En sveitsisk domstol har idømt en 52 år gammel ukrainsk mann nærmere 13 års fengsel for utviklingen av Nefilim-løsepenviruset, og avslutter dermed en sak som går tilbake til et cyberangrep mot Stadler Rail i 2020. Straffeutmålingen markerer en av de mer betydningsfulle løsepenvirus-sakene som har blitt ført for en europeisk domstol, og den gir et nyttig innblikk i hvordan løsepenvirus-operasjoner faktisk fungerer, og hva som skjer når ofrene nekter å betale.

Fra skadevarehendelse til løsepenvirusdom

Da Stadler Rail ble rammet i 2020, brukte selskapet først ikke ordet «løsepenvirus». På det tidspunktet beskrev det hendelsen kun som involverende skadevare som «mest sannsynlig førte til en datalekkasje», og sa at angriperne forsøkte å presse ut en stor sum penger, med trussel om å offentliggjøre stjålne filer dersom løsepengene ikke ble betalt. Stadler nektet å betale den gang, akkurat som de gjorde etter en separat hendelse i år. Nektelsen la grunnlaget for en strafferettslig etterforskning som til slutt identifiserte personen bak Nefilim-løsepenviruskoden som ble brukt i angrepet.

Nefilim var en del av en bølge av løsepenvirus-familier som kombinerte filkryptering med datatyveri, en taktikk ofte kalt dobbel utpressing. I stedet for bare å låse offerets systemer, ville operatørene først eksfiltrere sensitive filer, og deretter true med å publisere dem offentlig dersom offeret ikke betalte. Denne tilnærmingen la ekstra press på organisasjoner, siden selv en solid sikkerhetskopistrategi ikke kunne beskytte mot de omdømmemessige og regulatoriske konsekvensene av en offentlig datalekkasje. Vår tidligere dekning av løsepenvirus-rettssaken i Zürich beskrev i detalj hvordan påtalemyndighetene bygget saken sin, og krevde en 12-års dom før retten til slutt idømte nesten 13 års fengsel.

Hvorfor denne saken er viktig utenfor Sveits

Løsepenvirus-saker som ender med lange fengselsstraffer er fortsatt relativt sjeldne, hovedsakelig fordi mange operatører arbeider fra jurisdiksjoner som gjør utlevering eller arrestasjon vanskelig. Denne saken er bemerkelsesverdig nettopp fordi den resulterte i en identifiserbar person, en strafferettssak og en betydelig dom avsagt av en sveitsisk domstol. Den viser at politi og påtalemyndigheter under visse omstendigheter kan spore løsepenviruskode tilbake til utvikleren og holde den personen ansvarlig flere år etter det opprinnelige angrepet.

Saken forsterker også et mønster som dukker opp gang på gang i løsepenvirushendelser: ofre som nekter å betale, møter ikke nødvendigvis verre utfall, og å betale løsepenger gir ingen garanti for at stjålne data ikke lekkes likevel. Stadler Rails beslutning om ikke å betale i 2020, og igjen i år, samsvarer med råd fra sikkerhetsforskere og politimyndigheter som generelt fraråder å finansiere løsepenvirus-operasjoner, siden betaling ikke angrer et brudd og ofte finansierer videre kriminell aktivitet.

Hva dette betyr for deg

For de fleste lesere er ikke denne saken en direkte trussel, men den er en påminnelse om hvordan løsepenvirus-operasjoner faktisk fungerer bak kulissene. Angrep som det mot Stadler Rail starter vanligvis med stjålne påloggingsopplysninger, phishing-e-poster eller utnyttede programvaresårbarheter, ikke en uovervinnelig kraft. Personene som skriver og distribuerer løsepenviruskode, er mennesker som i noen tilfeller kan identifiseres, straffeforfølges og dømmes, selv flere år etter at et angrep har funnet sted.

Hvis du jobber i en organisasjon som håndterer sensitive data, understreker denne saken viktigheten av å anta at enhver vellykket inntrengning kan innebære datatyveri, ikke bare kryptering. Sikkerhetskopistrategier alene er ikke nok. Organisasjoner trenger hendelsesresponsplaner som tar høyde for muligheten for lekke filer, og de må bestemme sitt standpunkt til løsepengbetalinger før et angrep skjer, ikke under kaoset av ett. For enkeltbrukere er lærdommen lik det vi lenge har anbefalt: sterke, unike passord, flerfaktorautentisering og forsiktig håndtering av e-postvedlegg og lenker forblir de mest effektive forsvarene mot de opprinnelige tilgangsteknikkene som gjør løsepenvirusangrep mulige i utgangspunktet.

Viktige punkter

Denne straffeutmålingen viser at løsepenvirus-operatører ikke er urørlige, og at tålmodig etterforskningsarbeid til slutt kan koble et stykke ondsinnet kode til personen som skrev den. For organisasjoner forsterker saken verdien av å nekte løsepengekrav og forberede seg på scenarier med datalekkasjer i stedet for å anta at kryptering er den eneste risikoen. For enkeltpersoner er det en påminnelse om at løsepenvirusangrep nesten alltid starter med en hverdagslig sikkerhetssvikt, et svakt passord, et uoppdatert system eller et vellykket phishing-forsøk, alt som kan forebygges med grunnleggende sikkerhetshygiene. Etter hvert som flere løsepenvirus-saker finner veien gjennom rettssystemet, kan vi forvente fortsatt gransking av hvordan disse operasjonene finansieres, drives og til slutt demonteres.