Budzik za 50 milionów dolarów dla wielkich kancelarii

Niektóre z najbardziej prestiżowych kancelarii prawnych w Stanach Zjednoczonych, w tym Weil Gotshal & Manges, WilmerHale i Goodwin Procter, podobno zapłaciły łącznie blisko 50 milionów dolarów grupie cyberwymuszeń w ciągu ostatnich kilku miesięcy. To, co czyni tę sprawę szczególnie niepokojącą, to nie tylko kwota. Chodzi o to, jak przebiegł atak. Żadne systemy nie zostały zaszyfrowane. Nie było zablokowanego ekranu, licznika czasu ani tradycyjnego listu z żądaniem okupu za odblokowanie zamrożonych plików. To była cichsza, bardziej precyzyjna forma ransomware, oparta na skradzionych danych, a nie na sparaliżowanej infrastrukturze.

Dla branży, która posiada jedne z najbardziej wrażliwych informacji, jakie istnieją, od poufnej korespondencji z klientami po dokumenty finansowe i szczegóły fuzji, ten incydent jest przypomnieniem, że nawet najlepiej wyposażone instytucje mogą zostać zaskoczone.

Dlaczego ransomware nie zawsze wygląda jak ransomware

Klasyczny obraz ataku ransomware to firma, która budzi się i odkrywa, że wszystkie pliki są zaszyfrowane, a na ekranie widnieje wiadomość z żądaniem kryptowaluty w zamian za przywrócenie dostępu. Ta wersja ransomware wciąż istnieje, ale atakujący coraz częściej przechodzą na inny model: najpierw cicho eksfiltrują dane, a następnie grożą ich ujawnieniem lub sprzedażą, jeśli nie otrzymają zapłaty. Żadne szyfrowanie nie jest potrzebne. Żadne systemy nie muszą padać. Cała dźwignia nacisku wynika wyłącznie z groźby ujawnienia.

Ta zmiana ma znaczenie, ponieważ zmienia to, jak wygląda "wykrycie". Tradycyjne ransomware ujawnia się w momencie zablokowania plików. Wymuszenie danych z kolei może odbywać się w ciszy, czasem przez tygodnie lub miesiące, zanim ofiara w ogóle zauważy, że informacje opuściły jej sieć. Kancelarie prawne są szczególnie atrakcyjnym celem dla tego podejścia, ponieważ dane, które posiadają — strategia procesowa, ujawnienia finansowe, dane osobowe klientów — są często cenniejsze, gdy pozostają poufne, niż gdyby zostały po prostu usunięte.

Ten scenariusz nie jest zresztą unikalny dla branży prawniczej. Podobne taktyki wymuszeń stosowano wobec firm daleko poza sektorem prawnym. W Australii atakujący publicznie groził ujawnieniem milionów plików klientów, chyba że Origin Energy zapłaci, a gigant energetyczny Shell musiał zbadać twierdzenia grupy Cl0p, że ukradła blisko 89 GB danych firmowych. Wspólnym mianownikiem we wszystkich tych przypadkach jest to, że prawdziwa szkoda to nie zablokowany system. To same dane i to, co się stanie, jeśli trafią do opinii publicznej.

Co to oznacza dla Ciebie

Jeśli jesteś klientem kancelarii prawnej, biura księgowego lub jakiejkolwiek organizacji przetwarzającej wrażliwe dane osobowe lub finansowe, ten incydent jest przydatnym przypomnieniem, że bezpieczeństwo danych nie jest gwarantowane tylko dlatego, że instytucja jest duża, ugruntowana lub dobrze finansowana. Reputacja i zasoby nie przekładają się automatycznie na silne praktyki cyberbezpieczeństwa.

Jeśli pracujesz w środowisku usług profesjonalnych, zwłaszcza w firmie księgowej lub kancelarii prawnej, wniosek jest bardziej bezpośredni: model zagrożeń Twojej firmy musi uwzględniać kradzież danych, a nie tylko przestoje systemów. Plany tworzenia kopii zapasowych i odzyskiwania danych, które przygotowują jedynie na zaszyfrowane pliki, nie pomogą, jeśli realnym ryzykiem jest wyciek poufnych informacji o klientach. Polisy cyberubezpieczeniowe, plany reagowania na incydenty i strategie komunikacji z klientami muszą odzwierciedlać tę rzeczywistość.

Praktyczne zabezpieczenia, które warto wdrożyć w pierwszej kolejności

Kilka konkretnych kroków może znacząco zmniejszyć narażenie na ten typ ataku. Silne szyfrowanie danych w spoczynku i w tranzycie ogranicza to, co atakujący faktycznie mogą wykorzystać, nawet jeśli uda im się uzyskać dostęp do plików. Regularne, przetestowane kopie zapasowe pozostają ważne, nie dlatego, że cofają wyciek danych, ale dlatego, że zapewniają ciągłość operacji bez konieczności negocjacji z atakującymi. Segmentacja sieci to kolejna kluczowa obrona: ograniczając zasięg przemieszczania się intruza po wejściu do sieci, firmy zmniejszają ryzyko, że jedno skompromitowane konto doprowadzi do naruszenia w całej firmie.

Architektura zero-trust, która wymaga ciągłej weryfikacji użytkowników i urządzeń, zamiast zakładania zaufania na podstawie lokalizacji w sieci, jest szczególnie skuteczna przeciwko tego rodzaju ruchowi bocznemu, który zamienia pojedyncze skompromitowane logowanie w eksfiltrację danych w całej firmie. W połączeniu z rygorystyczną kontrolą dostępu, uwierzytelnianiem wieloskładnikowym i monitorowaniem nietypowych transferów danych, te środki sprawiają, że atakującym znacznie trudniej jest cicho zebrać duże ilości wrażliwych informacji, zanim ktokolwiek to zauważy.

Najważniejszy wniosek

50 milionów dolarów wypłaconych przez te wielkie kancelarie podkreśla szerszą zmianę w tym, jak ransomware i cyberwymuszenia faktycznie działają dzisiaj. Atakujący nie muszą już blokować ani jednego pliku, aby wyrządzić poważne szkody — wystarczy, że uzyskają dostęp do odpowiednich danych i będą mieć dość cierpliwości, aby je cicho wyeksfiltrować. Dla kancelarii prawnych, biur księgowych i każdej organizacji, której powierzono wrażliwe dane klientów, lekcja jest jasna: szyfrowanie, segmentacja, przetestowane kopie zapasowe i zasady zero-trust nie są już opcjonalnym dodatkiem. To podstawowe wymogi ochrony ludzi, którzy powierzają Ci swoje najbardziej prywatne informacje.