Drugie wymuszenie ukryte wewnątrz pierwszego

Ofiary ransomware już stoją przed niemożliwym wyborem: zapłacić grupie przestępczej lub zaryzykować wyciek skradzionych danych. Teraz, według badaczy z GuidePoint Security, niektóre ofiary stają przed trzecią opcją, o którą nie prosiły. Organizacja nazywająca siebie „Ransom Busters" kontaktuje się z firmami, które właśnie padły ofiarą ransomware, zanim atak stanie się publicznie znany, i oferuje odzyskanie zaszyfrowanych plików oraz usunięcie skradzionych danych za ułamek pierwotnego żądania.

Na papierze ta oferta brzmi jak koło ratunkowe. W praktyce ustalenia GuidePoint sugerują, że to przekręt zbudowany na przestępstwie, które już jest druzgocące. Ktokolwiek stoi za Ransom Busters, wydaje się wiedzieć, że ofiara została już zaatakowana, co silnie sugeruje powiązanie z samą operacją ransomware lub przynajmniej uprzywilejowany dostęp do jej listy ofiar. Ten timing to cały mechanizm oszustwa: działa, ponieważ cel jest przestraszony, zdezorientowany i zdesperowany, szukając jakiegokolwiek wyjścia, które kosztuje mniej niż pierwotne żądanie atakującego.

Jak ten schemat wykorzystuje chaos po ataku

Negocjacje w sprawie ransomware są już mętne. Ofiary rzadko wiedzą na pewno, z kim mają do czynienia, czy skradzione pliki zostały faktycznie usunięte po zapłacie, ani czy zapłata nie zaprosi do ponownego ataku. Ta niepewność to dokładnie ta gleba, w którą wpisuje się Ransom Busters. Udając niezależną firmę zajmującą się odzyskiwaniem danych, a nie szantażystę, ten schemat daje ofiarom fałszywe poczucie, że mają do czynienia z neutralną stroną trzecią, a nie negocjują bezpośrednio z przestępcami.

To nie pierwszy raz, kiedy badacze zwracają uwagę na tę konkretną grupę. Wcześniejsze doniesienia o oszustwie Ransom Busters żerującym na ofiarach ransomware oraz osobny artykuł o fałszywej grupie Ransom Busters oszukującej ofiary ransomware opisywały ten sam schemat: kontakt przed publicznym ujawnieniem, obniżona cena i obietnice usunięcia danych, których nie sposób realistycznie zweryfikować. Najnowsze badania GuidePoint potwierdzają, że to nie jednorazowa próba phishingu, lecz trwający, najwyraźniej dochodowy proceder, który jedzie na grzbiecie legalnych ataków ransomware.

Niewygodna ironia polega na tym, że to oszustwo działa tylko dlatego, że płacenie okupów ransomware stało się na tyle znormalizowane, iż ofiara uzna drugą, niezamówioną prośbę o zapłatę za wiarygodną. Badania Proofpoint już pokazały, że 1 na 3 płacących okup ransomware pada ofiarą ponownie, co oznacza, że organizacje, które płacą raz, są już statystycznie bardziej narażone na drugi atak. Ransom Busters wydaje się wykorzystywać ten sam cykl, tylko z innej perspektywy.

Dlaczego to ma znaczenie wykraczające poza list z żądaniem okupu

Stawka dla prywatności wykracza tutaj poza zmarnowaną zapłatę. Ofiary Ransom Busters to z definicji organizacje, którym już skradziono wrażliwe dane. Każdy dodatkowy kanał komunikacji, który ofiara otwiera, zwłaszcza taki zainicjowany przez niezweryfikowaną stronę twierdzącą, że ma wiedzę o naruszeniu od środka, to kolejna okazja do niewłaściwego obchodzenia się z tymi danymi, ich dalszego ujawnienia lub wykorzystania jako dźwigni. Jeśli ofiara płaci Ransom Busters, wierząc, że jej skradzione pliki zostaną usunięte, nie ma żadnej realnej gwarancji, że cokolwiek faktycznie usunięto. Dane mogą wciąż zostać sprzedane, ujawnione lub zatrzymane na przyszłe wymuszenia.

To wpisuje się w szerszy wzorzec udokumentowany w relacjach o dlaczego gospodarka wymuszeń ransomware przetrwa do 2026 roku: dopóki płacenie pozostaje powszechne, a weryfikacja pozostaje niemal niemożliwa, przestępcy będą znajdować nowe sposoby, aby wcisnąć się w proces płatności. Ransom Busters to po prostu najnowsza odmiana, wykorzystująca tę samą lukę zaufania, która czyni ransomware dochodowym w pierwszej kolejności.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja padnie ofiarą ransomware, traktuj każdą niezamówioną ofertę pomocy w odzyskaniu danych z takim samym sceptycyzmem, jaki zastosowałbyś wobec samego żądania okupu. Legalne firmy zajmujące się reagowaniem na incydenty są angażowane przez Ciebie, a nie odwrotnie, i zazwyczaj nie kontaktują się proaktywnie, zanim atak stanie się publiczny. Wiadomość twierdząca, że ma dostęp do szczegółów Twojego naruszenia, przychodząca podejrzanie szybko, to poważna czerwona flaga, a nie skrót.

Organizacje powinny kierować każdy incydent ransomware przez znanego, zweryfikowanego dostawcę usług reagowania na incydenty lub kontakt z organami ścigania, zamiast angażować się bezpośrednio z kimkolwiek, kto skontaktuje się z nimi pierwszy. Weryfikacja tożsamości, dokumentowanie całej komunikacji i opieranie się presji szybkiego działania to najlepsza obrona przed oszustwem zaprojektowanym tak, by wykorzystać panikę.

Kluczowe wnioski

  • Zachowaj ostrożność wobec każdego, kto oferuje usługi „odzyskiwania" po ransomware i kontaktuje się z Tobą, zanim Twoje naruszenie stanie się publiczne.
  • Nigdy nie zakładaj, że obniżona zapłata gwarantuje usunięcie danych; nie ma wiarygodnego sposobu, aby zweryfikować tę obietnicę.
  • Pracuj wyłącznie z firmami zajmującymi się reagowaniem na incydenty, które Ty lub Twoi doradcy prawni niezależnie zweryfikowaliście.
  • Zgłaszaj podejrzane oferty odzyskiwania danych organom ścigania, ponieważ mogą wskazywać na wiedzę od wewnątrz o pierwotnym ataku.
  • Zrozum, że zapłata jakiejkolwiek stronie w incydencie ransomware — pierwotnemu atakującemu lub innemu — wiąże się z ryzykiem i nie gwarantuje bezpieczeństwa Twoich danych.