Federalni śledczy mieli zidentyfikować kadrę kierowniczą w dwóch odrębnych firmach negocjujących cyberincydenty, które utrzymywały nietypowo bliskie relacje z grupą wymuszeniową ShinyHunters. Według doniesień KrebsOnSecurity podsumowanych przez Security Arsenal, jeden z kadry kierowniczej z siedzibą w USA miał pójść dalej i pomagać w prowadzeniu strony internetowej wykorzystywanej do wywierania presji na ofiary, by płaciły. Zarzut dotyczący strony wymuszeniowej negocjatora okupowego ShinyHunters wciąż pozostaje właśnie tym — zarzutem — ale rodzi trudne pytanie dla każdego, czyje dane znajdują się w firmie, która pewnego dnia może zostać zaatakowana: kto tak naprawdę siedzi po drugiej stronie stołu?

Co śledczy zarzucają negocjatorom w związku z ShinyHunters

Doniesienia mówią, że federalni śledczy, pracując z danymi FBI, zidentyfikowali kadrę kierowniczą w dwóch firmach negocjacyjnych, które miały bliski kontakt z ShinyHunters. Jeden z nich, kadra kierownicza z siedzibą w USA, miał pomagać w prowadzeniu strony, której grupa używała do wywierania presji na ofiary, by płaciły okupy.

Kilka kwestii warto mieć na uwadze. Dostępne podsumowanie nie przedstawia zarzutów, a twierdzenia pochodzą z doniesień o tym, co podejrzewają śledczy. Ani kadra kierownicza, ani ich firmy nie są wymienione z nazwy w materiale, który przejrzeliśmy, więc nie będziemy spekulować o tożsamości. Traktuj to jako rozwijającą się historię i licz się z tym, że szczegóły zmienią się w miarę potwierdzania kolejnych informacji.

Jak działają negocjacje okupowe i strony wymuszeniowe

Gdy firma zostaje dotknięta kradzieżą danych lub atakiem ransomware, często zatrudnia zewnętrzną firmę do obsługi komunikacji z napastnikami. Tacy negocjatorzy zwykle weryfikują, co zostało skradzione, próbują obniżyć żądanie i aranżują płatność, jeśli firma zdecyduje się zapłacić. Ponieważ rozmawiają bezpośrednio z przestępcami, posiadają wrażliwą wiedzę: ile ofiara może sobie pozwolić, jakie dane zabrano i jak pilny jest termin firmy.

Strony wymuszeniowe to narzędzie presji po drugiej stronie. Grupy takie jak ShinyHunters wykorzystują stronę internetową do wymieniania ofiar, grożenia publikacją skradzionych danych i popychania firm ku ugodzie. Strona jest częścią oferty sprzedażowej: im bardziej wiarygodne i przerażające zagrożenie, tym większa szansa, że ofiara zapłaci.

Dlatego ten zarzut ma znaczenie. Jeśli negocjator pomagał także prowadzić stronę presji, ta sama osoba mogłaby teoretycznie być zarówno zaufanym doradcą ofiary, jak i uczestnikiem zagrożenia. To podręcznikowy konflikt interesów, o którym ofiara może nie wiedzieć.

Dlaczego konflikt interesów w reagowaniu na incydenty ma znaczenie

Reagowanie na incydenty opiera się na zaufaniu. Zaattakowana firma przekazuje logi, szczegóły sieci i wrażliwe informacje biznesowe osobom pomagającym jej w odzyskaniu sprawności. Jeśli którykolwiek z tych doradców ma powiązania z napastnikami, kilka rzeczy może pójść nie tak:

  • Dźwignia negocjacyjna może wyciec. Znajomość budżetu lub terminu ofiary pomaga wymuszającemu ustalić cenę.
  • Porada może być stronnicza. Doradca w konflikcie interesów mógłby nakłaniać firmę do zapłaty zamiast odzyskiwania danych w inny sposób.
  • Obsługa danych staje się niepewna. Płatność ma rzekomo kupować usunięcie skradzionych danych, ale — podobnie jak w innych niedawnych przypadkach wymuszeń — nie ma sposobu, by mieć pewność, że dane naprawdę zniknęły.

Dla klientów, pacjentów, studentów lub pracowników, których rekordy znajdują się w zaatakowanej firmie, jest to poza ich kontrolą. Nie wybierasz negocjatora i rzadko dowiadujesz się, kto nim był. W całej branży jest to powód, by domagać się jaśniejszej weryfikacji i ujawniania konfliktów interesów oraz by regulatorzy i ubezpieczyciele przyjrzeli się, jak takie firmy są sprawdzane.

Co to oznacza dla Ciebie

Nie możesz audytować partnerów swoich dostawców w zakresie reagowania na incydenty. Możesz natomiast ograniczyć szkody, jeśli Twoje dane trafią w niepowołane ręce — niezależnie od tego, kto prowadził negocjacje. Zakładaj, że płatność nie gwarantuje zniszczenia Twoich informacji i że skradzione szczegóły mogą zostać wykorzystane w kolejnych oszustwach. Grupy wymuszeniowe i naśladowcy wykorzystują także wieści o naruszeniach: na przykład fałszywy e-mail szantażu seksualnego podszywający się pod ShinyHunters miał rzekomo używać prawdziwych szczegółów naruszenia, by groźby wyglądały wiarygodnie.

Co zrobić, jeśli firma, z której korzystasz, została zaatakowana

Gdy przychodzi zawiadomienie o naruszeniu, działaj, zamiast czekać, aż historia się wyjaśni:

  1. Zmień ponownie używane hasła. Zacznij od zaatakowanej usługi, potem od każdego innego konta, które dzieli to samo hasło. Używaj unikalnego hasła do każdego konta, najlepiej przechowywanego w menedżerze haseł.
  2. Włącz uwierzytelnianie wieloskładnikowe. Gdzie to możliwe, preferuj aplikację uwierzytelniającą lub klucz sprzętowy zamiast SMS-a.
  3. Uważaj na e-maile phishingowe i wymuszeniowe. Podchodź sceptycznie do wiadomości, które powołują się na prawdziwe szczegóły na Twój temat i żądają pieniędzy lub pilnego działania. Nie odpowiadaj, nie klikaj linków ani nie otwieraj załączników. Zamiast tego wejdź bezpośrednio na oficjalną stronę firmy.
  4. Sprawdź samo zawiadomienie. Potwierdź, że pochodzi od firmy kanałem, który możesz zweryfikować, ponieważ napastnicy podszywają się pod powiadomienia o naruszeniach.
  5. Monitoruj swoje konta. Przeglądaj wyciągi bankowe i z kart, i rozważ zastrzeżenie kredytowe, jeśli zawiadomienie mówi o ujawnieniu danych finansowych lub tożsamościowych.

Podsumowanie

Rzekomy związek między negocjatorem okupowym a stroną wymuszeniową ShinyHunters nie jest jeszcze rozstrzygniętą sprawą, ale pokazuje, jak duża część reagowania na naruszenia opiera się na zaufaniu, którego jednostki nie widzą. Dopóki fakty nie zostaną w pełni ustalone, rozsądnym podejściem jest za każdym razem chronić się w ten sam sposób: unikalne hasła, uwierzytelnianie wieloskładnikowe i zdrowa doza sceptycyzmu wobec każdej wiadomości, która opiera się na Twoich wyciekłych danych, by Cię przestraszyć. Rób to po każdym zawiadomieniu o naruszeniu, a zmniejszysz wartość tego, co napastnicy lub ich pośrednicy trzymają.