Ransomware nie ogranicza się już do szyfrowania sieci i żądania okupu. Jak informuje EscudoDigital, rośnie liczba badaczy i pracowników firm dotkniętych ransomware, którzy otrzymują zastraszające paczki pod drzwiami własnego domu. Fizyczne groźby wobec pracowników ze strony ransomware przenoszą presję z serwera do domowego salonu i zamieniają coś tak codziennego jak adres pocztowy w dane wrażliwe.

Oryginalny artykuł jest krótki i nie opisuje zawartości paczek ani tego, które grupy za tym stoją. Dlatego skupiamy się tutaj na tym, co wiadomo, oraz na praktycznych środkach, które może podjąć każda osoba, niezależnie od tego, czy pracuje w cyberbezpieczeństwie, czy nie.

Jak wymuszenie przez ransomware dociera aż pod drzwi domu

Logika wymuszenia jest prosta: im większą presję odczuwa ofiara, tym większe prawdopodobieństwo, że zapłaci. Przez lata ta presja była cyfrowa: zaszyfrowane pliki, groźby publikacji danych, telefony do klientów. Wysyłanie zastraszających paczek dodaje kolejną warstwę, ponieważ ma na celu zastraszenie konkretnych osób, a nie tylko organizacji.

Zgodnie z opublikowanymi informacjami odbiorcami są zarówno badacze, którzy śledzą te grupy, jak i pracownicy firm, które padły ofiarą ataku. Oznacza to, że nie trzeba być ekspertem od zagrożeń, by znaleźć się na celowniku: wystarczy pracować w niewłaściwej firmie w niewłaściwym momencie.

Celem tych taktyk jest zazwyczaj zastraszenie. Wiadomość, która trafia do domu, przekazuje, że atakujący wie, gdzie mieszkasz, a to poczucie jest częścią presji.

Jak atakujący znajdują domowy adres

Źródło nie wyjaśnia, w jaki sposób uzyskują adresy, więc warto mówić ogólnie. Prywatny adres rzadko jest dobrze strzeżonym sekretem. Może pojawiać się w wielu miejscach:

  • Kartoteki brokerów danych (data brokers), które gromadzą i sprzedają profile z imieniem, nazwiskiem, adresem i telefonem.
  • Rejestry publiczne, takie jak rejestry nieruchomości czy rejestry spółek, w zależności od kraju.
  • Profile społecznościowe i zawodowe, z miastem, pracodawcą, zdjęciami okolicy lub postami z geolokalizacją.
  • Wcześniejsze wycieki, w których dane osobowe z innych incydentów wciąż krążą.
  • Dane wewnętrzne zaatakowanej firmy, jeśli intruzom udało się uzyskać dostęp do plików kadrowych.

Ten ostatni punkt jest istotny. Kiedy atakujący spędzają czas wewnątrz sieci, mogą zobaczyć znacznie więcej niż tylko systemy. W przypadku meksykańskiej MŚP, która przez trzy miesiące miała atakujących ukrytych w swojej sieci, zanim się zorientowała, widać wyraźnie, ile marginesu może być między wtargnięciem a momentem, w którym zaczyna się wymuszenie.

Ogranicz swoją ekspozycję: brokerzy danych, rejestry publiczne i profile społecznościowe

Całkowita anonimowość nie istnieje, ale można znacznie utrudnić komuś zlokalizowanie cię. Dobry punkt wyjścia:

  1. Wyszukaj swoje imię i nazwisko. Spróbuj wpisać swoje imię i nazwisko, telefon oraz adres w wyszukiwarkach i katalogach osób. Zanotuj, gdzie pojawia się twój adres domowy.
  2. Złóż wniosek o usunięcie danych u brokerów danych. Wiele z nich oferuje formularze opt-out. To żmudny proces, a dane mogą pojawić się ponownie, więc warto go powtarzać co jakiś czas.
  3. Sprawdź rejestry publiczne. Jeśli twój adres figuruje w którymś z nich, dowiedz się, czy istnieje możliwość użycia adresu alternatywnego, np. skrytki pocztowej lub adresu służbowego.
  4. Wyczyść swoje profile. Usuń miasto, dzielnicę, zdjęcia z rozpoznawalnymi punktami odniesienia w pobliżu domu i posty z lokalizacją w czasie rzeczywistym. Ogranicz, kto może widzieć twoje posty.
  5. Oddziel życie prywatne od zawodowego. Używaj innego adresu e-mail i telefonu do rejestracji i zakupów oraz unikaj łączenia swojej tożsamości zawodowej z życiem prywatnym.
  6. Zapytaj swoją firmę. Jeśli pracujesz w bezpieczeństwie lub w organizacji, która padła ofiarą ataku, sprawdź, jakie twoje dane osobowe znajdują się w systemach wewnętrznych i kto ma do nich dostęp.

Co zrobić, jeśli otrzymasz groźną paczkę

Jeśli dotrze podejrzana lub zastraszająca przesyłka, priorytetem jest twoje bezpieczeństwo:

  • Nie otwieraj jej, jeśli nie spodziewałeś się paczki lub jeśli budzi twoje wątpliwości, i trzymaj ją z dala od innych osób, zwłaszcza dzieci i zwierząt.
  • Powiadom władze i postępuj zgodnie z ich wskazówkami. Fizyczna groźba to sprawa dla policji, nie tylko dla informatyki.
  • Poinformuj swoją firmę, jej zespół bezpieczeństwa i osobę odpowiedzialną za reagowanie na incydenty, aby ocenili ryzyko dla innych współpracowników.
  • Udokumentuj wszystko: zdjęcia paczki, nadawcy, etykiety i wszelkich powiązanych wiadomości, bez manipulowania zawartością.
  • Sprawdź swoje cyfrowe otoczenie: zmień ważne hasła, włącz uwierzytelnianie dwuskładnikowe i sprawdź, czy twoje dane pojawiły się w nowych zestawieniach.
  • Porozmawiaj z rodziną o tym, co robić w przypadku dziwnych przesyłek lub nieoczekiwanych wizyt.

Co to oznacza dla ciebie

Jeśli pracujesz w cyberbezpieczeństwie, twój adres jest częścią twojej powierzchni ryzyka, tak samo jak wystawiony serwer. Jeśli pracujesz w jakiejkolwiek innej firmie, lekcja jest podobna: naruszenie bezpieczeństwa w firmie może ostatecznie wpłynąć na twoje życie prywatne. Dobra wiadomość jest taka, że większość środków jest bezpłatna i w zasięgu twoich możliwości: ograniczanie tego, co publikujesz, wnioskowanie o usunięcie z katalogów i wcześniejsza wiedza, do kogo zadzwonić.

Podsumowanie i kolejne kroki

Fizyczne groźby wobec pracowników ze strony ransomware pokazują, że cyfrowe wymuszenie może przekroczyć ekran. Nie ma powodu do paniki, ale jest powód do przygotowania. W tym tygodniu poświęć pół godziny na audyt własnej ekspozycji: wyszukaj swoje imię i nazwisko, zlokalizuj swój adres w katalogach i poproś o usunięcie, a także sprawdź widoczność swoich publicznych profili. Następnie przejrzyj przypadek meksykańskiej MŚP atakowanej przez trzy miesiące, aby zrozumieć, jak długo atakujący mogą przebywać w sieci, zanim zacznie się wymuszenie. Im mniej twoich danych jest dostępnych dla każdego, tym mniej przydatne będą dla kogoś, kto próbuje cię zastraszyć.