Gdy organy ścigania zajrzały za kurtynę

W lutym 2024 r. koalicja międzynarodowych organów ścigania zlikwidowała infrastrukturę stojącą za LockBit, jedną z najbardziej płodnych operacji ransomware w ostatnich latach. Gdy śledczy uzyskali dostęp do systemów LockBita, znaleźli więcej niż tylko dowody działalności przestępczej. Odkryli, że grupa przechowywała kopie skradzionych danych ofiar nawet po tym, jak informowała te ofiary – często w zamian za zapłatę – że dane zostały usunięte.

Ten pojedynczy szczegół ma znacznie większe znaczenie, niż mogłoby się wydawać na pierwszy rzut oka. Przez lata standardowy podręcznik postępowania dla organizacji dotkniętych ransomware zawierał cichą, niewygodną opcję: zapłać okup, uzyskaj od atakującego obietnicę usunięcia danych i idź dalej. Ujawnione informacje o LockBicie potwierdzają to, co wielu badaczy bezpieczeństwa podejrzewało od dawna. Ta obietnica jest często bezwartościowa, a ofiary zazwyczaj nie mają możliwości się o tym przekonać.

Przepaść między tym, co mówi się ofiarom, a tym, co dzieje się naprawdę

Negocjacje dotyczące ransomware odbywają się zwykle poza zasięgiem opinii publicznej, przy pośrednictwie firm zajmujących się reagowaniem na incydenty, ubezpieczycieli lub samych organizacji poszkodowanych. Gdy grupa przestępcza twierdzi, że usunęła skradzione pliki, rzadko istnieje niezależny sposób zweryfikowania tego twierdzenia. Ofiary są w gruncie rzeczy proszone o zaufanie słowu tego samego podmiotu, który włamał się do ich systemów i ukradł ich dane.

Sprawa LockBita pokazuje, dlaczego to zaufanie jest błędne. Nawet gdy przedsiębiorstwo przestępcze jest na tyle wyrafinowane, by prowadzić sprawną „obsługę klienta” dla swoich ofiar, wraz z portalami negocjacyjnymi i certyfikatami usunięcia danych, podstawowa motywacja do faktycznego zniszczenia cennych skradzionych danych po prostu nie istnieje. Dane mają wartość przy odsprzedaży, wartość jako dźwignia i wartość dla przyszłych wymuszeń. Ich usunięcie działa wbrew własnym interesom atakującego.

Ten rozdźwięk rzadko trafia na pierwsze strony gazet, w przeciwieństwie do ogłoszenia o wycieku. Firmy, które płacą po cichu, aby pozbyć się problemu, nie mają powodu, by nagłaśniać fakt, że obietnica usunięcia nie została dotrzymana, zwłaszcza jeśli nigdy się o tym nie dowiedzą. Ta cisza jest jednym z powodów, dla których niepożądane skutki zdarzają się częściej, niż sugerują to publiczne rejestry. Likwidacja infrastruktury LockBita jest jednym z nielicznych przypadków, gdy przepaść między obietnicą a rzeczywistością stała się w ogóle widoczna, podobnie jak przerwanie przez Google sieci hakerskiej powiązanej z KPCh odsłoniło kurtynę nad działaniami, które w przeciwnym razie pozostałyby ukryte przed poszkodowanymi organizacjami.

Dlaczego powinno to zmienić sposób myślenia organizacji o ransomware

Praktyczny wniosek nie jest taki, że zapłacenie okupu zawsze jest złym wyborem. Każdy incydent wiąże się z własną presją prawną, operacyjną i finansową, a niektóre organizacje nadal mogą uznać, że zapłata jest najmniej złym rozwiązaniem. Wniosek jest taki, że zapłaty nigdy nie należy traktować jako rozwiązania problemu ujawnienia danych.

Gdy dane opuszczą kontrolę organizacji, należy je traktować jako trwale naruszone, niezależnie od jakichkolwiek późniejszych zapewnień. Oznacza to, że obowiązki powiadamiania, komunikacja z klientami i oceny ryzyka muszą przebiegać tak, jakby skradzione dane wciąż krążyły, ponieważ jest bardzo prawdopodobne, że tak właśnie jest. Polisy ubezpieczeniowe cybernetyczne i plany reagowania na incydenty, które zakładają czyste rozwiązanie po zapłacie, opierają się na przestarzałym i coraz bardziej zdyskredytowanym założeniu.

Co to oznacza dla Ciebie

Dla osób, których dane mogły zostać objęte wyciekiem związanym z atakiem ransomware, ujawnienie sprawy LockBita jest przypomnieniem, by nie tracić czujności tylko dlatego, że firma ogłasza, że incydent został „rozwiązany”. Obietnica usunięcia danych złożona przez przestępców nie jest gwarancją, a informacje mogą pozostać ujawnione długo po tym, jak nagłówki gazet przestaną o tym pisać.

Dla firm, zwłaszcza małych i średnich bez dedykowanych zespołów bezpieczeństwa, jest to argument za zapobieganiem zamiast negocjacji. Solidne praktyki tworzenia kopii zapasowych, segmentacja sieci i podstawowa higiena punktów końcowych zmniejszają prawdopodobieństwo znalezienia się w sytuacji, w której polega się na słowie szantażysty. Przejrzenie sposobu ochrony kont osobistych i zawodowych, w tym tego, czy wrażliwy ruch jest kierowany przez bezpieczne połączenia, to rozsądny punkt wyjścia; niektóre organizacje rozważają opcje takie jak te opisane na stronach porównujących dostawców, takich jak IVPN czy Mozilla VPN, jako część szerszych działań na rzecz ograniczenia ekspozycji, choć żadne pojedyncze narzędzie nie zastąpi pełnej strategii bezpieczeństwa.

Praktyczne wnioski

  • Zakładaj, że wszelkie dane skradzione podczas incydentu ransomware pozostają na zawsze zagrożone, nawet jeśli złożono obietnicę ich usunięcia.
  • Nie pozwól, by zapłata okupu zastąpiła pełną procedurę powiadamiania o naruszeniu i środki ochrony klientów.
  • Priorytetyzuj kopie zapasowe i segmentację sieci, aby zapłacenie atakującym nigdy nie było jedyną opcją na stole.
  • Jeśli zostaniesz powiadomiony, że Twoje dane brały udział w naruszeniu, monitoruj swoje konta i raporty kredytowe długo po pierwszym ogłoszeniu.
  • Wymagaj od każdej organizacji, która przetwarza Twoje dane, przejrzystości w kwestii tego, jak reaguje na incydenty ransomware, nie tylko czy zapłaciła.

Likwidacja LockBita dała rzadki, niefiltrowany wgląd w to, jak cyberwymuszenia faktycznie przebiegają, gdy przestępcy nie kontrolują już narracji. Traktowanie obietnic usunięcia danych jako faktów, a nie jako niezweryfikowanych twierdzeń wrogiego podmiotu, pozostawiło zbyt wiele ofiar z fałszywym poczuciem zamknięcia sprawy. Zachowanie sceptycyzmu i gotowości pozostaje lepszą strategią długoterminową.