Zakład banku na uczciwość przestępców

Jeśli chodzi o oprogramowanie ransomware, jedną z najdziwniejszych części całego przestępczego modelu biznesowego jest obietnica składana po dokonaniu płatności: przekaż pieniądze, a my usuniemy twoje skradzione dane. River Financial Corporation, spółka matka działającego w Alabamie River Bank & Trust, najwyraźniej przyjęła tę obietnicę za dobrą monetę. W formularzu 8-K złożonym w amerykańskiej Komisji Papierów Wartościowych i Giełd (SEC) bank ujawnił, że „podjął kroki w celu powstrzymania rozprzestrzeniania się danych, w tym uzyskał zapewnienia” od atakujących – w istocie pisemne poręczenie, że skradzione informacje zostaną zniszczone. Co istotne, w zgłoszeniu nie potwierdzono jednoznacznie, czy River Bank faktycznie zapłacił okup, choć uzyskanie takich „zapewnień” od operatorów ransomware zazwyczaj następuje dopiero po przekazaniu pieniędzy.

To ujawnienie wypada w niezręcznym momencie dla każdego, kto byłby skłonny zaufać obietnicy usunięcia danych przez grupę ransomware. Operacja organów ścigania wymierzona w gang LockBit ujawniła, że dane ofiar były przechowywane na infrastrukturze grupy nawet w przypadkach, gdy ofiary zapłaciły już okup. Innymi słowy, pole wyboru z etykietą „dane usunięte”, na którym tak wiele firm polega, zamykając incydent i uspokajając regulatorów, klientów oraz własne zarządy, było – przynajmniej w niektórych udokumentowanych przypadkach – po prostu nieprawdziwe.

Dlaczego obietnica usunięcia danych przez ransomware rzadko się sprawdza

Cała koncepcja płacenia gangowi ransomware za usunięcie danych opiera się na oczywistej sprzeczności: prosisz organizację przestępczą, która włamała się do twojej sieci i ukradła poufne dane, aby dobrowolnie zrezygnowała ze swojej przewagi. Nie istnieje żaden mechanizm egzekucji, ścieżka audytu ani droga prawna, jeśli grupa zatrzyma kopię, sprzeda ją na rynku dark webowym lub wykorzysta do kolejnej rundy wymuszeń w przyszłości. Badacze bezpieczeństwa od dawna ostrzegają, że filmy, zrzuty ekranu czy pisemne oświadczenia dostarczane przez ekipy ransomware jako „dowód usunięcia” są z założenia nieweryfikowalne. Likwidacja LockBita dostarczyła jedynie twardych dowodów na to, co wielu w społeczności bezpieczeństwa podejrzewało od dawna.

Dla instytucji finansowych ma to ogromne znaczenie. Banki przechowują jedne z najbardziej wrażliwych danych osobowych, jakie istnieją, w tym numery ubezpieczenia społecznego, dane kont i historię transakcji. Kiedy dane te zostaną wykradzione podczas włamania, obietnica ich usunięcia złożona przez przestępcę nie zapewnia żadnej realnej ochrony klientom, których informacje zostały ujawnione. Daje co najwyżej argument do wykorzystania w zgłoszeniu regulacyjnym.

Jak doszło do naruszenia

Incydent w River Bank nie wydarzył się w próżni. Według wcześniejszych doniesień wywiadu zagrożeń, naruszenie było powiązane z uzyskaniem dostępu przez nieupoważnionego aktora poprzez lukę w przestarzałym protokole VPN – szczegół ten omówiliśmy w naszym wcześniejszym artykule o incydencie ransomware w River Bank & Trust. Przestarzała infrastruktura dostępu zdalnego pozostaje jednym z najczęstszych punktów wejścia dla gangów ransomware, właśnie dlatego, że często znajduje się na granicy sieci, jest łatwa do przeskanowania i często pomijana w cyklach zarządzania poprawkami. Po dostaniu się do środka atakujący zazwyczaj przemieszczają się poprzecznie, lokalizują cenne zasoby danych i wykradają informacje, zanim w ogóle uruchomią ładunek ransomware – co oznacza, że kradzież często ma miejsce na długo przed tym, zanim ktokolwiek zauważy, że coś jest nie tak.

Co to oznacza dla Ciebie

Jeśli jesteś klientem River Bank & Trust lub jakiejkolwiek instytucji, która ujawniła incydent ransomware, praktyczna rzeczywistość jest taka: żadna obietnica atakujących o usunięciu twoich danych nie powinna być traktowana jako gwarancja bezpieczeństwa. Gdy informacje opuszczą sieć firmy w wyniku ataku ransomware, należy je traktować jako trwale skompromitowane, niezależnie od tego, jakie zapewnienia zostaną później uzyskane. Oznacza to monitorowanie kont i raportów kredytowych pod kątem nietypowej aktywności, wyczulenie na próby phishingu odwołujące się do prawdziwych danych konta (częsta taktyka stosowana po tym, jak skradzione dane bankowe krążą wśród grup przestępczych) oraz rozważenie zamrożenia kredytu, jeśli numery ubezpieczenia społecznego lub numery kont były częścią ujawnionego zestawu danych.

Dla firm i instytucji finansowych śledzących tę historię lekcja jest szersza. Poleganie na obietnicy usunięcia danych przez gang ransomware jako elemencie strategii reagowania na incydent, nie mówiąc już o przedstawianiu jej regulatorom jako środka łagodzącego, wysyła błędny sygnał o tym, jak poważnie organizacja traktuje ochronę danych. Zweryfikowane kopie zapasowe, segmentacja sieci i niezwłoczne łatanie infrastruktury dostępu zdalnego, takiej jak bramy VPN, robią znacznie więcej dla ochrony danych klientów niż jakiekolwiek zapewnienie wyciągnięte od przestępczej organizacji.

Kluczowe wnioski

  • Każdą obietnicę grupy ransomware dotyczącą usunięcia skradzionych danych traktuj jako nieweryfikowalną i nieegzekwowalną, a nie jako realne zabezpieczenie.
  • Jeśli masz konto w instytucji, która ujawniła naruszenie, uważnie monitoruj wyciągi i raporty kredytowe oraz rozważ zamrożenie kredytu.
  • Zachowaj szczególną ostrożność wobec wiadomości phishingowych, które w tygodniach i miesiącach po ujawnieniu incydentu powołują się na dokładne dane konta lub dane osobowe.
  • Organizacje powinny priorytetowo traktować łatanie znanych luk w VPN i dostępie zdalnym, ponieważ przestarzałe protokoły pozostają głównym punktem wejścia dla gangów ransomware.

W miarę jak śledztwa dotyczące ransomware wciąż obnażają rozdźwięk między tym, co obiecują grupy przestępcze, a tym, co faktycznie robią, zarówno konsumenci, jak i firmy powinni planować, zakładając, że skradzione dane nigdy naprawdę nie znikają – bez względu na to, jakie zapewnienie na piśmie dostarczy ekipa ransomware.