Gdy dochodzi do cyberataku na dużego operatora logistycznego, pierwsze pytanie zwykle dotyczy łańcuchów dostaw. W niedawnym komentarzu zapytano, czy cyberatak na DP World zagroził australijskiemu handlowi, a odpowiedź brzmiała: prawdopodobnie nie, tym razem. Ten nagłówek jest pocieszający pod względem gospodarczym. Pozostawia jednak otwarte drugie pytanie, istotne dla zwykłych ludzi: co dzieje się z danymi, gdy napastnicy dostaną się do wnętrza dużej organizacji? Ten przewodnik wykorzystuje incydent z DP World jako studium przypadku, aby wyjaśnić podwójne wymuszenie w ramach ransomware prostymi słowami.

Co wydarzyło się w ataku na DP World

Źródłowy komentarz przedstawia incydent z DP World jako część szerszego wzrostu ransomware. Wskazuje na ataki powiązane z płodnymi gangami cyberprzestępczymi, w tym REvil i, ostatnio, LockBit. Jego główne pytanie dotyczy ekspozycji handlu narodowego, a wniosek jest taki, że ryzyko dla australijskiego handlu było prawdopodobnie ograniczone w tej konkretnej sytuacji.

Fragment dostępny dla nas nie zawiera technicznych szczegółów włamania, więc nie będziemy spekulować, w jaki sposób napastnicy weszli, co zabrali ani kto jest odpowiedzialny. Komentarz dostarcza natomiast jasnego opisu, jak zwykle działa ten typ ataku. Ten opis jest użyteczną częścią dla czytelników.

Podwójne wymuszenie w ramach ransomware wyjaśnione

Tradycyjny ransomware był prosty: przestępcy szyfrowali pliki organizacji i żądali zapłaty za ich odblokowanie. Jeśli ofiara miała dobre kopie zapasowe, często mogła przywrócić systemy i odmówić zapłaty.

Jak opisuje to komentarz, nowoczesny atak zwykle przebiega w dwóch etapach:

  1. Dane są wyodrębniane. Napastnicy kopiują dane z systemów organizacji.
  2. Dane stają się niedostępne. Oryginalne pliki są następnie zazwyczaj szyfrowane, aby pracownicy i klienci nie mogli z nich korzystać.

Organizacja otrzymuje wtedy żądanie okupu za „odblokowanie" danych, często płatne w kryptowalucie.

Podwójne wymuszenie to trend, który zmienił rachunek. Ponieważ dane zostały skopiowane przed zablokowaniem, napastnicy dysponują drugim źródłem dźwigni. Nawet jeśli ofiara przywróci wszystko z kopii zapasowych, przestępcy nadal mogą grozić publikacją lub sprzedażą tego, co zabrali. Płacenie za odszyfrowanie i płacenie za milczenie stają się dwiema odrębnymi presjami na tę samą ofiarę.

Dlatego pytanie o handel DP World i pytanie o bezpieczeństwo osobiste są różne. Organizacja może kontynuować działalność, a gospodarka może zignorować zakłócenia, podczas gdy skradzione dane wciąż spoczywają w rękach przestępców.

Dla kontekstu na temat ludzi stojących za tymi operacjami, nasz raport o szwajcarskim sądzie skazującym ukraińskiego dewelopera na 13 lat za Nefilim pokazuje, że deweloperzy ransomware mogą ostatecznie ponieść realne konsekwencje, choć sprawa sięga ataku z 2020 roku — przypomnienie, jak wolno porusza się sprawiedliwość w porównaniu z tym, jak szybko rozprzestrzeniają się szkody.

Co skradzione dane oznaczają dla jednostek

Większość ludzi nigdy nie będzie bezpośrednim celem gangu ransomware. Ale duże organizacje przechowują dane o klientach, pracownikach i partnerach, i to właśnie one trafiają na stół w ataku z podwójnym wymuszeniem.

Ryzyko dla ciebie rzadko jest natychmiastowe. Zazwyczaj narasta z czasem:

  • Wyciekłe rekordy są ponownie wykorzystywane. Gdy dane osobowe krążą na forach przestępczych, mogą być łączone z innymi wyciekami, aby zbudować pełniejszy profil ciebie.
  • Phishing staje się bardziej przekonujący. Wiadomość wykorzystująca twoje prawdziwe imię i nazwisko, pracodawcę lub dane konta jest znacznie trudniejsza do rozpoznania jako fałszywa.
  • Dokumenty tożsamości są szczególnie wrażliwe. W przeciwieństwie do hasła, nie możesz po prostu zmienić zeskanowanego prawa jazdy. Rzekomy wykaz 153 milionów skanów praw jazdy powiązanych z IDScan.net jest dobrym przykładem tego, jak wyciekłe dane osobowe mogą tworzyć trwałe ryzyko, nawet gdy sama informacja jest wciąż oceniana.

Ataki mogą mieć również skutki wykraczające poza dane. Gdy rząd celowo wyłączył dziesiątki systemów po incydencie, co opisano w naszym artykule o Mołdawii wyłączającej 82 usługi publiczne, pokazało to, jak zakłócenia i ekspozycja danych mogą wystąpić razem.

Praktyczne kroki, aby zmniejszyć swoją ekspozycję

Nie możesz powstrzymać firmy, z którą masz do czynienia, przed naruszeniem bezpieczeństwa. Możesz ograniczyć szkody, jakie wyciek wyrządzi tobie.

  • Używaj unikalnego hasła do każdego konta. Menedżer haseł czyni to realnym. Jeśli jedna usługa wycieknie, pozostałe pozostają bezpieczne.
  • Włącz uwierzytelnianie wieloskładnikowe, zwłaszcza dla poczty e-mail, bankowości i wszelkich kont powiązanych z twoją tożsamością.
  • Traktuj nieoczekiwane wiadomości z podejrzliwością. Jeśli e-mail lub SMS wspomina o niedawnym naruszeniu, samodzielnie wejdź na oficjalną stronę organizacji, zamiast klikać w link.
  • Udostępniaj mniej. Przekazuj organizacjom tylko te dane, których naprawdę potrzebują, i usuwaj stare konta, których już nie używasz.
  • Obserwuj swoje konta. Regularnie sprawdzaj wyciągi bankowe i z karty, i rozważ zamrożenie raportu kredytowego lub alert, jeśli twój kraj to oferuje.
  • Nigdy nie zakładaj, że zawiadomienie o naruszeniu jest nieszkodliwe. Jeśli poinformowano cię, że twoje dane były zaangażowane, zmień odpowiednie hasła i przez kolejne miesiące bądź czujny na ukierunkowane oszustwa.

Co to oznacza dla ciebie

Pytanie z nagłówka o DP World dotyczyło tego, czy handel był zagrożony, a odpowiedź, według komentarza, brzmiała: prawdopodobnie nie tym razem. Dla jednostek trwalsza lekcja dotyczy danych. W ramach podwójnego wymuszenia przywrócenie systemów nie cofa kradzieży. Twoje informacje mogą pozostawać w obiegu długo po tym, jak organizacja się pozbiera, a cykl informacyjny pójdzie dalej.

To nie jest powód do alarmu. To powód, by założyć, że niektóre z twoich danych w końcu gdzieś zostaną ujawnione, i skonfigurować swoje konta tak, aby ta ekspozycja była do przetrwania.

Najważniejsze wnioski

Po wyjaśnieniu podwójnego wymuszenia w ramach ransomware wzorzec jest jasny: najpierw ukraść, potem zaszyfrować, następnie wywierać podwójną presję na ofiarę. Wzmocnij swoje nawyki teraz, a nie po otrzymaniu zawiadomienia o naruszeniu. Przejrzyj swoje hasła, włącz uwierzytelnianie wieloskładnikowe i bądź ostrożny wobec wiadomości, które wydają się wiedzieć o tobie zbyt wiele. Aby bliżej przyjrzeć się, jak wyciekłe rekordy pozostają w obiegu, przeczytaj nasze omówienie roszczenia IDScan.net, a dla kontekstu na temat podmiotów stojących za ransomware zapoznaj się z naszym raportem o wyroku w sprawie Nefilim.