Kampania wymuszenia oparta na kradzieży danych w Korei Południowej przyniosła wynik, który na papierze wygląda niemal komicznie: obrano za cel 38 organizacji, dane ukradziono od 90 ofiar, a łączny zysk wyniósł podobno zaledwie 226 dolarów. Liczby te, podane przez Cybernews i zaczerpnięte z raportów policyjnych, czynią tę sprawę użytecznym punktem odniesienia do rzeczywistości. Południowokoreańscy hakerzy wymuszający dane nie zawsze odnoszą sukces finansowy, ale to nie oznacza, że osoby, których informacje skradziono, są bezpieczne.

Jak przebiegała kampania wymuszenia za 226 dolarów

Według podsumowania Cybernews grupa wywierała presję na 38 organizacji po kradzieży danych od 90 ofiar. Wypłata wyniosła 226 dolarów. Materiały źródłowe, do których mamy dostęp, nie precyzują, kto zapłacił, ile wpłat wpłynęło ani jakie były żądania okupu, więc nie będziemy zgadywać tych szczegółów.

To, co pokazują liczby, to duża luka między wysiłkiem a nagrodą. Kradzież danych od dziesiątek ofiar i kontaktowanie się z dziesiątkami organizacji to realna praca, a mimo to zwrot był znikomy. Wskazuje to na operację, która była albo źle przeprowadzona, albo źle wycelowana, albo jedno i drugie, i sugeruje, że większość skontaktowanych organizacji nie ustąpiła.

Kontrastuje to z bardziej zindustrializowanym obrazem cyfrowego wymuszenia. Nasze spojrzenie na ransomware jako model biznesowy opisuje, jak dziedzina ta odeszła od małych, konspiracyjnych grup w stronę bardziej zorganizowanych struktur. Przypadek południowokoreański sytuuje się na przeciwnym krańcu: przypomnienie, że nie każda grupa wymuszająca jest wypolerowanym przedsięwzięciem przestępczym.

Co raporty policyjne ujawniają o metodach hakerów

Artykuł Cybernews podaje, że ustalenia pochodzą z raportów policyjnych. Część artykułu, do której mamy dostęp, to podsumowanie i nie precyzuje technicznych metod stosowanych przez hakerów, więc ten tekst nie będzie spekulować o konkretnych narzędziach ani punktach wejścia.

To, co można powiedzieć na podstawie podanych liczb, jest następujące:

  • Model opierał się na kradzieży danych i presji. Grupa najpierw ukradła dane, a następnie kontaktowała się z organizacjami. To powszechny schemat wymuszenia, który nie wymaga szyfrowania systemów ofiary.
  • Skala była umiarkowana. Dziewięćdziesiąt ofiar i 38 organizacji będących celem to daleko od największych kampanii w historii.
  • Policja była w stanie udokumentować tę działalność. Istnienie raportów policyjnych z tymi liczbami sugeruje, że śledczy mieli wgląd w to, co się wydarzyło, w tym jak niewiele pieniędzy zmieniło właściciela.

Wymuszenie o niskich kompetencjach często opiera się na jednym założeniu: że organizacja zapłaci szybko, aby uniknąć kompromitacji lub problemów regulacyjnych. Gdy organizacje odmawiają lub po prostu nie odpowiadają, ekonomia się załamuje. Wygląda na to, że właśnie to się tutaj stało.

Dlaczego nieudane wymuszenie wciąż naraża dane ofiar na ryzyko

Wypłata 226 dolarów to nie to samo co brak szkód. Dane wciąż zostały skradzione od 90 ofiar. Gdy informacje opuszczą systemy organizacji, osoby, których dotyczą, nie mają kontroli nad tym, co stanie się dalej. Mogą zostać zachowane, sprzedane, udostępnione lub opublikowane, niezależnie od tego, czy wymuszenie się powiodło.

Istnieje również praktyczne ryzyko dla osób fizycznych. Skradzione dane, takie jak imiona i nazwiska, adresy e-mail czy poświadczenia, mogą zostać ponownie wykorzystane w phishingu, próbach przejęcia konta lub oszustwach następczych. Grupa, której nie udało się zarobić na organizacji, może wciąż próbować zarobić na samych danych.

Korea Południowa miała do czynienia z innymi incydentami, w których ujawniono dane osobowe. Na przykład opisaliśmy, jak naruszenie bezpieczeństwa południowokoreańskiego dyplomaty ujawniło 10 000 rekordów w prowadzonej przez rząd akademii szkoleniowej. Inni sprawcy i inne okoliczności, ale ta sama podstawowa lekcja: twoje dane często znajdują się w systemach, którymi nie zarządzasz.

Co to oznacza dla ciebie

Większość ludzi nie może zapobiec naruszeniu bezpieczeństwa organizacji. To, co możesz zrobić, to ograniczyć szkody, jeśli twoje informacje są częścią skradzionego zbioru danych.

  • Zakładaj, że ekspozycja jest możliwa. Jeśli organizacja, z którą masz do czynienia, zgłasza naruszenie, traktuj każdy kontakt rzekomo z nim związany z podejrzliwością.
  • Spodziewaj się kolejnych oszustw. Grupy wymuszające i inni przestępcy mogą wysyłać e-maile lub wiadomości do osób bezpośrednio, wykorzystując skradzione dane kontaktowe.
  • Nie płać i nie podejmuj rozmów z groźbami. Jeśli otrzymasz wiadomość grożącą publikacją twoich danych, nie odpowiadaj i nie wysyłaj pieniędzy. Ten przypadek pokazuje, jak niewiele wymuszenie może faktycznie przynieść, a zapłata nigdy nie gwarantuje usunięcia danych.
  • Obserwuj aktywność na kontach. Nieoczekiwane alerty logowania, e-maile z resetowaniem hasła lub nowe urządzenia na twoich kontach zasługują na uwagę.

Jak chronić swoje konta przed próbami wymuszenia

Solidne podstawy wiele dają, nawet przeciwko oportunistycznym napastnikom:

  1. Używaj unikalnego hasła do każdego konta. Menedżer haseł czyni to realnym. Jeśli jedna usługa ujawni twoje poświadczenia, pozostałe pozostaną chronione.
  2. Włącz uwierzytelnianie wieloskładnikowe. Gdzie to możliwe, preferuj aplikację uwierzytelniającą lub klucz sprzętowy zamiast SMS.
  3. Zmień hasła po powiadomieniu o naruszeniu. Zrób to w usłudze, której to dotyczy, oraz wszędzie, gdzie użyłeś tego samego hasła.
  4. Ogranicz to, czym się dzielisz. Przekazuj organizacjom tylko te dane osobowe, których naprawdę potrzebują. Dane, które nigdy nie zostały zebrane, nie mogą zostać skradzione.
  5. Uważaj na nieoczekiwane wiadomości. Nie klikaj w linki ani nie otwieraj załączników w wiadomościach odnoszących się do naruszenia lub groźby. Wejdź bezpośrednio na oficjalną stronę internetową.
  6. Przejrzyj stare konta. Usuń konta, których już nie używasz, aby mniej organizacji przechowywało twoje informacje.

Korea Południowa doświadczyła również sytuacji, w których narzędzia bezpieczeństwa stały się powierzchnią ataku, jak w przypadku zero-day w AnySign4PC dotyczącego koreańskiego narzędzia bankowego. Utrzymywanie aktualności oprogramowania to kolejny nawyk, który warto pielęgnować.

Wnioski

Liczba 226 dolarów to dobra historia, ale nie powód do rozluźnienia. Południowokoreańscy hakerzy wymuszający dane nie odnieśli w tym przypadku większego zysku, a mimo to 90 ofiar wciąż miało skradzione dane. Zabezpiecz swoje konta, używaj unikalnych haseł z uwierzytelnianiem wieloskładnikowym i udostępniaj jak najmniej danych osobowych. Aby uzyskać szerszy kontekst, przeczytaj nasze omówienie modelu biznesowego ransomware i wymuszenia oraz nasze relacje o innych południowokoreańskich naruszeniach.