Atak ransomware na Richmond Public Schools dotknął każdy zakątek dystryktu. Według doniesień Cybernews wszystkie 53 placówki zostały dotknięte, a hakerzy pozostawili noty okupowe na laptopach pracowników, grożąc wyciekiem skradzionych danych w ciągu 72 godzin.

Dostępne dotychczas szczegóły są ograniczone, a dochodzenie dystryktu jest w toku. Jednak połączenie zakłóceń w całym dystrykcie z odliczaniem do wycieku danych jest podręcznikowym przykładem tego, jak działa współczesny ransomware, i niesie ze sobą lekcje dla każdego związanego z systemem szkolnym.

Co się wydarzyło w Richmond Public Schools

Richmond Public Schools twierdzi, że atak dotknął wszystkie 53 placówki. Hakerzy wyświetlali noty okupowe na laptopach pracowników — taktyka mająca na celu uczynienie incydentu niemożliwym do zignorowania i szybkie wywarcie presji na decydentach. Lokalne relacje donoszą również, że dostęp do internetu w dystrykcie został odcięty po incydencie, a uczniom polecono powstrzymać się od korzystania z sieci szkolnych.

Noty rzekomo grożą wyciekiem skradzionych danych w ciągu 72 godzin. Ten szczegół ma znaczenie, ponieważ mówi nam, że atakujący twierdzą, iż skopiowali informacje z systemów dystryktu, a nie tylko zablokowali pliki. Nie wiemy jeszcze, jakie konkretne dane zostały zabrane, czy twierdzenie jest prawdziwe ani która grupa jest odpowiedzialna. Te pytania pozostają otwarte, a czytelnicy powinni podchodzić do niepotwierdzonych twierdzeń z ostrożnością.

Widoczna nota okupowa jest także przypomnieniem, że moment, w którym pracownicy ją widzą, rzadko jest początkiem ataku. Atakujący często spędzają czas wewnątrz sieci, zanim uruchomią ostatni etap. Nasz artykuł o tym, jak wcześnie wykryć ransomware wyjaśnia, dlaczego oznaki często pojawiają się na długo przed tym, zanim nota pojawi się na ekranie.

Co groźba wycieku w ciągu 72 godzin oznacza dla pracowników i rodzin

72-godzinny termin to taktyka presji. Ma ona na celu skrócenie czasu, jaki organizacja ma na myślenie, konsultacje z prawnikami i koordynację z organami ścigania. Dla dystryktu z 53 placówkami ta presja jest intensywna.

Dla osób związanych z dystryktem prawdziwym zmartwieniem są same dane. Systemy szkolne zazwyczaj przechowują akta dotyczące pracowników, uczniów i rodzin. Jeśli jakiekolwiek z tych materiałów zostało skopiowane i później opublikowane, może być wykorzystane do phishingu, oszustw związanych z tożsamością lub ukierunkowanych scamów. Nie wiemy jeszcze, jakie akta, jeśli w ogóle, są zaangażowane, więc najbezpieczniejszym podejściem jest przygotowanie się bez zakładania najgorszego.

Kwestia tego, czy płacić, jest odrębna i skomplikowana. Jak zauważa nasz artykuł wyjaśniający o zasadach płacenia okupu a ryzyku OFAC, nie ma federalnego przepisu, który kategorycznie zakazywałby płacenia okupu, ale ekspozycja prawna nadal istnieje. Lokalne relacje o incydencie w Richmond zauważają również, że FBI doradza szkołom niepłacenie i natychmiastowy kontakt z biurem. Płacenie nie daje też żadnej gwarancji, że skradzione dane zostaną usunięte.

Dlaczego same kopie zapasowe nie powstrzymują podwójnego wyłudzania

Przez lata standardową radą było utrzymywanie dobrych kopii zapasowych, aby móc przywrócić systemy bez płacenia. To działa przeciwko szyfrowaniu, ale nie robi nic w sprawie skradzionych danych. W ataku z podwójnym wyłudzaniem przestępcy zarówno blokują systemy, jak i kopiują pliki, a następnie grożą ich publikacją. Czyste przywrócenie uruchamia szkoły ponownie, ale groźba wycieku pozostaje.

Dlatego nota z 72-godzinnym terminem jest tak istotna. Nawet jeśli Richmond Public Schools może odzyskać swoje systemy, atakujący sygnalizują, że posiadają coś, co mogą ujawnić. Nasz przewodnik o tym, dlaczego kopie zapasowe nie wystarczają przeciwko podwójnemu wyłudzaniu szczegółowo omawia tę zmianę.

Widoczna nota jest również częścią taktyki. Inne grupy stosowały nietypowe metody dostarczania, aby zmaksymalizować zakłócenia, co można było zaobserwować, gdy ransomware INC drukował noty okupowe na drukarkach szpitalnych. Cel jest ten sam: wymusić szybką, stresującą decyzję.

Co to oznacza dla Ciebie

Jeśli pracujesz dla Richmond Public Schools, uczęszczasz do niej lub masz w niej dzieci, nie ma potrzeby paniki, ale rozsądne jest zachowanie ostrożności. Oficjalne aktualizacje dystryktu są najbardziej wiarygodnym źródłem. Bądź sceptyczny wobec wszelkich wiadomości twierdzących, że pochodzą od dystryktu, dostawcy lub atakujących, które proszą o kliknięcie linku, zalogowanie się lub przesłanie pieniędzy.

Jeśli jesteś związany z innym dystryktem szkolnym lub jakąkolwiek organizacją przechowującą dane osobowe, ten incydent jest bodźcem do przeglądu własnej gotowości. Kradzież danych jest teraz standardową częścią ransomware, więc ochrona informacji ma znaczenie równie duże jak ochrona ciągłości działania.

Kroki, które pracownicy i rodzice mogą podjąć teraz

  • Zmień hasła do wszelkich kont związanych z dystryktem oraz do każdego innego konta, na którym użyto tego samego hasła.
  • Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest oferowane, szczególnie dla poczty e-mail i kont finansowych.
  • Uważaj na phishing przez e-mail, SMS lub telefon. Wiadomości odwołujące się do incydentu lub nakłaniające do szybkiego działania to czerwone flagi.
  • Weryfikuj przed działaniem. Kontaktuj się z dystryktem przez oficjalne kanały, zamiast odpowiadać na nieoczekiwane wiadomości.
  • Monitoruj swoje konta pod kątem nietypowej aktywności i rozważ zastrzeżenie kredytowe, jeśli zostaniesz powiadomiony o ujawnieniu poufnych informacji.
  • Aktualizuj urządzenia i unikaj używania laptopów wydanych przez dystrykt do osobistych logowań, dopóki dystrykt nie ogłosi, że wszystko jest bezpieczne.

Najważniejsze wnioski

Atak ransomware na Richmond Public Schools pokazuje, jak szybko pojedynczy incydent może rozprzestrzenić się na cały dystrykt i jak groźba wycieku w ciągu 72 godzin przenosi ryzyko z przestoju na ekspozycję danych. Wiele pozostaje niepotwierdzonych, więc polegaj na oficjalnych aktualizacjach.

Jeśli jesteś związany z dotkniętym dystryktem lub zarządzasz danymi osobowymi gdziekolwiek, zresetuj swoje dane uwierzytelniające, włącz uwierzytelnianie wieloskładnikowe i bądź czujny na phishing. Aby uzyskać głębszy kontekst na temat tego, dlaczego przywrócenie z kopii zapasowych nie kończy zagrożenia, przeczytaj nasz artykuł wyjaśniający o podwójnym wyłudzaniu.