Investigadores federais teriam identificado executivos de duas empresas distintas de negociação de incidentes cibernéticos que mantinham relações incomumente próximas com o grupo de extorsão ShinyHunters. De acordo com o relatório do KrebsOnSecurity resumido pelo Security Arsenal, um executivo baseado nos EUA teria ido além e ajudado a operar o site usado para pressionar as vítimas a pagar. A alegação sobre o site de extorsão do negociador de resgate do ShinyHunters ainda é apenas isso, uma alegação, mas levanta uma questão difícil para qualquer pessoa cujos dados estejam com uma empresa que um dia possa ser invadida: quem está realmente do outro lado da mesa?
O que os investigadores alegam sobre os negociadores e o ShinyHunters
O relatório diz que investigadores federais, trabalhando com dados do FBI, identificaram executivos de duas empresas de negociação que tinham contato próximo com o ShinyHunters. Um deles, um executivo baseado nos EUA, é acusado de ter ajudado a operar o site que o grupo usava para pressionar as vítimas a pagar resgates.
Vale ter em mente alguns pontos. O resumo disponível não apresenta acusações formais, e as afirmações vêm de reportagens sobre o que os investigadores suspeitam. Nem os executivos nem suas empresas são nomeados no material que analisamos, portanto não vamos especular sobre identidades. Trate isto como uma história em desenvolvimento e espere que os detalhes mudem à medida que mais informações forem confirmadas.
Como funcionam os sites de negociação de resgate e extorsão
Quando uma empresa é atingida por um roubo de dados ou ataque de ransomware, muitas vezes contrata uma empresa externa para lidar com a comunicação com os atacantes. Esses negociadores normalmente verificam o que foi roubado, tentam reduzir a exigência e organizam o pagamento se a empresa decidir pagar. Como falam diretamente com criminosos, detêm conhecimento sensível: quanto a vítima pode pagar, quais dados foram levados e quão urgente é o prazo da empresa.
Os sites de extorsão são a ferramenta de pressão do outro lado. Grupos como o ShinyHunters usam um site para nomear vítimas, ameaçar publicar dados roubados e empurrar as empresas para um acordo. O site faz parte do argumento de venda: quanto mais credível e assustadora a ameaça, maior a probabilidade de a vítima pagar.
É por isso que a alegação importa. Se um negociador também ajudou a operar o site de pressão, a mesma pessoa poderia, em teoria, ser tanto o conselheiro de confiança da vítima quanto um participante da ameaça. Isso é um conflito de interesses clássico, e a vítima pode não saber disso.
Por que um conflito de interesses na resposta a incidentes importa
A resposta a incidentes depende da confiança. Uma empresa invadida entrega logs, detalhes da rede e informações comerciais sensíveis às pessoas que a ajudam a se recuperar. Se qualquer um desses conselheiros tiver laços com os atacantes, várias coisas podem dar errado:
- A vantagem de negociação pode vazar. Saber o orçamento ou o prazo de uma vítima ajuda um extorsionário a definir o preço.
- O aconselhamento pode ser distorcido. Um conselheiro em conflito pode inclinar uma empresa a pagar em vez de se recuperar de outra forma.
- O tratamento dos dados torna-se incerto. O pagamento deveria comprar a exclusão dos dados roubados, mas, como em outros casos recentes de extorsão, não há como ter certeza de que os dados realmente desapareceram.
Para clientes, pacientes, estudantes ou funcionários cujos registros estão dentro da empresa invadida, isso está fora de seu controle. Você não escolhe o negociador e raramente fica sabendo quem foi. Em toda a indústria, isso é um motivo para exigir verificações mais claras e divulgação de conflitos, e para que reguladores e seguradoras examinem como essas empresas são avaliadas.
O que isso significa para você
Você não pode auditar os parceiros de resposta a incidentes de seus fornecedores. O que você pode fazer é limitar os danos se seus dados acabarem nas mãos erradas, independentemente de quem conduziu a negociação. Presuma que um pagamento não garante que suas informações foram destruídas e que detalhes roubados podem ser reutilizados em golpes posteriores. Grupos de extorsão e imitadores também exploram notícias de violações: um e-mail falso de sextorsão do ShinyHunters, por exemplo, teria usado detalhes reais de violações para tornar as ameaças mais convincentes.
O que fazer se uma empresa que você usa for invadida
Quando chega um aviso de violação de dados, aja em vez de esperar que a história se esclareça:
- Troque senhas reutilizadas. Comece pelo serviço invadido, depois por qualquer outra conta que compartilhe a mesma senha. Use uma senha única para cada conta, de preferência armazenada em um gerenciador de senhas.
- Ative a autenticação multifator. Prefira um aplicativo autenticador ou chave de hardware em vez de SMS quando possível.
- Fique atento a e-mails de phishing e extorsão. Desconfie de mensagens que citam detalhes reais sobre você e exigem dinheiro ou ação urgente. Não responda, não clique em links nem abra anexos. Vá diretamente ao site oficial da empresa.
- Verifique o próprio aviso. Confirme se veio da empresa por um canal que você possa verificar, já que os atacantes imitam notificações de violação.
- Monitore suas contas. Revise extratos bancários e de cartão, e considere um bloqueio de crédito se o aviso disser que dados financeiros ou de identidade foram expostos.
A conclusão
O suposto vínculo entre um negociador de resgate e um site de extorsão do ShinyHunters ainda não é um caso encerrado, mas mostra o quanto da resposta a violações depende de uma confiança que os indivíduos não podem ver. Até que os fatos sejam totalmente estabelecidos, a abordagem sensata é se proteger da mesma forma todas as vezes: senhas únicas, autenticação multifator e uma saudável desconfiança de qualquer mensagem que se apoie em seus dados vazados para assustá-lo. Faça essas coisas após qualquer aviso de violação e você reduz o valor de tudo o que os atacantes, ou seus intermediários, estejam segurando.
