Zespół analityków firmy zajmującej się cyberbezpieczeństwem, KELA, przeanalizował wewnętrzne rozmowy Silent Ransom Group (SRG), a ujawnione czaty Silent Ransom Group dają rzadki wgląd w to, jak działa i myśli współczesna grupa zajmująca się wymuszeniami. Szczegóły są istotne dla dużych firm, ale dotyczą także małych organizacji i osób prywatnych, których konta i dane mogą stać się narzędziem nacisku.

Ten tekst trzyma się tego, co udostępnia analiza KELA. Opublikowane podsumowanie jest zwięzłe, więc tam, gdzie szczegółów nie ma w źródle, mówimy o tym wprost, zamiast zgadywać.

Czym jest Silent Ransom Group

SRG to grupa zajmująca się wymuszeniami. Jak wynika z opracowania KELA, takie grupy utrzymują się, ponieważ model działa i trudno go wyeliminować, a ta trwałość jest częścią tego, co czyni je niebezpiecznymi. Analiza stawia także pytanie, czy organizacje w USA są większym celem niż inne, co sugeruje, że geografia ofiar jest jednym z pytań, na które pomagają odpowiedzieć ujawnione rozmowy.

Kluczowy jest model biznesowy. Zamiast opierać się wyłącznie na szyfrowaniu plików, grupy z tej kategorii koncentrują się na uzyskaniu dostępu, kradzieży danych, a następnie wywieraniu presji. Takie podejście obniża barierę techniczną i przenosi walkę z systemów na ludzi i reputację.

Co ujawnione czaty mówią o ich sposobie działania

Analiza KELA, oparta na ujawnionych wewnętrznych czatach, omawia, jak grupa buduje swoją działalność ransomware i wymuszeniową. Najistotniejszy dla codziennego czytelnika wątek to poleganie na telefonicznym podszywaniu się pod IT. W tym stylu ataku ktoś dzwoni do pracownika, podając się za pomoc techniczną, a następnie nakłania go do przekazania dostępu lub zatwierdzenia czegoś, czego nie powinien.

Tę taktykę omówiliśmy szerzej w naszym artykule o oszustwie polegającym na podszywaniu się pod pomoc techniczną IT, który przygląda się, jak ten schemat jest zorganizowany za kulisami. Warto go przeczytać, jeśli interesują cię szczegóły operacyjne.

Szerszy wzorzec polega na tym, że punktem nacisku stają się skradzione dane, a nie zaszyfrowane pliki. Ofiary mogą być w stanie przywrócić systemy z kopii zapasowych i nadal mierzyć się z groźbą wycieku informacji. To ta sama zmiana, którą opisujemy w naszym materiale o tym, jak ransomware pomija szyfrowanie i nadal przynosi zyski.

Dlaczego skradzione dane uwierzytelniające i dane osobowe mają znaczenie dla prywatności

Łatwo odczytać taką historię jako problem korporacyjny. Ale dane, które kradnie grupa taka jak SRG, często należą do zwykłych ludzi: klientów, pacjentów, pracowników i zleceniodawców. Jedna udana rozmowa telefoniczna z pracownikiem może ujawnić rekordy zawierające imiona i nazwiska, dane kontaktowe i informacje o kontach.

Dla osób prywatnych ryzyko objawia się na kilka sposobów:

  • Twoje informacje mogą znajdować się w organizacji, która staje się celem, nawet jeśli nigdy nie zrobiłeś nic złego.
  • Dane uwierzytelniające używane ponownie w różnych usługach mogą zamienić jedno ujawnienie w kilka.
  • Wiadomości z żądaniami okupu mogą być kierowane bezpośrednio do ciebie, gdy twoje dane trafią w ręce przestępców.

VPN nie zapobiega żadnemu z tych scenariuszy. Szyfruje twój ruch i maskuje adres IP, ale nie może powstrzymać kogoś przed nakłonieniem pracownika pomocy technicznej do przekazania dostępu ani nie zapobiegnie wyciekowi danych, które posiada o tobie strona trzecia. Liczą się tu nawyki i higiena kont.

Praktyczne kroki, aby ograniczyć ekspozycję

Nie możesz kontrolować, jak każda organizacja chroni twoje dane, ale możesz ograniczyć szkody i sprawić, że ty i twoje miejsce pracy staniecie się trudniejszym celem.

Weryfikuj, zanim zaufasz dzwoniącemu. Jeśli ktoś twierdzi, że jest wsparciem IT, rozłącz się i skontaktuj z pomocą techniczną pod znanym ci numerem. Legitymowane wsparcie nie będzie miało nic przeciwko. Szczególnie uważaj na wszelkie prośby o zainstalowanie oprogramowania, zatwierdzenie monitu logowania lub odczytanie kodu.

Wzmocnij uwierzytelnianie wieloskładnikowe. Włącz MFA wszędzie, gdzie jest oferowane, i gdzie to możliwe, preferuj metody oparte na aplikacji lub sprzętowe zamiast wiadomości tekstowych. Nigdy nie zatwierdzaj monitu, którego sam nie wywołałeś.

Używaj unikalnych haseł. Menedżer haseł czyni to realnym. Jeśli jedno konto zostanie ujawnione, unikalne hasła ograniczają problem.

Utrzymuj przetestowane kopie zapasowe offline. Kopie zapasowe pomagają, gdy pliki zostaną zaszyfrowane, ale pamiętaj, że nie chronią przed kradzieżą danych. Traktuj je jako jedną warstwę, nie cały plan.

Ogranicz to, czym się dzielisz. Im mniej danych osobowych posiada o tobie organizacja, tym mniej może wyciec. Pomyśl dwa razy, zanim przekażesz opcjonalne szczegóły.

Dla małych organizacji: spisz procedurę weryfikacji pomocy technicznej, taką jak zasada oddzwonienia lub wspólne hasło, i upewnij się, że każdy pracownik ją zna. Szkol personel, że pośpiech jest częstą taktyką manipulacji.

Co to oznacza dla ciebie

Ujawnione czaty Silent Ransom Group przypominają, że wiele ataków zaczyna się od rozmowy, a nie od kawałka złośliwego oprogramowania. Niezależnie od tego, czy prowadzisz małe biuro, czy po prostu masz konta w wielu firmach, najbardziej przydatne zabezpieczenia są niskotechnologiczne: potwierdzaj tożsamości, chroń logowania silnym MFA i zakładaj, że dane posiadane przez innych mogą w końcu wyciec.

Najważniejsze wnioski

Kilka minut poświęconych teraz na te kontrole jest znacznie tańsze niż późniejsze zmaganie się z wiadomością z żądaniem okupu.