Anchetatorii federali ar fi identificat directori de la două firme separate de negociere a incidentelor cibernetice care au menținut relații neobișnuit de apropiate cu grupul de extorcare ShinyHunters. Potrivit relatării KrebsOnSecurity rezumate de Security Arsenal, un director din SUA ar fi mers mai departe și ar fi ajutat la operarea site-ului folosit pentru a presa victimele să plătească. Acuzația privind site-ul de extorcare al negociatorului de răscumpărare ShinyHunters rămâne deocamdată doar o acuzație, dar ridică o întrebare dificilă pentru oricine ale cărui date se află la o companie care ar putea fi atacată într-o zi: cine se află cu adevărat de cealaltă parte a mesei?

Ce susțin anchetatorii despre negociatori și ShinyHunters

Relatarea spune că anchetatorii federali, lucrând cu date de la FBI, au identificat directori de la două firme de negociere care au avut contact apropiat cu ShinyHunters. Unul dintre ei, un director din SUA, ar fi ajutat la administrarea site-ului pe care grupul îl folosea pentru a presa victimele să plătească răscumpărări.

Câteva puncte merită reținute. Rezumatul disponibil nu prezintă acuzații formale, iar afirmațiile provin din relatări despre ceea ce suspectează anchetatorii. Nici directorii, nici firmele lor nu sunt numite în materialul pe care l-am analizat, așa că nu vom specula despre identități. Tratați acest lucru ca pe o poveste în desfășurare și așteptați-vă ca detaliile să se schimbe pe măsură ce sunt confirmate mai multe informații.

Cum funcționează negocierea răscumpărărilor și site-urile de extorcare

Când o companie este lovită de un furt de date sau un atac cu ransomware, aceasta angajează adesea o firmă externă pentru a gestiona comunicarea cu atacatorii. Acești negociatori verifică de obicei ce a fost furat, încearcă să reducă cererea și aranjează plata dacă compania decide să plătească. Deoarece vorbesc direct cu infractorii, ei dețin cunoștințe sensibile: cât își poate permite victima, ce date au fost luate și cât de urgentă este termenul limită al companiei.

Site-urile de extorcare sunt instrumentul de presiune de cealaltă parte. Grupuri precum ShinyHunters folosesc un site web pentru a numi victimele, a amenința cu publicarea datelor furate și a împinge companiile spre o înțelegere. Site-ul face parte din strategia de vânzare: cu cât amenințarea este mai credibilă și mai înfricoșătoare, cu atât este mai probabil ca victima să plătească.

De aceea acuzația contează. Dacă un negociator a ajutat și la administrarea site-ului de presiune, aceeași persoană ar putea fi, în teorie, atât consilierul de încredere al victimei, cât și un participant la amenințare. Acesta este un conflict de interese clasic, iar victima ar putea să nu știe despre el.

De ce contează un conflict de interese în răspunsul la incidente

Răspunsul la incidente se bazează pe încredere. O companie atacată predă jurnale, detalii despre rețea și informații comerciale sensibile persoanelor care o ajută să își revină. Dacă vreunul dintre acești consilieri are legături cu atacatorii, mai multe lucruri pot merge prost:

  • Pârghia de negociere poate scăpa. Cunoașterea bugetului sau a termenului limită al unei victime ajută un extortionist să stabilească prețul.
  • Sfaturile pot fi părtinitoare. Un consilier cu conflict de interese ar putea împinge o companie să plătească în loc să se recupereze pe altă cale.
  • Gestionarea datelor devine incertă. Plata ar trebui să cumpere ștergerea datelor furate, dar, ca în alte cazuri recente de extorcare, nu există nicio modalitate de a fi siguri că datele au dispărut cu adevărat.

Pentru clienții, pacienții, studenții sau angajații ale căror dosare se află în compania atacată, acest lucru este în afara controlului lor. Nu alegi negociatorul și rareori afli cine a fost. La nivel de industrie, acesta este un motiv pentru a cere verificări mai clare și divulgarea conflictelor de interese, și pentru ca autoritățile de reglementare și asigurătorii să analizeze modul în care sunt verificate aceste firme.

Ce înseamnă acest lucru pentru dumneavoastră

Nu puteți audita partenerii de răspuns la incidente ai furnizorilor dumneavoastră. Ce puteți face este să limitați daunele dacă datele dumneavoastră ajung în mâinile greșite, indiferent cine a gestionat negocierea. Presupuneți că o plată nu garantează că informațiile dumneavoastră au fost distruse și că detaliile furate pot fi reutilizate în escrocherii ulterioare. Grupurile de extorcare și imitatorii lor exploatează, de asemenea, știrile despre breșe: un e-mail fals de sextorcare ShinyHunters, de exemplu, ar fi folosit detalii reale ale breșei pentru a face amenințările să pară credibile.

Ce să faceți dacă o companie pe care o utilizați este atacată

Când primiți o notificare de breșă, acționați în loc să așteptați ca povestea să se clarifice:

  1. Schimbați parolele reutilizate. Începeți cu serviciul atacat, apoi cu orice alt cont care folosește aceeași parolă. Folosiți o parolă unică pentru fiecare cont, ideal stocată într-un manager de parole.
  2. Activați autentificarea cu mai mulți factori. Preferați o aplicație de autentificare sau o cheie hardware în locul SMS-ului, acolo unde este posibil.
  3. Fiți atenți la e-mailurile de phishing și extorcare. Fiți sceptici față de mesajele care citează detalii reale despre dumneavoastră și cer bani sau acțiuni urgente. Nu răspundeți, nu faceți clic pe linkuri și nu deschideți atașamente. Accesați direct site-ul oficial al companiei.
  4. Verificați notificarea în sine. Confirmați că a venit de la companie printr-un canal pe care îl puteți verifica, deoarece atacatorii imită notificările de breșă.
  5. Monitorizați-vă conturile. Verificați extrasele bancare și de card și luați în considerare o blocare a creditului dacă notificarea spune că au fost expuse date financiare sau de identitate.

Concluzia

Legătura presupusă între un negociator de răscumpărare și un site de extorcare ShinyHunters nu este încă un caz soluționat, dar arată cât de mult din răspunsul la breșe se bazează pe o încredere pe care indivizii nu o pot vedea. Până când faptele nu sunt pe deplin stabilite, abordarea rezonabilă este să vă protejați la fel de fiecare dată: parole unice, autentificare cu mai mulți factori și o suspiciune sănătoasă față de orice mesaj care se bazează pe datele dumneavoastră compromise pentru a vă speria. Faceți aceste lucruri după orice notificare de breșă și reduceți valoarea a ceea ce dețin atacatorii sau intermediarii lor.