

For en finansinstitusjon har dette enorm betydning. Banker besitter noen av de mest sensitive personopplysningene som finnes, inkludert personnummer, kontoopplysninger og transaksjonshistorikk. Når slike data blir tappet under et inntrenging, gir en kriminells løfte om å slette dem ingen reell beskyttelse til kundene hvis informasjon ble eksponert. Det gir i beste fall et samtalepunkt for en tilsynsmelding.

Hvordan datainnbruddet skjedde

River Banks hendelse oppsto ikke i et vakuum. Ifølge tidligere trusselrapportering var bruddet knyttet til en uautorisert aktør som skaffet seg tilgang via en sårbarhet i en utdatert VPN-protokoll, en detalj som ble utforsket i vår tidligere dekning av løsepengeangrepet mot River Bank & Trust. Utdatert infrastruktur for fjerntilgang er fortsatt en av de vanligste inngangsportene for løsepengegjenger, nettopp fordi den ofte befinner seg i ytterkanten av et nettverk, er lett å skanne etter og hyppig blir oversett i rettingssykluser. Når de først er inne, beveger angripere seg typisk på tvers av systemer, finner verdifulle datalagre og eksfiltrerer informasjon lenge før en løsepengekapsel utløses, noe som betyr at tyveriet ofte skjer godt før noen legger merke til at noe er galt.

Hva dette betyr for deg

Dersom du er kunde hos River Bank & Trust, eller kunde hos en hvilken som helst institusjon som har offentliggjort en løsepengevirushendelse, er den praktiske realiteten denne: ethvert løfte fra angriperne om å slette dine data bør ikke behandles som en sikkerhetsgaranti. Så snart informasjon forlater et selskaps nettverk ved et løsepengeangrep, bør den anses som permanent kompromittert, uansett hvilke forsikringer som senere innhentes. Det betyr at du bør overvåke dine kontoer og kredittrapporter for uvanlig aktivitet, være på vakt mot phishing-forsøk som refererer til reelle kontoopplysninger (en vanlig oppfølgingstaktikk når stjålne bankdata sirkulerer blant kriminelle grupper), og vurdere en kredittfrysing dersom personnummer eller kontonumre var en del av de eksponerte dataene.

For virksomheter og finansinstitusjoner som følger med på denne saken, er lærdommen bredere. Å basere seg på et datadeleteløfte fra løsepengekriminelle som en del av en hendelsesresponsstrategi, for ikke å snakke om å omtale det overfor tilsynsmyndigheter som et avbøtende tiltak, sender feil signal om hvor alvorlig en organisasjon behandler databeskyttelse. Verifiserte sikkerhetskopier, nettverkssegmentering og rask oppdatering av fjerntilgangsinfrastruktur som VPN-gatewayer gjør langt mer for å beskytte kundedata enn noen forsikring presset ut av en kriminell virksomhet noen gang kunne gjøre.

Oppsummering

  • Behandle ethvert løfte fra en løsepengegruppe om å slette stjålne data som uverifiserbart og umulig å håndheve, ikke som en reell beskyttelse.
  • Har du bank i en institusjon som har offentliggjort et datainnbrudd, bør du følge nøye med på kontoutskrifter og kredittrapporter og vurdere kredittfrysing.
  • Vær ekstra forsiktig med phishing-meldinger som refererer til korrekte konto- eller personopplysninger i ukene og månedene etter et offentliggjort innbrudd.
  • Organisasjoner bør prioritere å tette kjente sårbarheter i VPN- og fjerntilgangsløsninger, ettersom utdaterte protokoller forblir en ledende inngangsport for løsepengegjenger.

Ettersom etterforskning av løsepengeangrep fortsetter å avdekke avstanden mellom det kriminelle grupper lover og det de faktisk gjør, bør både forbrukere og selskaper planlegge som om stjålne data aldri virkelig forsvinner, uansett hvilken skriftlig forsikring en løsepengegruppe måtte gi.