Grupa ransomware Play zgłasza nową ofiarę

Grupa ransomware Play dodała Kreysler & Associates do swojej listy domniemanych ofiar, jak wynika z doniesień firmy wywiadowczej DeXpose. Zgodnie z typowym modelem działania tej grupy, napastnicy twierdzą, że wykradli dane z systemów firmy i grożą ich publikacją, jeśli nie rozpoczną się negocjacje. Na tym etapie nie potwierdzono publicznie kwoty okupu, terminu ani konkretnych kategorii danych, ale samo umieszczenie na stronie wycieków grupy ransomware jest często pierwszą widoczną oznaką, że organizacja padła ofiarą poważnego włamania do sieci.

Ten incydent wpisuje się w schemat, który w ciągu ostatnich kilku lat stał się niepokojąco znajomy. Grupy ransomware coraz częściej pomijają głośny, łatwo wykrywalny etap szyfrowania i zamiast tego po cichu kopiują wrażliwe pliki, zanim wysuną jakiekolwiek publiczne groźby. To przesunięcie, znane jako podwójne wymuszenie, daje atakującym przewagę nawet wtedy, gdy ofiara ma solidne kopie zapasowe i może odtworzyć systemy bez płacenia okupu. Szkoda nie polega już na zablokowanych plikach; chodzi o to, co dzieje się z danymi, gdy wymkną się one spod kontroli firmy.

Kto stoi za grupą ransomware Play

Ransomware Play zyskało reputację jednej z bardziej płodnych operacji wymuszających okup obecnie aktywnych – powiązano ją z setkami ataków na organizacje w wielu branżach i krajach. Podejście tej grupy zazwyczaj polega na uzyskaniu początkowego dostępu do sieci docelowej, przemieszczaniu się wewnątrz niej w celu zlokalizowania cennych zbiorów danych, wykradzeniu plików, a następnie albo zaszyfrowaniu systemów, groźbie publikacji danych, albo obu tych działaniach. Ofiary są zwykle kierowane do portalu negocjacyjnego, a groźba publicznego ujawnienia danych służy jako presja, by zapłacić szybko i po cichu.

To nie pierwszy raz, gdy Play atakuje firmę w sposób narażający na ryzyko wrażliwe dane osobowe lub operacyjne. Podobna sprawa dotycząca ataku ransomware Play na Ampex Data Systems pokazała, jak taktyka tej grupy może ujawnić wysoce wrażliwe dane, w tym numery ubezpieczenia społecznego i szczegóły kont finansowych, gdy negocjacje się załamią lub zostaną zignorowane. Sprawa Kreysler & Associates przebiega według tego samego scenariusza: publiczne przyznanie się do ofiary, wywarcie presji czasowej i wykorzystanie groźby ujawnienia danych jako głównego argumentu przetargowego.

Dlaczego ma to znaczenie dla prywatności, a nie tylko bezpieczeństwa IT

Kuszące jest traktowanie takich incydentów ransomware wyłącznie jako problemu IT lub ciągłości działania firmy, której dotyczą. Jednak konsekwencje dla prywatności często wykraczają daleko poza mury samej organizacji. Jeśli Kreysler & Associates przetwarzało dane należące do pracowników, klientów, kontrahentów czy partnerów biznesowych, każda z tych informacji mogła zostać przechwycona w wyniku eksfiltracji i potencjalnie opublikowana w sieci, gdy negocjacje zawiodą.

To powracający motyw w ostatnich ujawnieniach dotyczących ransomware. W jednym z głośnych przypadków kancelaria Weil Gotshal podobno zapłaciła od 18 do 20 milionów dolarów grupie cyberprzestępców po kradzieży poufnych dokumentów klientów, co pokazuje, jak kosztowne i wrażliwe mogą stać się skradzione dane firmowe. Gdzie indziej ataki, takie jak ten na Soja de Portugal, w wyniku którego wyciekło 491 GB danych, pokazują, jak obszerne mogą być te zrzuty danych, gdy grupa spełni swoją groźbę. A naruszenia dotykające wielu instytucji jednocześnie, jak w przypadku, gdy ta sama grupa ransomware zaatakowała ANC, SAA i Pick n Pay, dowodzą, jak jedna skuteczna technika włamania może wywołać efekt domina w całym sektorze.

Niezależnie od tego, czy Kreysler & Associates ostatecznie potwierdzi zakres tego incydentu, schemat jest jasny: grupy ransomware stawiają na to, że groźba publicznego ujawnienia danych przyniesie więcej korzyści niż samo szyfrowanie kiedykolwiek dawało.

Co to oznacza dla Ciebie

Jeśli jesteś klientem, pracownikiem lub partnerem biznesowym Kreysler & Associates, nie ma powodu do paniki, ale warto zachować czujność. Śledź oficjalne komunikaty firmy dotyczące tego incydentu i bądź ostrożny wobec niechcianych e-maili lub połączeń, które w nadchodzących tygodniach będą podawać się za firmę lub powiązaną z nią usługę – po wyciekach danych często następują próby phishingu wykorzystujące skradzione dane, by wyglądać na wiarygodne.

Szerzej rzecz ujmując, ten przypadek przypomina, że ataki ransomware rzadko ograniczają się do wewnętrznych systemów pojedynczej organizacji. Każdy, czyje dane osobowe lub finansowe przechodzą przez daną firmę – jako pracownik, klient czy dostawca – ma interes w tym, jak poważnie firma ta traktuje bezpieczeństwo danych.

Praktyczne wskazówki

Jeśli podejrzewasz, że Twoje dane mogły trafić do systemów należących do Kreysler & Associates lub podobnej organizacji, rozważ podjęcie następujących kroków: monitoruj swoje konta finansowe i raporty kredytowe pod kątem nietypowej aktywności, włączaj uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest to oferowane, oraz traktuj nieoczekiwane e-maile lub wiadomości odnoszące się do problemów z kontem z rezerwą, dopóki nie zostaną zweryfikowane za pośrednictwem oficjalnych kanałów. Firmy z kolei powinny potraktować takie incydenty jako sygnał do przeanalizowania własnej ekspozycji na ataki typu podwójne wymuszenie ransomware, upewnienia się, że kopie zapasowe są testowane i odizolowane od sieci głównych, oraz potwierdzenia, że plany reagowania na incydenty uwzględniają eksfiltrację danych, a nie tylko przestoje systemów. Ponieważ ransomware Play i podobne grupy nadal atakują organizacje z różnych sektorów, proaktywne przygotowanie pozostaje najpewniejszą obroną przed staniem się kolejną nazwą na stronie wycieków.