Fałszywa grupa „Ransom Busters” oszukuje ofiary oprogramowania ransomware

Fałszywa „pomoc”, która pogarsza sprawę

Gdy firma pada ofiarą ransomware, instynkt podpowiada, aby jak najszybciej znaleźć pomoc. To właśnie tę pilność wydaje się wykorzystywać grupa nazywająca siebie „Ransom Busters”. Według badań firmy bezpieczeństwa GuidePoint grupa ta wtrąca się w trwające ataki ransomware, przedstawiając się jako niezależna usługa odzyskiwania danych, która potrafi złamać szyfrowanie i przywrócić skradzione pliki.

Haczyk jest taki, że Ransom Busters wcale nie jest legalną firmą zajmującą się odzyskiwaniem danych. Badacze uważają, że grupa jest prawdopodobnie powiązana z samą operacją ransomware lub przynajmniej działa z nią w porozumieniu. Grupa twierdzi, że włamała się do paneli sterowania operacji ransomware-jako-usługa (RaaS), informując ofiary, że może dostarczyć klucze deszyfrujące na własnych warunkach. W rzeczywistości cały układ wydaje się zaprojektowany tak, aby przechwytywać lub przekierowywać płatności okupu, co oznacza, że ofiary, które myślą, że mają do czynienia z usługą ratunkową, mogą po prostu płacić tym samym przestępcom dwukrotnie albo płacić pośrednikowi, który nie ma zamiaru niczego przywracać.

Dlaczego to oszustwo działa tak dobrze

Odzyskiwanie danych po ataku ransomware to naprawdę niejasna przestrzeń. Istnieją legalne firmy zajmujące się reagowaniem na incydenty, ubezpieczyciele cybernetyczni i negocjatorzy, a ofiary często słyszą od dobrze nastawionych doradców, aby skorzystały z profesjonalnej pomocy zamiast negocjować samodzielnie. To właśnie ten legalny ekosystem sprawia, że oszustwo takie jak Ransom Busters jest skuteczne. Spanikowany zespół IT, który już zmaga się z zablokowanymi systemami i tykającym zegarem od pierwotnego atakującego, ma niewielkie możliwości weryfikacji, kto znajduje się po drugiej stronie wiadomości e-mail lub czatu oferującego pomoc.

To nie pierwszy raz, kiedy przestępcy wykorzystują desperację ofiar po naruszeniu danych. Fałszywe usługi „odzyskiwania danych” i „czyszczenia po naruszeniu” od lat krążą wokół firm i osób prywatnych, często obiecując usunięcie wyciekłych danych z internetu lub wynegocjowanie niższego okupu, tylko po to, by zniknąć z opłatą z góry lub, jak w tym przypadku, przekazać płatność bezpośrednio atakującym. To, co wyróżnia Ransom Busters, to pozorny bezpośredni związek z samą operacją ransomware, co w praktyce tworzy drugą warstwę monetyzacji nałożoną na pierwotną próbę wymuszenia.

Konsekwencje dla prywatności wykraczające poza zapłatę okupu

Aspekt finansowy przyciąga najwięcej uwagi, ale jest tu również wymiar prywatności, który jest równie ważny. Ataki ransomware często wiążą się z kradzieżą danych obok szyfrowania, co oznacza, że dane klientów, akta pracownicze lub poufne dokumenty biznesowe są już wykradzione, zanim w ogóle pojawi się notatka z okupem. Gdy fałszywa grupa odzyskująca dane wtrąca się w negocjacje, zyskuje dodatkowy wgląd w to, jakie dane zostały skradzione, kim jest organizacja-ofiara i jak skłonna jest ona zapłacić, aby problem zniknął.

Dla osób, których dane osobowe znajdują się w systemach naruszonej firmy, to oszustwo dodaje kolejną warstwę niepewności. Już teraz trudno jest wiedzieć, czy firma, która padła ofiarą ransomware, zapłaciła okup, odzyskała dane w czysty sposób, czy też po cichu negocjowała z oszukańczym pośrednikiem, który nie miał żadnych realnych możliwości ochrony czegokolwiek. Jeśli Twoje dane były częścią systemów dotkniętej organizacji, wskazówki zawarte w Ofiara naruszenia danych w 2026 roku? Oto Twój plan odzyskiwania są nadal najbardziej niezawodną drogą naprzód: zakładaj ekspozycję, monitoruj swoje konta i podejmuj kroki, aby ograniczyć dalsze szkody, niezależnie od tego, jak sama firma poradziła sobie z incydentem.

Co to oznacza dla Ciebie

Większość czytelników nigdy nie będzie negocjować bezpośrednio z gangiem ransomware, ale lekcja płynąca z Ransom Busters ma zastosowanie szerzej: każdy, kto oferuje „naprawienie” naruszenia lub ataku cybernetycznego po fakcie, zasługuje na wnikliwą kontrolę, zwłaszcza jeśli to on kontaktuje się pierwszy, a nie odwrotnie. Legalne firmy reagowania na incydenty są zazwyczaj sprowadzane przez własny zespół ds. bezpieczeństwa organizacji-ofiary, dział prawny lub dostawcę ubezpieczeń cybernetycznych, a nie przez nieproszony kontakt z deklaracją wewnętrznego dostępu do systemów atakującego.

Jeśli pracujesz w IT, bezpieczeństwie lub kadrze kierowniczej organizacji, która doświadczyła zdarzenia ransomware, zweryfikuj każdego dostawcę usług odzyskiwania danych niezależnymi kanałami przed nawiązaniem współpracy i zaangażuj organy ścigania lub znaną firmę reagowania na incydenty, zamiast przyjmować pomoc, która pojawia się w trakcie kryzysu. Jeśli jesteś osobą prywatną zaniepokojoną tym, że Twoje dane mogły zostać objęte naruszeniem ransomware w firmie, z której korzystasz, priorytet jest taki sam jak w przypadku każdego naruszenia: zmień powtarzane hasła, włącz uwierzytelnianie wieloskładnikowe i obserwuj swoje konta finansowe oraz raporty kredytowe pod kątem nietypowej aktywności.

Wyprzedzając oszustwa związane z odzyskiwaniem po ransomware

Sprawa Ransom Busters przypomina, że ataki ransomware rzadko kończą się na jednym punkcie decyzyjnym. Faza wymuszenia może zostać zastąpiona drugą falą wykorzystania w przebraniu pomocy, a odróżnienie prawdziwego wsparcia w odzyskiwaniu danych od oszustwa związanego z odzyskiwaniem po ransomware wymaga takiej samej ostrożności, jaką zastosowałbyś wobec każdej nieproszonej oferty podczas kryzysu. Organizacje powinny wbudować weryfikację dostawców w swoje plany reagowania na incydenty jeszcze przed atakiem, a nie w trakcie jego trwania. Dla zwykłych użytkowników najbezpieczniejszym posunięciem jest traktowanie każdego powiadomienia o naruszeniu, niezależnie od tego, czy pochodzi od zaufanej firmy, czy od nieznajomego obiecującego odwrócenie szkód, jako sygnału do zabezpieczenia własnych kont, zamiast czekania, aż ktoś inny to naprawi.