Nastolatek w centrum wielomilionowego programu wymuszeń

19-letni obywatel USA i Estonii został ekstradowany do Stanów Zjednoczonych, aby odpowiedzieć przed sądem federalnym za zarzuty związane z grupą hakerską „Scattered Spider”, jedną z najaktywniejszych obecnie ekip zajmujących się ransomware i wymuszeniami. Podejrzany, zidentyfikowany jako Peter Stokes, został aresztowany w Finlandii na początku tego roku na podstawie czerwonej noty Interpolu i przekazany amerykańskim władzom, po czym stanął przed sądem federalnym w Chicago.

Prokuratorzy twierdzą, że Stokes, który rzekomo posługiwał się pseudonimem „Bouquet”, pomagał zorganizować co najmniej cztery oddzielne włamania, w tym naruszenie w firmie jubilerskiej z segmentu luksusowego, z którym wiązało się żądanie okupu w kryptowalutach o wartości 8 milionów dolarów. Scattered Spider, luźno zorganizowana grupa, której – według prokuratury – pomagał, została przez śledczych powiązana z wypłatą ponad 100 milionów dolarów okupu w serii głośnych ataków. Stokesowi postawiono zarzuty m.in. udziału w spisku, włamania komputerowego i oszustwa.

Ta sprawa nie jest znacząca tylko ze względu na wysoką kwotę. Zwraca uwagę wiek podejrzanego i to, jak wpisuje się w coraz bardziej znajomy schemat: młodych, biegłych technicznie osób działających w dużych, zdecentralizowanych sieciach cyberprzestępczych, łączących socjotechnikę z wymuszeniami finansowymi.

Kim jest Scattered Spider i dlaczego to ważne

Scattered Spider zbudowała swoją reputację nie tyle na zaawansowanym złośliwym oprogramowaniu, ile na mistrzowskim opanowaniu socjotechniki: oszukiwaniu działów pomocy technicznej, podszywaniu się pod pracowników i manipulowaniu resetowaniem uwierzytelniania wieloskładnikowego, aby uzyskać dostęp do sieci firmowych. Po dostaniu się do środka członkowie grupy mają następnie przechodzić do kradzieży danych i wdrażania ransomware, po czym żądają zapłaty w kryptowalutach, które trudniej namierzyć i łatwiej wyprać ponad granicami niż tradycyjną walutę.

Wykorzystanie kryptowalut jako preferowanej waluty okupu to powracający motyw w tego typu sprawach. Pozwala atakującym żądać ogromnych sum, jak te 8 milionów dolarów związane z włamaniem do firmy jubilerskiej, a jednocześnie utrudnia pracę organów ścigania próbujących śledzić przepływ pieniędzy. To połączenie – agresywna socjotechnika plus wymuszenia oparte na kryptowalutach – sprawia, że grupy takie jak Scattered Spider są nieustannym utrapieniem zarówno dla zespołów bezpieczeństwa firm, jak i śledczych federalnych.

To nie pierwszy raz, gdy wyjątkowo młody podejrzany zostaje powiązany z poważnym włamaniem. W tym samym roku francuskie władze wszczęły oficjalne śledztwo wobec 15-latka oskarżonego o ujawnienie 18 milionów rekordów tożsamości z krajowej agencji dokumentów – sprawa, która zwróciła uwagę na to, jak nastoletni haker rzekomo ujawnił miliony francuskich rekordów tożsamości, a później stała się przedmiotem głębszego dochodzenia sądowego w sprawie skali naruszenia. Niezależnie od tego, czy osoby z tych spraw są powiązane, schemat jest wyraźny: niektóre z najpoważniejszych naruszeń w ostatnim czasie zostały rzekomo dokonane przez sprawców tuż po ukończeniu szkoły średniej.

Co to oznacza dla Ciebie

Dla większości osób wiadomość o ekstradycji i federalnym akcie oskarżenia może wydawać się odległa od codziennego życia. Jednak mechanizmy, którymi rzekomo posługuje się Scattered Spider, mają bezpośrednie znaczenie dla każdego, kto robi zakupy online, pracuje na firmowym help desku lub zarządza kontami chronionymi uwierzytelnianiem wieloskładnikowym.

Ataki socjotechniczne kończą się sukcesem, ponieważ celują w ludzi, nie tylko w systemy. Jeśli grupa może przekonać pracownika wsparcia IT firmy do zresetowania danych uwierzytelniających lub zatwierdzenia fałszywego żądania MFA, żaden firewall ani oprogramowanie antywirusowe tego nie powstrzyma. Właśnie dlatego organizacje coraz częściej szkolą pracowników, by weryfikowali tożsamość za pomocą kilku kanałów przed przyznaniem dostępu do konta lub zmianą ustawień bezpieczeństwa, a także dlaczego każdy z nas powinien zachować ostrożność wobec nieoczekiwanych monitów o reset hasła lub naglących próśb wymagających szybkiego działania.

Kwestia kryptowalut również ma znaczenie. Okup zapłacony w kryptowalutach jest trudny do cofnięcia po wysłaniu, co jest jednym z powodów, dla których grupy te tak chętnie z nich korzystają. Jeśli Ty lub Twoja organizacja kiedykolwiek staniecie w obliczu żądania okupu, kluczowe jest zaangażowanie organów ścigania przed podjęciem jakiejkolwiek decyzji o płatności, ponieważ zapłata nie gwarantuje odzyskania danych i może sfinansować dalszą działalność przestępczą.

Konkretne wskazówki

  • Bądź nieufny wobec nieoczekiwanych żądań resetu hasła lub zatwierdzenia MFA, nawet jeśli wydają się pochodzić z wewnętrznego działu IT.
  • Firmy powinny weryfikować tożsamość za pomocą dodatkowego kanału (np. oddzwonienia na znany numer) przed realizacją wrażliwych zmian na koncie.
  • Żądania okupu w kryptowalutach traktuj przede wszystkim jako sprawę dla organów ścigania; zapłata nie gwarantuje odzyskania danych i może zachęcić do kolejnych ataków.
  • Śledź powiadomienia o naruszeniach od firm, z którymi masz relacje biznesowe, ponieważ włamania – takie jak te rzekomo powiązane ze Scattered Spider – często wychodzą na jaw wiele miesięcy po pierwszym skompromitowaniu.

Ekstradycja 19-letniego podejrzanego, który ma odpowiedzieć za zarzuty związane z programem wymuszenia 8 milionów dolarów okupu, przypomina, że operacje ransomware nie są prowadzone wyłącznie przez anonimowe, pozbawione twarzy organizacje. Często biorą w nich udział młodzi, biegli technologicznie ludzie, którzy wykorzystują ludzkie zaufanie w nie mniejszym stopniu niż luki techniczne. Zachowanie czujności wobec socjotechnicznych sztuczek – zarówno w domu, jak i w pracy – pozostaje jedną z najskuteczniejszych dostępnych form obrony.