Um banco acreditou na palavra de hackers de ransomware

Uma instituição financeira americana, supostamente identificada em reportagens de segurança cibernética como River Bank, divulgou um incidente de segurança cibernética material depois que atacantes de ransomware roubaram terabytes de dados sensíveis, incluindo perfis de clientes, documentos internos e registros bancários confidenciais. Após o pagamento de um resgate, o banco afirmou que acreditava que os atacantes haviam excluído os dados roubados, baseando-se principalmente em garantias dadas pelo próprio grupo criminoso.

Este detalhe é o que torna a história notável. As negociações de ransomware frequentemente terminam com a promessa de que os arquivos roubados serão destruídos assim que o pagamento for compensado. Mas não há um processo de verificação independente embutido nessas transações. Um banco, ou qualquer organização, que confia na palavra de uma gangue criminosa não tem nenhuma maneira real de confirmar que os dados desapareceram. Eles podem ser copiados, revendidos ou mantidos para uma segunda tentativa de extorsão meses depois.

Por que confiar em uma gangue de ransomware é uma aposta arriscada

As operações de ransomware são construídas em torno da extração de pagamento, não do cumprimento de acordos. Uma vez que os atacantes exfiltram dados, eles controlam cada cópia deles. Uma promessa de exclusão é inexequível, e não há mecanismo técnico que permita a uma organização vítima confirmar o cumprimento. Mesmo que os indivíduos específicos por trás de um ataque tenham a intenção de excluir sua cópia, os dados roubados geralmente passam por redes de afiliados, corretores de acesso inicial ou compradores terceiros antes mesmo de um resgate ser exigido. Excluir uma cópia não significa que todas as cópias tenham desaparecido.

Para um banco que lida com perfis de clientes e registros financeiros confidenciais, isso importa enormemente. Dados bancários não são como uma senha roubada que pode simplesmente ser redefinida. Números de conta, históricos de transações e documentos internos de conformidade mantêm valor para fraude e roubo de identidade muito tempo depois que uma violação é divulgada. Quando uma instituição diz a reguladores e clientes que acredita que os dados foram excluídos, ela está essencialmente pedindo ao público que confie nos mesmos agentes que invadiram e roubaram as informações em primeiro lugar.

Este padrão não é exclusivo de um incidente. Pesquisadores de segurança e reportagens do setor mostraram repetidamente que grupos de ransomware frequentemente retêm, revendem ou vazam dados mesmo após receber o pagamento. Tratar a garantia de um grupo criminoso como uma resolução para uma violação, em vez de uma alegação não verificada, estabelece um precedente preocupante para como as instituições financeiras comunicam riscos aos clientes cujos dados foram realmente expostos.

O que isso significa para você

Se você tem conta em uma instituição que divulgou uma violação, ou mesmo uma que (ainda) não relatou um incidente, a suposição mais segura é que quaisquer dados envolvidos em um ataque de ransomware devem ser tratados como permanentemente comprometidos, independentemente do que os atacantes afirmem. Na prática, isso significa:

  • Monitore extratos de conta e relatórios de crédito atentamente em busca de atividades desconhecidas, especialmente nos meses seguintes a qualquer divulgação de violação pelo seu banco.
  • Altere as senhas do banco online e ative a autenticação multifator se ainda não o fez, pois documentos internos roubados às vezes podem incluir informações usadas para responder a perguntas de segurança ou redefinir credenciais.
  • Desconfie de chamadas, mensagens de texto ou e-mails não solicitados que façam referência ao seu banco, número de conta ou transações recentes. Dados bancários roubados são frequentemente usados para criar tentativas de phishing convincentes.
  • Considere usar uma VPN ao acessar o banco online em redes Wi-Fi públicas ou desconhecidas, pois criptografar sua conexão reduz o risco de suas credenciais serem interceptadas separadamente de qualquer violação na própria instituição. Serviços como o teste gratuito do Mozilla VPN oferecem uma maneira de baixo compromisso para testar se a navegação criptografada se encaixa em seus hábitos bancários regulares.

Nenhuma dessas etapas pode desfazer uma violação que já aconteceu, mas elas reduzem as chances de que dados roubados se traduzam em danos financeiros diretos a você.

O panorama geral para as instituições financeiras

Este incidente destaca uma tensão mais ampla na forma como as organizações violadas se comunicam com o público. Os reguladores exigem cada vez mais a divulgação de incidentes de segurança cibernética material, mas as regras de divulgação não exigem que as organizações verifiquem as alegações feitas pelos atacantes antes de repeti-las. Quando um banco diz aos clientes que acredita que os dados foram excluídos, essa declaração reflete mais esperança do que evidência. As instituições financeiras que lidam com dados sensíveis de clientes precisam de práticas de resposta a incidentes que pressuponham a retenção das informações roubadas no pior cenário, em vez de mensagens públicas que espelhem os argumentos da própria gangue de ransomware.

Pontos principais

O pagamento de resgate não garante a exclusão dos dados, e nenhum banco ou empresa pode verificar se um grupo criminoso realmente destruiu os arquivos roubados. Se sua instituição financeira divulgou uma violação, trate seus dados como expostos indefinidamente: monitore suas contas, reforce a segurança de login e fique atento a tentativas de phishing que façam referência a detalhes reais da conta. Confiar nas promessas de agentes de ransomware não é uma estratégia de segurança, e também não deveria ser a sua.