En annen type løsepengetrussel

De fleste forestiller seg et løsepengevirusangrep på samme måte: en bedrifts filer låses plutselig, en løsepengekrav dukker opp på skjermen, og IT-avdelingen kjemper for å gjenopprette sikkerhetskopier. Silent Ransom Group, også kjent som Luna Moth, jobber ikke slik i det hele tatt. I stedet for å kryptere noe, stjeler denne gruppen sensitive data direkte, ofte ved å ringe ansatte på telefonen, og truer deretter med å lekke dem med mindre løsepenger betales. Det er ingen ondsinnet programvare som utløses, ingen låst harddisk, og ofte ingen åpenbar teknisk alarmklokke. Bare en telefonsamtale, et bedrageri og et stille datatyveri som ofrene kanskje ikke legger merke til før utpressingskravet ankommer.

Denne endringen er viktig fordi den endrer hva forsvarere må være oppmerksomme på. Tradisjonelt løsepengeforsvar fokuserer i stor grad på å stoppe kryptering: sikkerhetskopier, endepunktdeteksjon, nettverkssegmentering. Silent Ransom Group omgår alt dette ved å rette seg mot det svakeste leddet i de fleste sikkerhetsprogrammer, nemlig menneskelig tillit.

Hvordan angrepet fungerer

Gruppens fremgangsmåte sentrerer seg om sosial manipulering snarere enn programvaresårbarheter. Angripere utgir seg for å være IT-støttepersonale, ofte via telefonsamtaler, for å overbevise ansatte eller helpdesk-personale om å gi fjern tilgang eller overlevere påloggingsinformasjon. Når de først er inne, er målet ikke å spre løsepengevirus over nettverket. Det er å stille lokalisere og eksfiltrere verdifulle filer: klientregistre, finansielle data, rettssaksmateriale eller alt annet som kan forårsake alvorlig skade hvis det blir offentliggjort.

Denne tilnærmingen har vist seg spesielt effektiv mot organisasjoner som besitter store mengder konfidensiell informasjon. Som detaljert i dekningen av Silent Ransom Groups IT-etterligningstaktikk mot advokatfirmaer, har gruppen spesifikt gått etter juridiske virksomheter, som rutinemessig lagrer fusjonsdetaljer, rettssaksstrategi og personlige klientregistre som utenforstående parter ville betale mye for å holde private. Fordi advokatfirmaer ofte håndterer informasjon for flere klienter samtidig, kan et enkelt vellykket inntrengning eksponere et bredt nett av sensitive relasjoner.

De økonomiske konsekvensene kan være betydelige. En dokumentert sak som involverte gruppen, rettet seg mot store advokatfirmaer inkludert Jones Day og WilmerHale, med et løsepengekrav som nådde 13 millioner dollar, ifølge rapportering om Luna Moth-utpressingskampanjen mot Jones Day og WilmerHale. Det tallet understreker hvor lønnsom ren datautpressingsvirksomhet kan være, selv uten at en eneste fil blir kryptert.

Hvorfor dette er en personvernhistorie, ikke bare en sikkerhetshistorie

Krypteringsbasert løsepengevirus er forstyrrende, men det er i bunn og grunn et tilgjengelighetsproblem: systemer går ned til de gjenopprettes. Silent Ransom Groups modell er et konfidensialitetsproblem fra starten av. I det øyeblikket data forlater en organisasjons kontroll, er de eksponert, uavhengig av om løsepenger blir betalt. Ofre står igjen og forhandler ikke for å få systemene tilbake, men for å prøve å forhindre at privat informasjon blir publisert eller solgt.

Denne forskjellen er viktig for alle hvis personopplysninger kan befinne seg i en angrepet organisasjons filer. Klienter hos et rammet advokatfirma, pasienter hos en helseleverandør eller kunder hos enhver virksomhet som lagrer personlige registre, har ingen direkte kontroll over hvor godt den organisasjonen trener personalet sitt til å oppdage en falsk IT-støttesamtale. Angrepet lykkes ikke ved å bryte kryptering eller utnytte en programvaresvakhet, men ved å utnytte et øyeblikk med feilplassert tillit under en tilsynelatende rutinemessig telefonsamtale.

Hva dette betyr for deg

Hvis du jobber i en organisasjon som håndterer sensitive klient-, pasient- eller finansdata, er denne trenden en påminnelse om at tekniske forsvar alene ikke vil stoppe enhver trussel. Telefonbasert sosial manipulering omgår brannmurer og endepunktbeskyttelse fullstendig fordi det retter seg mot mennesker, ikke systemer.

For ansatte er den praktiske lærdommen enkel: legitim IT-støtte trenger sjelden at du gir fjern tilgang eller deler påloggingsinformasjon over en uoppfordret telefonsamtale. Enhver slik forespørsel fortjener uavhengig verifisering gjennom en kjent intern kanal før du handler.

For organisasjoner betyr dette at helpdesk- og støttepersonale trenger eksplisitte protokoller for å verifisere oppringers identitet før de gir tilgang eller tilbakestiller påloggingsinformasjon. Det betyr også overvåking for uvanlige datatilgangsmønstre og store filoverføringer, siden eksfiltrering, ikke kryptering, er det faktiske målet.

For enkeltpersoner hvis informasjon kan være lagret av et advokatfirma, en helseleverandør eller en finansinstitusjon, er det verdt å huske at databeskyttelse ikke bare handler om dine egne vaner. Det avhenger også av sikkerhetskulturen til enhver organisasjon som oppbevarer dine registre.

Viktige punkter

Silent Ransom Groups tilnærming viser at løsepengevirus ikke trenger kryptering for å være farlig. Ved å stole på telefonbasert etterligning og sosial manipulering, har gruppen hentet ut store løsepengekrav fra store organisasjoner, inkludert advokatfirmaer som håndterer svært sensitive klientdata. Å styrke prosedyrer for identitetsverifisering, trene ansatte til å stille spørsmål ved uoppfordrede IT-samtaler og overvåke for uvanlig dataflytting er langt mer effektive forsvar her enn tradisjonelle anti-løsepengeverktøy alene. Etter hvert som utpressingstaktikker utvikler seg bort fra kryptering og mot ren datatyveri, kan årvåkenhet overfor sosial manipulering være viktigere enn noen gang.