ExfilSquad: Grupa wymuszająca okup debiutuje, podając 14 ofiar

Nowa nazwa w dziedzinie wymuszeń danych

Dotychczas nieznany aktor zagrożeń, który nazywa siebie ExfilSquad, szybko zyskał miano jednego z częściej komentowanych graczy w dziedzinie wymuszeń danych. Z badań firmy DarkOwl wynika, że grupa ta ujawniła się, zgłaszając przypadki głośnych naruszeń obejmujących Stany Zjednoczone, Wielką Brytanię i inne kraje, pozycjonując się jako poważny nowy uczestnik na i tak już zatłoczonym polu grup hakerskich specjalizujących się w wymuszeniach.

Tym, co wyróżnia ExfilSquad, nie musi być wyrafinowanie. Jest to szybkość i skala. Grupa podobno dała o sobie znać, publikując dużą liczbę zgłoszeń naruszeń w bardzo krótkim czasie, wymieniając Microsoft i Zenith Bank wśród 14 domniemanych ofiar w ciągu jednego dnia. Taki szybki sposób ujawniania jest nietypowy nawet jak na standardy współczesnych grup wymuszających okup, z których wiele stopniowo ogłasza kolejne ofiary, aby zmaksymalizować presję i uwagę mediów.

Jak działa ExfilSquad

W przeciwieństwie do tradycyjnych gangów ransomware, które polegają na szyfrowaniu systemów ofiary i żądaniu okupu za klucz deszyfrujący, grupy zajmujące się wymuszeniami danych, takie jak ExfilSquad, zazwyczaj całkowicie pomijają etap szyfrowania. Zamiast tego koncentrują się na kradzieży danych i grożą ich publikacją lub sprzedażą, jeśli nie zostanie zapłacony okup. Takie podejście staje się coraz powszechniejsze, ponieważ wymaga mniejszych nakładów technicznych niż wdrożenie i utrzymanie ransomware, a jednocześnie daje atakującym znaczną przewagę nad ofiarami, które obawiają się szkód reputacyjnych, kar regulacyjnych lub ujawnienia wrażliwych informacji o klientach i pracownikach.

Fakt, że grupa w swojej pierwszej fali zgłoszeń wymieniła zarówno globalną firmę technologiczną, jak i instytucję finansową, sugeruje, że nie ogranicza się do konkretnego sektora czy obszaru geograficznego. Ta rozległość jest zgodna z tym, co opisują badania DarkOwl: grupa zarzuca szeroką sieć na różne branże i kraje, zamiast specjalizować się w jednym typie celu. Dla organizacji śledzących pojawiające się zagrożenia ten brak wąskiego ukierunkowania może sprawić, że ExfilSquad będzie trudniejszy do przewidzenia, ponieważ nie ma wyraźnego wzorca branżowego, na który można by zwracać uwagę.

Dlaczego to ważne poza nagłówkami

Ważne jest, aby pamiętać, że twierdzenia grup wymuszających okup publikowane na stronach z wyciekami danych lub forach dark webu nie zawsze są niezależnie weryfikowane w momencie ich publikacji. Grupy czasami wyolbrzymiają skalę lub autentyczność skradzionych danych, aby zwiększyć presję na ofiary lub zbudować reputację w kręgach przestępczych. Niemniej jednak nawet niezweryfikowane twierdzenia mogą mieć realne konsekwencje. Gdy nazwa firmy lub osoby pojawi się na stronie grupy publikującej wycieki, sama ta ekspozycja, niezależnie od tego, ile danych ostatecznie okaże się autentycznych, może wywołać zaniepokojenie klientów, kontrolę regulacyjną i szkody reputacyjne.

Dla zwykłych użytkowników internetu pojawienie się nowej grupy wymuszającej okup jest przypomnieniem, że krajobraz naruszeń danych nie jest statyczny. Nowe grupy powstają, zmieniają nazwy lub odrywają się od wcześniejszych operacji na porządku dziennym. Dla konsumentów najważniejsze nie jest śledzenie nazwy każdej nowej grupy, ale zrozumienie, że każda organizacja przechowująca dane osobowe – od banków, przez firmy technologiczne, po rządowe bazy danych – może w każdej chwili stać się celem.

Co to oznacza dla Ciebie

Jeśli jesteś klientem organizacji wymienionej w związku z grupą wymuszającą okup za dane, czy to ExfilSquad, czy inną, praktyczne ryzyko jest takie samo: Twoje dane osobowe, informacje finansowe lub dane logowania mogą zostać ujawnione lub sprzedane. Dotyczy to zarówno sytuacji, gdy roszczenie o naruszeniu jest w pełni zweryfikowane, jak i gdy nie jest, ponieważ atakujący czasami wykorzystują częściowe lub starsze zrzuty danych, aby stworzyć wrażenie nowego wycieku.

Rozwój grup takich jak ExfilSquad podkreśla również szerszy trend w cyberprzestępczości: kradzież danych i wymuszenia stały się odrębnym modelem biznesowym, niezależnym od ataków ransomware, które dominowały na pierwszych stronach gazet w poprzednich latach. Ta zmiana oznacza, że osoby prywatne powinny zakładać, że ich dane mogą już krążyć w jakiejś formie, i odpowiednio dostosować swoje nawyki bezpieczeństwa, zamiast czekać na oficjalne powiadomienia o naruszeniu.

Praktyczne zalecenia

Monitoruj konta powiązane z każdą organizacją, z której korzystasz, a która została wymieniona przez grupę wymuszającą okup, zwracając uwagę na nietypowe próby logowania lub powiadomienia. Używaj unikalnych, silnych haseł do każdego konta, aby pojedyncze naruszenie nie rozprzestrzeniło się na inne, i włącz uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest oferowane. Rozważ monitorowanie zdolności kredytowej lub alerty o oszustwach, jeśli w domniemanym naruszeniu uczestniczą instytucje finansowe. Wreszcie, zachowaj sceptycyzm wobec niechcianych e-maili lub telefonów powołujących się na naruszenie, ponieważ oszuści często wykorzystują wiadomości o prawdziwych incydentach do przeprowadzania kampanii phishingowych. Grupy takie jak ExfilSquad prawdopodobnie nie będą ostatnią nową operacją wymuszającą, która trafi na pierwsze strony gazet, ale proaktywne dbanie o higienę własnych danych pozostaje najbardziej niezawodną obroną, niezależnie od tego, która grupa stoi za kolejnym roszczeniem.