Nowy model biznesowy cyberprzestępczości

Gang ransomware’owy niedawno zdołał włamać się do systemów korporacyjnych i ujawnić poufne informacje należące do dużych firm, jak wynika z doniesień HSB Noticias. Przypadek ten przypomina, że ransomware ewoluował daleko poza proste szyfrowanie plików. Dzisiejsze grupy przestępcze działają bardziej jak przedsiębiorstwa – mają określone cele, taktyki negocjacyjne i modele przychodów oparte na skradzionych danych, a nie tylko na zablokowanych komputerach.

Ta zmiana ma znaczenie, ponieważ przekształca to, czym faktycznie jest „włamanie” dla firmy, a co za tym idzie – dla pracowników, klientów i partnerów, których dane znajdują się w systemach korporacyjnych. Gdy grupa ransomware infiltruje sieć, celem nie jest już wyłącznie żądanie okupu za klucz deszyfrujący. Coraz częściej prawdziwą dźwignią staje się groźba publikacji lub sprzedaży samych danych – taktyka często nazywana podwójnym wymuszeniem.

Jak działają te grupy przestępcze

Grupy ransomware zazwyczaj działają według schematu: uzyskują dostęp do sieci korporacyjnej, po cichu ją eksplorują, aby zidentyfikować wartościowe dane, wydobywają te informacje, a dopiero potem wdrażają szyfrowanie lub wysuwają żądania. Ta kolejność oznacza, że zanim firma zorientuje się, że coś jest nie tak, wrażliwe pliki – od dokumentacji finansowej po bazy danych klientów – mogą już znajdować się na serwerach kontrolowanych przez atakujących.

Raport HSB Noticias podkreśla, że sieci te atakują szczególnie duże firmy, prawdopodobnie dlatego, że większe organizacje przechowują cenniejsze i obszerniejsze zbiory danych, a także można je naciskać, by zapłaciły, aby uniknąć szkód reputacyjnych lub kar regulacyjnych. Po kradzieży danych grupy przestępcze mają różne opcje: mogą je sprzedać na podziemnych rynkach, wykorzystać do dalszych wymuszeń lub upublicznić ich fragmenty, aby udowodnić, że włamanie miało miejsce, i wywrzeć presję na ofiary, by podjęły negocjacje.

W tym miejscu konsekwencje dla prywatności stają się poważne. Naruszenia danych korporacyjnych rzadko ograniczają się do zhakowanej firmy. Dane klientów, informacje o pracownikach i komunikacja biznesowa często rozprzestrzeniają się na zewnątrz, narażając osoby, które nigdy nie miały bezpośredniego kontaktu z atakującymi i same nie mogły w żaden sposób zapobiec włamaniu.

Dlaczego zasady ochrony prywatności danych są ważniejsze niż kiedykolwiek

Jak pokazują te ataki, wrażliwość przechowywanych danych oraz to, kto ma do nich dostęp, stały się kluczowym zagadnieniem prywatności. To jeden z powodów, dla których trwające debaty na temat skanowania danych i inwigilacji komunikacji, takie jak unijna propozycja Chat Control, przyciągają tak wiele uwagi. Każdy system, który centralizuje dostęp do prywatnej komunikacji lub danych osobowych – czy to stworzony na potrzeby organów ścigania, czy dla wygody korporacji – staje się atrakcyjnym celem dla dokładnie tego rodzaju grup przestępczych, które opisano w tym raporcie. Im więcej danych jest gromadzonych, przechowywanych lub udostępnianych przez backdoory i mechanizmy skanowania, tym większa potencjalna nagroda dla atakujących, którzy przełamią zabezpieczenia tych systemów.

Nie jest to argument przeciwko wszelkiemu gromadzeniu danych czy narzędziom bezpieczeństwa, ale podkreśla podstawową zasadę: każdy zbiór danych przechowywany przez firmę lub rząd jest zarówno obciążeniem, jak i aktywem. Firmy, które padły ofiarą tego przypadku ransomware, prawdopodobnie miały wdrożone zabezpieczenia cybernetyczne, a mimo to atakujący znaleźli sposób, by się włamać. Ta rzeczywistość powinna wpływać na to, jak organizacje i ustawodawcy myślą o minimalizowaniu zbędnego przechowywania danych i dostępu do nich.

Co to oznacza dla Ciebie

Jeśli jesteś klientem, pracownikiem lub partnerem dużej firmy, tego rodzaju działalność ransomware jest sygnałem, na który warto zwrócić uwagę, nawet jeśli nie zostałeś osobiście wymieniony w konkretnym naruszeniu. Wycieki danych korporacyjnych często ujawniają się miesiącami później w postaci prób phishingu, ataków typu credential stuffing lub schematów kradzieży tożsamości, które wykorzystują informacje pochodzące z tych incydentów.

Dla firm wniosek jest bardziej bezpośredni. Grupy ransomware są coraz bardziej zmotywowane finansowo i zorganizowane, traktując ataki jako przedsięwzięcie biznesowe, a nie akt wandalizmu. Oznacza to, że zabezpieczenia muszą uwzględniać nie tylko szyfrowanie i żądania okupu, ale także samą kradzież i odsprzedaż danych.

Praktyczne wskazówki

Monitoruj swoje konta i aktywność kredytową pod kątem nietypowych oznak, zwłaszcza jeśli niedawno robiłeś interesy z dużą firmą – skradzione dane uwierzytelniające z naruszeń korporacyjnych często pojawiają się później w niepowiązanych atakach. Używaj unikalnych haseł do każdego konta i włączaj uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie to możliwe, aby pojedyncze wyciekłe hasło nie mogło zostać ponownie wykorzystane w różnych usługach. Jeśli zarządzasz organizacją lub w niej pracujesz, dąż do regularnych audytów tego, jakie dane są faktycznie niezbędne do przechowywania – nieużywane lub nadmiernie przechowywane dane jedynie zwiększają potencjalne szkody w przypadku przyszłego naruszenia. Wreszcie, bądź na bieżąco z tym, jak przepisy dotyczące dostępu do danych i skanowania komunikacji mogą zmienić krajobraz ryzyka – scentralizowane systemy danych pozostają głównym celem dla tego rodzaju operacji ransomware, które opisano w tym raporcie.

W miarę jak grupy ransomware nadal traktują skradzione dane jako dochodowy towar, zarówno osoby fizyczne, jak i organizacje muszą traktować minimalizację danych i higienę bezpieczeństwa jako stałe priorytety, a nie jednorazowe działania naprawcze.