Hva skjedde da ShinyHunters brøt seg inn på Clops lekkasjeside

Ifølge en reportasje av Lawrence Abrams for DataBreaches.Net, brøt utpressingsgruppen ShinyHunters seg inn på lekkasjesiden som drives av Clop-løsepengegjengen (også skrevet som Cl0p). ShinyHunters defacerte Clops Tor-baserte lekkasjeportal og truer angivelig med å utpresse selve løsepengeoperasjonen. I praksis har en gruppe som er best kjent for å stjele og selge bedriftsdata, vendt samme taktikk mot en av de mest produktive løsepengeoperatørene som er aktive i dag.

Clop har vært ansvarlig for noen av de største masseutpressingskampanjene de siste årene, og har ofte utnyttet sårbarheter i filoverføringsprogramvare for å stjele data fra hundrevis av organisasjoner samtidig, i stedet for å kryptere systemene deres. Lekkasjesiden deres har fungert som det offentlige presspunktet der Clop navngir ofre og truer med å publisere stjålne filer hvis løsepenger ikke betales. At den samme infrastrukturen blir kompromittert og defacert av en annen kriminell gruppe, er en uvanlig vri, og det understreker en bredere trend: løsepengegjenger som hacker hverandre, er i ferd med å bli et gjenkjennelig mønster i undergrunnen, ikke bare en sjelden kuriositet.

Hvorfor rivaliserende utpressingsgrupper vender seg mot hverandre

Løsepenge- og datautpressingsoperasjoner drives som uformelle virksomheter. De konkurrerer om affiliates, tilgangsmeglere og rykte på kriminelle fora, og de vokter lekkasjesidene og forhandlingsportalene sine som kjerneaktiva. Når en gjeng bryter seg inn i en annens infrastruktur, kan det tjene flere formål samtidig: ydmyke en rival, forstyrre operasjonene deres, stjele offerdata for videresalg, eller rett og slett demonstrere teknisk dominans for å bygge gatekredibilitet blant andre kriminelle.

ShinyHunters har en historikk med storskala datatyveri og egen aktivitet på offentlige lekkasjesider, så innbruddet i Clops side passer inn i et mønster der ett utpressingsmerke hevder seg over et annet. For forsvarere og forskere kan disse sammenstøtene av og til by på en lysside, ved å avsløre interne gjengdetaljer eller destabilisere en aktiv trusselaktør. Men for menneskene hvis personlige og bedriftsrelaterte data allerede er stjålet av Clop, slår situasjonen motsatt vei.

Hva dette betyr for ofre hvis data allerede er stjålet

Hvis organisasjonen din, eller din personlige informasjon, tidligere har blitt fanget opp i en Clop-datatyverikampanje, er denne hendelsen en påminnelse om at stjålne data ikke holder seg innesperret når de først har forlatt et offers nettverk. De kan kopieres, videreselges eller redistribueres av andre trusselaktører lenge etter det opprinnelige bruddet. Når en kriminell gruppe kompromitterer en annens lekkasjeside, er det ingen måte å verifisere hvem som nå har kopier av disse dataene, hvordan de kan bli pakket om, eller om de vil dukke opp på helt nye plattformer atskilt fra det opprinnelige utpressingsforsøket.

Dette er den praktiske risikoen bak den redaksjonelle vinklingen her: data som en løsepengegjeng stjal og truet med å lekke, kan ende opp med å sirkulere langt bredere og mer uforutsigbart enn den opprinnelige trusselen antydet. Ofre som forhandlet, betalte eller bare ventet ut en opprinnelig Clop-trussel, kan ikke anta at saken er avsluttet bare fordi den første lekkasjesiden ble stille eller tatt ned. En rivaliserende gruppe som får tilgang til den samme infrastrukturen, selv kortvarig, legger til et nytt lag med usikkerhet om hvor dataene har beveget seg.

Hvordan sjekke om dataene dine er eksponert, uavhengig av hvem som har dem

Fordi stjålne data kan skifte hender mellom kriminelle grupper, er det mest pålitelige forsvaret ikke å prøve å spore hvilken gjeng som for øyeblikket kontrollerer en gitt lekkasjeside. Fokuser i stedet på å overvåke din egen eksponering direkte. Bruk anerkjente tjenester for bruddvarsler for å sjekke om e-postadressene eller kontoene dine har dukket opp i kjente lekkasjer, aktiver tofaktorautentisering overalt hvor det tilbys, og behandle enhver uventet forespørsel om tilbakestilling av passord eller innloggingsvarsler som et signal som er verdt å undersøke umiddelbart.

Hvis en passordbehandler, nettleser eller enhet noen gang flagger at en av påloggingsdetaljene dine har dukket opp i en lekkasje, er det verdt å forstå nøyaktig hva den advarselen betyr og hvordan du skal reagere. Vår guide om hva et varsel om at et passord har dukket opp i en lekkasje betyr går gjennom trinnene du bør ta, fra å endre det berørte passordet til å sjekke for gjenbrukte påloggingsdetaljer på tvers av andre kontoer. Det rådet gjelder like mye når data dukker opp igjen gjennom et sekundært brudd, som dette med ShinyHunters og Clop, som ved den opprinnelige hendelsen.

Viktige punkter

ShinyHunters' brudd på Clops lekkasjeside er et tydelig eksempel på løsepengegjenger som hacker hverandre, og det illustrerer hvor ustabilt og uforutsigbart det kriminelle økosystemet rundt stjålne data egentlig er. Ofre kan ikke kontrollere hva som skjer med informasjonen deres når den først har forlatt et selskaps nettverk, men de kan kontrollere hvor raskt de reagerer på tegn på eksponering. Sjekk regelmessig om påloggingsdetaljene dine har dukket opp i kjente lekkasjer, oppdater og varier passordene dine, og handle umiddelbart på enhver lekkasjevarsel du mottar, uavhengig av hvilken kriminell gruppe som for øyeblikket tar æren for bruddet.