Korea Południowa i USA biorą na cel gang ransomware GUNRA we wspólnym dochodzeniu

Korea i USA podejmują działania przeciwko szybko rosnącemu zagrożeniu ransomware

Władze Korei Południowej i Stanów Zjednoczonych ogłosiły wspólny wysiłek w celu namierzenia i zakłócenia działalności gangu ransomware GUNRA – grupy, która rozszerza swój zasięg na firmy finansowe, opieki zdrowotnej i produkcyjne zarówno w kraju, jak i za granicą. Współpraca ta sygnalizuje, że GUNRA przestała być niszowym utrapieniem cyberprzestępczym, a stała się zagrożeniem na tyle poważnym, że wymaga skoordynowanej międzynarodowej uwagi, i rodzi nowe pytania o to, jak firmy i konsumenci są przygotowani na rodzaj ujawnienia danych, w którym ta grupa się specjalizuje.

Metoda GUNRA nie jest wyjątkowa w świecie ransomware, ale jest szczególnie niszczycielska. Śledczy twierdzą, że grupa stosuje podejście „podwójnego wymuszenia”: najpierw wykrada wewnętrzne dane firmy, a następnie szyfruje pliki ofiary. Ten dwuetapowy proces oznacza, że nawet organizacje z solidnymi systemami kopii zapasowych, które w innym przypadku mogłyby odzyskać zaszyfrowane pliki bez płacenia, wciąż znajdują się pod presją zapłaty, ponieważ ich skradzione dane mogą zostać ujawnione lub sprzedane niezależnie od tego, czy przywrócą swoje systemy.

Schemat podwójnego wymuszenia i witryna w dark webie

Z punktu widzenia prywatności szczególnie niepokojący jest sposób, w jaki GUNRA działa publicznie. Według śledczych grupa utrzymuje własną stronę w dark webie, na której publikuje listy firm-ofiar wraz z fragmentami skradzionych materiałów. Służy to zarówno jako taktyka nacisku, jak i swego rodzaju pokaz „dowodu działania” dla przyszłych ofiar: zapłać, albo twoje dane trafią na listę. Dla każdej firmy, której dane klientów, akta pracownicze czy informacje zdrowotne znajdą się w opublikowanym materiale, szkoda wykracza daleko poza pierwotne włamanie. Gdy dane zostaną skopiowane na serwer kontrolowany przez przestępców, nie ma gwarancji, że pozostaną one poufne, niezależnie od tego, czy okup zostanie ostatecznie zapłacony.

Ten schemat wpisuje się w szerszy trend, który w ostatnim czasie ujawnił się w Korei Południowej. Naruszenie danych w Coupang pokazało, jak szybko pojedyncza awaria zabezpieczeń korporacyjnych może przerodzić się w sprawę o znaczeniu ogólnokrajowym, zwłaszcza gdy zaangażowana firma przetwarza dane dziesiątek milionów ludzi. Regulatorzy po tym incydencie nałożyli na Coupang przełomową grzywnę w wysokości 409 milionów dolarów, podkreślając, że władze Korei Południowej są coraz bardziej skłonne traktować naruszenia ochrony danych jako poważne sprawy regulacyjne, a nie tylko techniczne wypadki.

Dlaczego współpraca międzynarodowa ma tu znaczenie

Gangi ransomware takie jak GUNRA rzadko działają w granicach jednego kraju. Ofiary mogą być rozproszone po kontynentach, infrastruktura często jest hostowana w jurysdykcjach o ograniczonej współpracy organów ścigania, a przestępcy stojący za tymi operacjami często ukrywają swoją tożsamość i lokalizację. Właśnie dlatego wspólne dochodzenia między takimi krajami jak Korea Południowa i USA mają znaczenie: łączenie wywiadu, udostępnianie wskaźników naruszenia bezpieczeństwa i koordynowanie działań egzekucyjnych daje śledczym większą szansę na zidentyfikowanie ludzi i infrastruktury stojących za operacją.

Tego rodzaju transgraniczne wysiłki demaskujące mają swoje precedensy. Badacze wcześniej pracowali nad identyfikacją osób i organizacji stojących za innymi trwałymi zagrożeniami cybernetycznymi, co było widoczne, gdy Intrusion Truth zdemaskowało nowego chińskiego kontrahenta cybernetycznego powiązanego z państwową działalnością hakerską. Te wysiłki pokazują, że cierpliwe, wspólne śledztwo – czy to prowadzone przez agencje rządowe, czy niezależnych badaczy – może stopniowo osłabiać anonimowość, na której polegają grupy ransomware i szpiegowskie.

Co to oznacza dla ciebie

Jeśli pracujesz w firmie z branży finansowej, opieki zdrowotnej lub produkcyjnej, albo jesteś klientem jednej z nich, sytuacja z GUNRA przypomina, że ransomware jest dziś zasadniczo problemem prywatności danych, a nie tylko problemem zakłócenia IT. Podwójne wymuszenie oznacza, że twoje dane osobowe mogą zostać ujawnione, nawet jeśli firma poradzi sobie z atakiem szybko i kompetentnie od strony technicznej.

Dla osób fizycznych oznacza to kilka praktycznych nawyków: monitoruj konta powiązane z firmami, z którymi robisz interesy, pod kątem nietypowej aktywności, używaj unikalnych haseł do różnych usług, aby pojedyncze wyciekające dane uwierzytelniające nie rozprzestrzeniły się kaskadowo na twoje konta, i zwracaj uwagę na powiadomienia o naruszeniach, zamiast traktować je rutynowo. Dla firm sprawa ta podkreśla znaczenie przyjęcia założenia, że prawdziwym zagrożeniem są skradzione dane, a nie tylko zablokowane systemy, co zmienia sposób priorytetyzacji reagowania na incydenty i ryzyka związanego z dostawcami.

Wyprzedzanie ryzyka związanego z ransomware

Wspólne działania przeciwko gangowi ransomware GUNRA to pozytywny sygnał, że władze traktują grupy stosujące podwójne wymuszenie priorytetowo, a nie jako zagrożenie tła. Jednak dochodzenia wymagają czasu, a praktyka publikowania w dark webie przez gang oznacza, że szkody mogą nastąpić na długo przed jakimikolwiek wynikami działań egzekucyjnych. Czytelnicy powinni potraktować to jako kolejny sygnał do zaostrzenia osobistej higieny bezpieczeństwa i spodziewać się większej kontroli nad tym, jak firmy chronią gromadzone dane. Bycie na bieżąco z rozwojem sytuacji w zakresie ransomware, takim jak ten, to jeden z najprostszych sposobów, aby wyprzedzić o krok kolejne powiadomienie o naruszeniu, które trafi do twojej skrzynki odbiorczej.