Grupa ransomware odpowiedzialna za naruszenia w ANC, SAA i Pick n Pay

Pojedyncza grupa ransomware zdołała włamać się do sieci niektórych z najbardziej rozpoznawalnych instytucji w RPA, w tym Afrykańskiego Kongresu Narodowego (ANC), Anglo American, Mediclinic, South African Airways (SAA) oraz Pick n Pay. Wspólnym mianownikiem tych incydentów jest ransomware podwójnego wymuszenia – taktyka, która stała się domyślnym schematem działania cyberprzestępców atakujących duże organizacje w całej RPA i poza nią.

To, co czyni tę serię naruszeń godną uwagi, to nie tylko rozmiar czy renoma ofiar. To fakt, że jeden podmiot był w stanie wielokrotnie przedostawać się do sieci organizacji z zupełnie różnych sektorów: partii politycznej, giganta górniczego, prywatnego dostawcy opieki zdrowotnej, narodowych linii lotniczych i dużej sieci handlowej. Taki przekrój mówi wiele o tym, jak działają dziś grupy ransomware i dlaczego ransomware podwójnego wymuszenia w RPA stało się tak uporczywym problemem dla organizacji przechowujących dane klientów, pacjentów czy obywateli.

Co się stało: Grupa ransomware stojąca za naruszeniami w ANC, SAA i Pick n Pay

Według doniesień to samo zagrożenie ransomware zostało powiązane z włamaniami do ANC, Anglo American, Mediclinic, SAA i Pick n Pay. Zamiast celować w jedną branżę lub typ organizacji, grupa ta zarzuciła szeroką sieć na podmioty powiązane z rządem, korporacyjnych gigantów, dostawców opieki zdrowotnej i firmy handlowe skierowane do konsumentów. Ta rozpiętość sugeruje, że grupa działa oportunistycznie, atakując sieci, do których zdoła się włamać, zamiast trzymać się konkretnego sektora czy motywu.

Każda z tych organizacji przechowuje inne, ale równie wrażliwe kategorie danych. ANC posiada dane polityczne i członkowskie. Anglo American, jako globalna firma górnicza, przechowuje dane korporacyjne i operacyjne. Mediclinic posiada dokumentację medyczną pacjentów. SAA przechowuje dane pasażerów i podróży. Pick n Pay gromadzi dane o lojalności klientów i transakcjach. To, że jedna grupa była w stanie sięgnąć po te wszystkie różne środowiska, podkreśla, że dzisiejsi operatorzy ransomware nie polują tylko na jeden rodzaj łupu – szukają dźwigni, gdziekolwiek ją znajdą.

Czym ransomware podwójnego wymuszenia różni się od tradycyjnych ataków

Tradycyjne ransomware było stosunkowo proste: atakujący szyfrowali pliki ofiary i żądali okupu w zamian za klucz deszyfrujący. Z czasem organizacje nauczyły się lepiej bronić przed tym modelem, utrzymując kopie zapasowe offline, dzięki czemu mogły przywrócić systemy bez płacenia okupu.

Grupy ransomware dostosowały się. Ransomware podwójnego wymuszenia dodaje drugą warstwę presji. Przed zaszyfrowaniem systemów ofiary atakujący najpierw po cichu kopiują, czyli wykradają, wrażliwe dane z sieci. Gdy szyfrowanie zostanie uruchomione, a żądanie okupu dostarczone, ofiara staje przed dwoma odrębnymi groźbami: zapłać, aby przywrócić systemy do działania, i zapłać ponownie (lub dodatkowo), aby powstrzymać publikację lub sprzedaż skradzionych danych online.

Takie podejście neutralizuje obronę opartą na kopiach zapasowych, na której polega wiele organizacji. Nawet jeśli firma może przywrócić systemy z kopii zapasowych bez płacenia okupu, wciąż musi zmierzyć się z faktem, że jej dane – czy to dokumentacja finansowa, informacje zdrowotne czy bazy klientów – znajdują się w rękach przestępców grożących ich ujawnieniem. Właśnie dlatego podwójne wymuszenie stało się dominującą strategią ransomware: daje atakującym drugi punkt nacisku, nawet gdy pierwszy zawiedzie.

Dlaczego ma to znaczenie, jeśli jesteś klientem tych organizacji

Jeśli jesteś członkiem ANC, pacjentem Mediclinic, stałym pasażerem SAA, uczestnikiem programu Smart Shopper Pick n Pay lub w jakikolwiek sposób powiązanym z Anglo American, tego rodzaju naruszenie nie jest tylko abstrakcyjnym problemem korporacyjnym. To bezpośrednie ryzyko dla twoich danych osobowych. Ataki podwójnego wymuszenia celują właśnie w ten rodzaj danych, który ma wartość wykraczającą poza samą organizację: nazwiska, dane kontaktowe, numery identyfikacyjne, informacje finansowe, dokumentacja medyczna i dane programów lojalnościowych.

Gdy takie dane trafiają w ręce grupy ransomware, niekoniecznie pozostają pod kontrolą. Skradzione rekordy z tego typu naruszeń często są publikowane, sprzedawane lub rozpowszechniane na forach przestępczych, nierzadko długo po tym, jak pierwotny incydent znika z nagłówków. Skala ekspozycji może być ogromna. Aby zrozumieć, jak dalekosiężne mogą być skutki uboczne, wystarczy spojrzeć na naruszenie danych w Meksyku, które ujawniło 195 milionów tożsamości – pokazuje ono, jak szeroki zasięg może mieć pojedynczy, duży atak, gdy skradzione dane tożsamości zaczną krążyć.

W przeciwieństwie do kampanii cybernetycznych powiązanych z państwami, które często koncentrują się na szpiegostwie lub zakłócaniu infrastruktury, co widać w atakach sponsorowanych przez państwo zgłaszanych w Singapurze, grupy ransomware podwójnego wymuszenia kierują się motywacją finansową. Oznacza to, że dane, które od ciebie kradną, są traktowane jak towar – coś do spieniężenia poprzez okup, odsprzedaż lub publiczne wycieki mające wywrzeć presję na organizację-ofiarę.

Praktyczne kroki, aby chronić swoje dane po naruszeniu w podmiocie trzecim

Nie masz wpływu na to, czy organizacja, z którą robisz interesy, padnie ofiarą włamania, ale możesz kontrolować, jak zareagujesz i jak bardzo pozostaniesz narażony.

• Sprawdź, czy twoje dane zostały uwzględnione w powiadomieniach o naruszeniu od ANC, Anglo American, Mediclinic, SAA lub Pick n Pay i postępuj zgodnie z wszelkimi szczegółowymi zaleceniami.
• Zmień hasła do wszystkich kont powiązanych z tymi organizacjami, zwłaszcza jeśli używałeś tego samego hasła gdzie indziej.
• Włącz uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie jest oferowane, szczególnie w przypadku kont finansowych, medycznych i programów lojalnościowych.
• Monitoruj wyciągi bankowe i karty kredytowej pod kątem nieznanych transakcji, ponieważ dane finansowe i tożsamości są często najcenniejszym łupem w tego typu naruszeniach.
• Uważaj na późniejsze próby phishingu – skradzione dane osobowe są często wykorzystywane do tworzenia przekonujących fałszywych e-maili lub wiadomości, które odwołują się do prawdziwych informacji o koncie.

Szerszy obraz ransomware podwójnego wymuszenia w RPA

Fakt, że jedna grupa ransomware zdołała dostać się do partii politycznej, konglomeratu górniczego, sieci opieki zdrowotnej, linii lotniczych i sieci handlowej, pokazuje, że ransomware podwójnego wymuszenia w RPA stało się wspólnym ryzykiem we wszystkich sektorach, a nie niszowym problemem jednej branży. Organizacje są odpowiedzialne za zabezpieczanie swoich sieci, ale pojedyncze osoby również odgrywają rolę w ograniczaniu szkód po wystąpieniu naruszenia.

Bycie na bieżąco z informacjami o tym, które organizacje, z którymi masz do czynienia, zostały dotknięte, szybka aktualizacja danych logowania i wypatrywanie oznak nadużyć to praktyczne, osiągalne kroki. Wycieki danych w dużych instytucjach będą się zdarzać nadal, ale to, jak szybko na nie zareagujesz, może zadecydować o tym, czy skończy się na drobnej niedogodności, czy na poważnym problemie kradzieży tożsamości.