A aposta de um banco na honestidade criminosa

Quando se trata de ransomware, uma das partes mais estranhas de todo o modelo de negócios criminoso é a promessa que segue o pagamento: entregue o dinheiro e nós excluiremos seus dados roubados. A River Financial Corporation, empresa-mãe do River Bank & Trust, sediado no Alabama, parece ter aceitado essa promessa pelo seu valor aparente. Em um formulário 8-K apresentado à Securities and Exchange Commission, o banco revelou que "tomou medidas para tentar suprimir os dados afetados, incluindo a obtenção de declarações" dos invasores, essencialmente uma garantia por escrito de que as informações roubadas seriam destruídas. Vale notar que o documento não confirma explicitamente se o River Bank pagou um resgate, embora a obtenção dessas "declarações" de operadores de ransomware normalmente ocorra apenas após a troca de dinheiro.

Essa revelação surge em um momento embaraçoso para quem estiver inclinado a confiar na promessa de exclusão de dados de um ransomware. A ação das autoridades contra a operação de ransomware LockBit revelou que os dados das vítimas eram mantidos na infraestrutura do grupo mesmo em casos em que as vítimas já haviam pago a extorsão. Em outras palavras, a caixa de seleção "dados excluídos", na qual tantas empresas se apoiam para encerrar o incidente e tranquilizar reguladores, clientes e seus próprios conselhos, era, ao menos em alguns casos documentados, simplesmente falsa.

Por que uma promessa de exclusão de dados de ransomware raramente se sustenta

Todo o conceito de pagar a uma quadrilha de ransomware pela exclusão de dados repousa sobre uma contradição óbvia: você está pedindo a uma organização criminosa, que invadiu sua rede e roubou registros confidenciais, que abra mão voluntariamente de sua vantagem. Não há mecanismo de fiscalização, nem trilha de auditoria, nem recurso legal se o grupo mantiver uma cópia, vendê-la em um mercado da dark web ou usá-la para uma segunda rodada de extorsão posteriormente. Pesquisadores de segurança alertam há muito tempo que vídeos, capturas de tela ou declarações por escrito de "comprovante de exclusão" fornecidos por quadrilhas de ransomware são, por definição, inverificáveis. A ação contra o LockBit apenas forneceu evidências concretas do que muitos na comunidade de segurança já presumiam.

Para uma instituição financeira, isso importa enormemente. Os bancos detêm alguns dos dados pessoais mais sensíveis que existem, incluindo números de Seguro Social, detalhes de contas e históricos de transações. Quando esses dados são exfiltrados durante uma invasão, a promessa de um criminoso de excluí-los não oferece proteção real aos clientes cujas informações foram expostas. Oferece, na melhor das hipóteses, um argumento para um documento regulatório.

Como ocorreu a violação

O incidente do River Bank não ocorreu no vácuo. De acordo com relatórios anteriores de inteligência de ameaças, a violação estava ligada ao acesso de um agente não autorizado por meio de uma vulnerabilidade em um protocolo VPN defasado, detalhe explorado em nossa cobertura anterior sobre o incidente de ransomware do River Bank & Trust. A infraestrutura de acesso remoto desatualizada continua sendo um dos pontos de entrada mais comuns para quadrilhas de ransomware, justamente porque muitas vezes fica na borda da rede, é fácil de escanear e é frequentemente negligenciada nos ciclos de gerenciamento de patches. Uma vez lá dentro, os invasores costumam se mover lateralmente, localizar repositórios de dados valiosos e exfiltrar informações antes mesmo de acionar a carga de ransomware, o que significa que o roubo frequentemente ocorre bem antes que alguém perceba algo errado.

O que isso significa para você

Se você é cliente do River Bank & Trust, ou de qualquer instituição que tenha divulgado um incidente de ransomware, a realidade prática é esta: qualquer promessa dos invasores de excluir seus dados não deve ser tratada como garantia de segurança. Uma vez que as informações saem da rede de uma empresa em um ataque de ransomware, devem ser tratadas como permanentemente comprometidas, independentemente de quaisquer garantias obtidas posteriormente. Isso significa monitorar suas contas e relatórios de crédito em busca de atividades incomuns, ficar atento a tentativas de phishing que façam referência a detalhes reais da conta (uma tática comum de acompanhamento quando dados bancários roubados circulam entre grupos criminosos) e considerar o bloqueio de crédito se números de Seguro Social ou números de conta fizerem parte do conjunto de dados expostos.

Para empresas e instituições financeiras que acompanham o desenrolar dessa história, a lição é mais ampla. Depender da promessa de exclusão de dados de ransomware como parte de uma estratégia de resposta a incidentes, e mais ainda como algo que valha a pena divulgar aos reguladores como medida atenuante, envia o sinal errado sobre a seriedade com que uma organização trata a proteção de dados. Backups verificados, segmentação de rede e aplicação ágil de patches em infraestruturas de acesso remoto, como gateways VPN, fazem muito mais para proteger os dados dos clientes do que qualquer garantia obtida de uma empresa criminosa jamais poderia fazer.

Pontos principais

  • Trate qualquer promessa de um grupo de ransomware de excluir dados roubados como inverificável e inexequível, não como uma salvaguarda genuína.
  • Se você tem conta em uma instituição que divulgou uma violação, monitore extratos e relatórios de crédito de perto e considere um bloqueio de crédito.
  • Tenha cuidado redobrado com mensagens de phishing que mencionem detalhes precisos da conta ou informações pessoais nas semanas e meses seguintes a um incidente divulgado.
  • As organizações devem priorizar a correção de vulnerabilidades conhecidas em VPN e acesso remoto, já que protocolos desatualizados continuam sendo um dos principais pontos de entrada para quadrilhas de ransomware.

À medida que as investigações de ransomware continuam a expor a lacuna entre o que os grupos criminosos prometem e o que realmente fazem, tanto consumidores quanto empresas devem se planejar como se os dados roubados nunca desaparecessem de verdade, não importa que declaração uma quadrilha de ransomware forneça por escrito.