Szwajcarski sąd wymierzył karę blisko 13 lat pozbawienia wolności 52-letniemu Ukraińcowi skazanemu za opracowanie odmiany ransomware Nefilim, kończąc sprawę, której początki sięgają cyberataku z 2020 roku na Stadler Rail. Wyrok ten stanowi jedno z bardziej znaczących postępowań karnych dotyczących ransomware, jakie rozegrały się w europejskiej sali sądowej, i oferuje użyteczne spojrzenie na to, jak faktycznie działają operacje ransomware oraz co się dzieje, gdy ofiary odmawiają zapłaty.

Od incydentu malware do wyroku skazującego za ransomware

Gdy Stadler Rail zostało zaatakowane w 2020 roku, firma początkowo nie użyła słowa „ransomware". W tamtym czasie opisała incydent jedynie jako związany ze złośliwym oprogramowaniem, które „najprawdopodobniej doprowadziło do wycieku danych", i stwierdziła, że napastnicy próbowali wyłudzić dużą sumę pieniędzy, grożąc publikacją skradzionych plików, jeśli okup nie zostanie zapłacony. Stadler odmówiło wówczas zapłaty, podobnie jak po osobnym incydencie w tym roku. Ta odmowa utorowała drogę do śledztwa karnego, które ostatecznie zidentyfikowało osobę stojącą za kodem ransomware Nefilim użytym w ataku.

Nefilim był częścią fali rodzin ransomware, które łączyły szyfrowanie plików z kradzieżą danych — taktykę często nazywaną podwójnym wymuszaniem. Zamiast jedynie blokować systemy ofiary, operatorzy najpierw eksfiltrowali wrażliwe pliki, a następnie grozili ich publicznym ujawnieniem, jeśli ofiara nie zapłaci. Takie podejście wywierało dodatkową presję na organizacje, ponieważ nawet solidna strategia tworzenia kopii zapasowych nie mogła ochronić przed reputacyjnymi i regulacyjnymi konsekwencjami publicznego wycieku danych. Nasze wcześniejsze relacje z procesu dotyczącego ransomware w Zurychu szczegółowo opisywały, jak prokuratorzy budowali swoją sprawę, domagając się 12-letniego wyroku, zanim sąd ostatecznie wymierzył karę blisko 13 lat.

Dlaczego ta sprawa ma znaczenie poza Szwajcarią

Postępowania karne dotyczące ransomware kończące się długoletnimi wyrokami więzienia pozostają stosunkowo rzadkie, głównie dlatego, że wielu operatorów działa z jurysdykcji, które utrudniają ekstradycję lub aresztowanie. Ta sprawa jest godna uwagi właśnie dlatego, że doprowadziła do zidentyfikowania konkretnej osoby, procesu karnego i znacznego wyroku wydanego przez szwajcarski sąd. Pokazuje, że organy ścigania i prokuratorzy mogą w niektórych okolicznościach skutecznie prześledzić kod ransomware aż do jego twórcy i pociągnąć tę osobę do odpowiedzialności lata po pierwotnym ataku.

Sprawa ta wzmacnia również wzorzec, który wielokrotnie pojawia się w incydentach ransomware: ofiary, które odmawiają zapłaty, niekoniecznie spotykają się z gorszymi konsekwencjami, a zapłata okupu nie daje żadnej gwarancji, że skradzione dane i tak nie zostaną ujawnione. Decyzja Stadler Rail o niezapłaceniu w 2020 roku, a także ponownie w tym roku, jest zgodna z wytycznymi badaczy bezpieczeństwa i agencji ścigania, które generalnie odradzają finansowanie operacji ransomware, ponieważ zapłata nie cofa naruszenia, a często finansuje dalszą działalność przestępczą.

Co to oznacza dla Ciebie

Dla większości czytelników ta sprawa nie jest bezpośrednim zagrożeniem, ale przypomina, jak operacje ransomware faktycznie funkcjonują za kulisami. Ataki takie jak ten na Stadler Rail zazwyczaj zaczynają się od skradzionych danych uwierzytelniających, e-maili phishingowych lub wykorzystanych luk w oprogramowaniu, a nie od jakiejś niepowstrzymanej siły. Osoby, które piszą i wdrażają kod ransomware, to ludzie, którzy w niektórych przypadkach mogą zostać zidentyfikowani, oskarżeni i skazani, nawet lata po ataku.

Jeśli pracujesz w organizacji przetwarzającej wrażliwe dane, ta sprawa podkreśla znaczenie założenia, że każde skuteczne włamanie może wiązać się z kradzieżą danych, a nie tylko szyfrowaniem. Same strategie tworzenia kopii zapasowych nie wystarczą. Organizacje potrzebują planów reagowania na incydenty, które uwzględniają możliwość wycieku plików, i muszą zdecydować o swoim stanowisku wobec okupów przed atakiem, a nie w trakcie jego chaosu. Dla indywidualnych użytkowników wniosek jest podobny do tego, co od dawna zalecamy: silne, unikalne hasła, uwierzytelnianie wieloskładnikowe i ostrożne obchodzenie się z załącznikami i linkami w wiadomościach e-mail pozostają najskuteczniejszą obroną przed technikami początkowego dostępu, które w ogóle umożliwiają ataki ransomware.

Najważniejsze wnioski

Ten wyrok pokazuje, że operatorzy ransomware nie są nietykalni i że cierpliwa praca śledcza może ostatecznie połączyć fragment złośliwego kodu z osobą, która go napisała. Dla organizacji sprawa ta wzmacnia wartość odmowy spełnienia żądań okupu i przygotowania się na scenariusze wycieku danych, zamiast zakładania, że szyfrowanie jest jedynym ryzykiem. Dla osób indywidualnych jest to przypomnienie, że ataki ransomware prawie zawsze zaczynają się od przyziemnego błędu w zabezpieczeniach — słabego hasła, niezaktualizowanego systemu lub udanej próby phishingu — z których wszystkich można zapobiec dzięki podstawowej higienie bezpieczeństwa. W miarę jak coraz więcej spraw dotyczących ransomware trafia do sądów, należy spodziewać się dalszej wnikliwej analizy tego, jak takie operacje są finansowane, prowadzone i ostatecznie rozbijane.