Grupo de ransomware por trás das violações no ANC, SAA e Pick n Pay

Um único grupo de ransomware conseguiu violar algumas das instituições mais conhecidas da África do Sul, incluindo o Congresso Nacional Africano (ANC), a Anglo American, a Mediclinic, a South African Airways (SAA) e a Pick n Pay. O ponto comum nestes incidentes é o ransomware de dupla extorsão, uma tática que se tornou o manual padrão para cibercriminosos que visam grandes organizações na África do Sul e no exterior.

O que torna esta série de violações notável não é apenas o tamanho ou a proeminência das vítimas. É que um único agente de ameaça conseguiu penetrar repetidamente em setores completamente diferentes: um partido político, uma gigante da mineração, um prestador de cuidados de saúde privado, uma companhia aérea nacional e um grande retalhista. Essa amplitude diz muito sobre como os grupos de ransomware operam atualmente e por que o ransomware de dupla extorsão na África do Sul se tornou um problema tão persistente para organizações que detêm dados de clientes, pacientes ou cidadãos.

O que aconteceu: o grupo de ransomware por trás das violações no ANC, SAA e Pick n Pay

De acordo com as notícias, a mesma ameaça de ransomware foi associada a invasões no ANC, na Anglo American, na Mediclinic, na SAA e na Pick n Pay. Em vez de visar um único setor ou tipo de organização, este grupo lançou uma rede ampla sobre entidades próximas do governo, gigantes empresariais, prestadores de cuidados de saúde e retalhistas de contacto direto com o consumidor. Essa amplitude sugere que o grupo é oportunista, indo atrás de qualquer rede que consiga comprometer, em vez de se ater a um setor ou motivo específico.

Cada uma destas organizações detém categorias de dados diferentes, mas igualmente sensíveis. O ANC detém informações políticas e de filiação. A Anglo American, como empresa mineira global, detém dados corporativos e operacionais. A Mediclinic detém registos de saúde dos pacientes. A SAA detém dados de passageiros e viagens. A Pick n Pay detém dados de fidelização de clientes e transações. O facto de um único grupo conseguir alcançar todos estes ambientes diferentes sublinha como os operadores de ransomware hoje não procuram apenas um tipo de prémio; procuram influência, onde quer que a possam encontrar.

Como o ransomware de dupla extorsão difere dos ataques tradicionais

O ransomware tradicional era relativamente simples: os atacantes encriptavam os ficheiros da vítima e exigiam pagamento em troca de uma chave de desencriptação. Com o tempo, as organizações foram aperfeiçoando a defesa contra este modelo, mantendo cópias de segurança offline, o que significava que podiam restaurar os seus sistemas sem nunca pagar o resgate.

Os grupos de ransomware adaptaram-se. O ransomware de dupla extorsão acrescenta uma segunda camada de pressão. Antes de encriptarem os sistemas da vítima, os atacantes primeiro copiam, ou exfiltram, discretamente dados sensíveis da rede. Assim que a encriptação é acionada e o pedido de resgate é entregue, a vítima enfrenta duas ameaças distintas: pagar para repor os sistemas online e pagar novamente (ou em acréscimo) para impedir que os dados roubados sejam publicados ou vendidos online.

Esta abordagem neutraliza a defesa das cópias de segurança em que muitas organizações confiam. Mesmo que uma empresa possa restaurar os seus sistemas a partir de cópias de segurança sem pagar um resgate, ainda tem de lidar com o facto de os seus dados, sejam registos financeiros, informações de saúde ou bases de dados de clientes, estarem nas mãos de criminosos que ameaçam divulgá-los. É exatamente por isso que a dupla extorsão se tornou a estratégia dominante de ransomware: dá aos atacantes um segundo ponto de pressão, mesmo quando o primeiro falha.

Por que isto é importante se for cliente destas organizações

Se é membro do ANC, paciente da Mediclinic, passageiro frequente da SAA, cliente do Smart Shopper da Pick n Pay ou está ligado à Anglo American de alguma forma, este tipo de violação não é apenas um problema empresarial abstrato. É um risco direto para as suas informações pessoais. Os ataques de dupla extorsão visam especificamente o tipo de dados que tem valor para além da própria organização: nomes, contactos, números de identificação, informações financeiras, registos de saúde e dados de programas de fidelização.

Quando esses dados caem nas mãos de um grupo de ransomware, não ficam necessariamente contidos. Os registos roubados em violações como estas são frequentemente publicados, vendidos ou circulados em fóruns criminosos, por vezes muito depois de o incidente inicial ter desaparecido das manchetes. A escala de exposição pode ser enorme. Para ter uma ideia da dimensão que estes efeitos em cascata podem atingir, o caso da violação de dados no México que expôs 195 milhões de identidades mostra até que ponto uma única intrusão em grande escala pode chegar quando os dados de identidade roubados começam a circular.

Ao contrário das campanhas cibernéticas ligadas a Estados, que muitas vezes se concentram na espionagem ou na disrupção de infraestruturas, como se viu nos ataques patrocinados por Estados relatados em Singapura, os grupos de ransomware de dupla extorsão são motivados financeiramente. Isto significa que os dados que lhe roubam são tratados como uma mercadoria, algo a ser rentabilizado através do pagamento de resgates, revenda ou fugas públicas concebidas para pressionar a organização vítima.

Medidas práticas para proteger os seus dados depois de uma violação de terceiros

Não pode controlar se uma organização com a qual faz negócios é violada, mas pode controlar a forma como responde e quão exposto fica depois.

• Verifique se as suas informações fizeram parte de alguma notificação de violação do ANC, da Anglo American, da Mediclinic, da SAA ou da Pick n Pay e siga as orientações específicas que eles fornecerem.
• Altere as palavras-passe de quaisquer contas associadas a estas organizações, especialmente se reutilizou essa palavra-passe noutros locais.
• Ative a autenticação de dois fatores sempre que for oferecida, particularmente para contas financeiras, de saúde e de fidelização.
• Monitorize os extratos bancários e de crédito para detetar transações desconhecidas, uma vez que os dados financeiros e de identidade são muitas vezes o ativo mais valioso roubado nestas violações.
• Tenha cuidado com tentativas de phishing subsequentes, uma vez que os dados pessoais roubados são frequentemente utilizados para criar e-mails ou mensagens fraudulentas convincentes que fazem referência a informações reais da conta.

O panorama geral do ransomware de dupla extorsão na África do Sul

O facto de um grupo de ransomware ter conseguido atingir um partido político, um conglomerado mineiro, uma rede de saúde, uma companhia aérea e um retalhista ilustra como o ransomware de dupla extorsão na África do Sul se tornou um risco partilhado entre setores, e não um problema de nicho de uma única indústria. As organizações são responsáveis por proteger as suas redes, mas os indivíduos também desempenham um papel na limitação dos danos quando ocorre uma violação.

Manter-se informado sobre quais as organizações com que interage que foram afetadas, atualizar as suas credenciais rapidamente e estar atento a sinais de utilização indevida são passos práticos e alcançáveis. As violações de dados que envolvem grandes instituições continuarão a acontecer, mas a rapidez com que responde a elas pode fazer a diferença entre um pequeno inconveniente e um grave problema de roubo de identidade.