Ransomware Orova uderza w 5 firm z Hongkongu; SFC nakłada pierwszą karę za cyberincydent

Podwójny cios dla sektora finansowego Hongkongu

Dwie historie z zakresu cyberbezpieczeństwa zderzyły się w Hongkongu w ciągu mniej więcej 24 godzin: grupa ransomware o nazwie Orova zgłosiła włamania w pięciu hongkońskich firmach, w tym co najmniej jednym regulowanym zarządcy aktywów, a Komisja Papierów Wartościowych i Kontraktów Terminowych (SFC) po raz pierwszy podjęła działania egzekucyjne związane z ransomware. Z doniesień wynika, że SFC upomniała i ukarała licencjonowaną korporację grzywną w wysokości 2,1 miliona dolarów hongkońskich za uchybienia w cyberbezpieczeństwie związane z atakiem ransomware – kara, którą regulatorzy przedstawili jako sygnał, że odpowiedzialność za odporność cybernetyczną ponosi kierownictwo wyższego szczebla, a nie tylko działy IT.

Zbieżność czasowa nie była przypadkiem, lecz konwergencją. Grupy ransomware coraz częściej atakują firmy świadczące usługi finansowe, ponieważ przechowują one dokładnie ten rodzaj wrażliwych danych klientów, który czyni wymuszenia skutecznymi, a regulatorzy tacy jak SFC od miesięcy sygnalizują, że zamierzają pociągać licencjonowane firmy do odpowiedzialności, gdy te zabezpieczenia zawiodą.

Jak podwójne wymuszenie zmieniło zasady gry ransomware

Tradycyjne ransomware było pod pewnymi względami prostszym problemem. Atakujący szyfrowali pliki ofiary i żądali zapłaty za klucz deszyfrujący. Organizacje posiadające niezawodne, offline'owe kopie zapasowe często mogły przywrócić swoje systemy bez płacenia ani grosza, skutecznie neutralizując przewagę atakującego.

Podwójne wymuszenie – taktyka zapoczątkowana przez grupę ransomware Maze pod koniec 2019 roku – zamknęła tę lukę. Zamiast tylko szyfrować pliki, atakujący najpierw kradną kopię wrażliwych danych ofiary. Nawet jeśli organizacja może przywrócić dane z kopii zapasowych i odmawia zapłaty za odszyfrowanie, atakujący wciąż trzymają w zanadrzu drugą kartę: grożą opublikowaniem skradzionych danych na portalu wycieków w dark webie, jeśli okup nie zostanie zapłacony. To całkowicie zmienia kalkulację. Kopie zapasowe chronią przed zakłóceniem operacyjnym, ale nie robią nic, by powstrzymać wyciek danych. To dokładnie taka presja, jaką Orova wydaje się wywierać na pięć zgłoszonych ofiar z Hongkongu.

Ten schemat nie jest charakterystyczny wyłącznie dla Hongkongu ani dla Orovy. Regulowane podmioty finansowe na całym świecie przechowują rejestry klientów, historie transakcji i dokumenty tożsamości, które są cenne zarówno dla przestępców, jak i – w przypadku ujawnienia – głęboko szkodliwe dla osób, których dane trafiają na stronę z wyciekami. To to samo podstawowe ryzyko, które wypłynęło na powierzchnię, gdy brytyjska państwowa agencja inwestycyjna ujawniła wrażliwe dane 51 urzędników państwowych przez około 40 godzin: gdy dane już wyciekną, czas i powstrzymanie wycieku mają ogromne znaczenie, ale samego ujawnienia nie da się cofnąć.

Dlaczego kara SFC ma znaczenie poza Hongkongiem

To, co czyni ten moment godnym uwagi, to nie tylko fakt, że kolejna grupa ransomware zgłosiła ofiary. To, że regulator finansowy przeszedł od wytycznych do egzekwowania. Kara SFC, podobno pierwsza związana konkretnie z incydentem ransomware, wysyła wiadomość, która narasta w globalnych regulacjach finansowych: awarie cyberbezpieczeństwa nie są już traktowane wyłącznie jako incydenty techniczne. To uchybienia w zgodności z przepisami, niosące realne konsekwencje finansowe i reputacyjne dla firmy oraz, coraz częściej, dla członków zarządu, którzy zatwierdzają zarządzanie ryzykiem.

Grupy ransomware nie muszą znajdować nowatorskiego exploita zero-day, żeby dostać się do środka. Wiele włamań zaczyna się od znacznie bardziej przyziemnych uchybień: niezałatanego oprogramowania, słabych kontroli dostępu lub pracowników, którzy dają się nabrać na phishing. Częściowo dlatego niezałatane luki w zabezpieczeniach pozostają tak trwałym punktem wejścia; nawet głośne błędy, takie jak ten szczegółowo opisany w ostatnich doniesieniach o niezałatanej luce zero-day w Windows, ilustrują, jak atakujący mogą wykorzystywać luki istniejące na długo przed udostępnieniem poprawki. Od regulowanych firm oczekuje się obecnie traktowania tego rodzaju ekspozycji jako kwestii zarządczej, a nie tylko zgłoszenia do IT.

Co to oznacza dla Ciebie

Jeśli jesteś klientem, pracownikiem lub partnerem firmy świadczącej usługi finansowe, incydenty takie jak ten przypominają, że bezpieczeństwo Twoich danych w dużej mierze zależy od decyzji podejmowanych znacznie powyżej działu IT. Rady nadzorcze i kierownictwo wyższego szczebla są teraz wyraźnie odpowiedzialne za odporność cybernetyczną w jurysdykcjach takich jak Hongkong, co z czasem powinno skłonić firmy do wprowadzenia silniejszych podstawowych zabezpieczeń: lepszej higieny kopii zapasowych, szybszego łatania i bardziej rygorystycznej kontroli dostępu.

Dla osób fizycznych praktyczne porady niewiele się zmieniły, ale teraz mają większe znaczenie. Monitoruj konta w każdej firmie, która zgłasza naruszenie, bądź sceptyczny wobec nieoczekiwanych wiadomości odwołujących się do szczegółów konta i rozważ monitorowanie kredytu, jeśli firma potwierdzi, że Twoje dane były częścią wycieku. Podwójne wymuszenie oznacza, że nawet firmy, które szybko odzyskują swoje systemy, mogą nadal mieć Twoje dane w obiegu, więc nie zakładaj, że rozwiązany incydent ransomware oznacza, że Twoje informacje są bezpieczne.

Kluczowe wnioski

Włamania Orovy i kara SFC razem pokazują, w jakim kierunku zmierza odpowiedzialność za ransomware: regulatorzy nie są już zadowoleni z samego odzyskania sprawności przez firmy po ataku. Chcą dowodów, że firmy podjęły rozsądne kroki, aby mu zapobiec. Dla czytelników praktyczne kroki pozostają takie same niezależnie od jurysdykcji: zapytaj każdą instytucję finansową, z którą współpracujesz, o zasady powiadamiania o naruszeniach, włącz uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest oferowane, i traktuj każde powiadomienie o naruszeniu jako sygnał do przejrzenia aktywności własnego konta, a nie rutynową formalność.