Breșuri de Date

Grupul de hacking Lapsus$: Furt de date fără ransomware

23 septembrie 20265 min de citit

By Marcus Weber — Certificat CISSP, 12 ani în jurnalismul de securitate cibernetică

Grupul de hacking Lapsus$: Furt de date fără ransomware

Ce este Lapsus$ și cum operează

Lapsus$ este un grup de hacking care și-a construit reputația pe o metodă diferită de atacurile ransomware despre care majoritatea oamenilor au auzit. În loc să blocheze victimele din propriile sisteme prin criptare și să ceară plată pentru o cheie de decriptare, Lapsus$ a adoptat o abordare mai directă: a furat datele pur și simplu și a amenințat că le va face publice dacă cerințele sale nu erau îndeplinite.

Această distincție contează mai mult decât ar părea la prima vedere. Operatorii tradiționali de ransomware perturbă operațiunile de afaceri făcând fișierele și sistemele inutilizabile. Lapsus$ s-a bazat în schimb pe extorcare și presiune reputațională. Amenințarea nu era „plătește-ne sau pierzi accesul la rețeaua ta", ci „plătește-ne sau îți expunem datele lumii întregi". Pentru organizațiile care dețin informații sensibile despre clienți, dosare ale angajaților sau cod sursă proprietar, această amenințare singură poate fi suficientă pentru a forța un răspuns, indiferent dacă răscumpărarea este în cele din urmă plătită sau nu.

De ce extorcarea de date este un tip diferit de risc

Atacurile ransomware tind să genereze perturbări imediate și vizibile: sistemele cad, operațiunile se opresc, iar presiunea de a plăti vine din nevoia de a relua activitatea. Grupurile de extorcare de date precum Lapsus$ creează un alt tip de presiune, construită pe frica de expunere publică și consecințele pe termen lung care urmează. Odată ce datele furate sunt scurse, nu mai există nicio modalitate de a le pune la loc. Clienții, partenerii și autoritățile de reglementare pot afla toți despre breșă în același timp, iar daunele aduse încrederii pot dura mai mult decât orice pierdere financiară cauzată de întreruperea activității.

Acesta este unul dintre motivele pentru care reglementările privind protecția datelor s-au concentrat tot mai mult pe divulgarea breșelor și pe responsabilitate, și nu doar pe disponibilitatea sistemelor. Pe piețele în care legile privind confidențialitatea implică penalități financiare semnificative, un grup care fură și amenință că va scurge date poate declanșa un control de reglementare la fel de ușor precum poate declanșa o negociere de răscumpărare. Pentru a înțelege cât de serios tratează unele jurisdicții datele personale gestionate greșit, merită să analizăm modul în care penalitățile Legii DPDP din India pot ajunge la amenzi de până la ₹250 crore pentru organizațiile care nu reușesc să protejeze datele care le-au fost încredințate. O breșă realizată de un grup care folosește tactici în stil Lapsus$ ar putea expune plauzibil o companie exact la acest tip de expunere de reglementare, pe lângă cererea de extorcare în sine.

Implicațiile pentru confidențialitate ale hackingului bazat pe extorcare

Principala preocupare privind confidențialitatea în cazul grupurilor precum Lapsus$ este că victimele sunt rareori limitate la organizația care a fost compromisă. Când sistemele interne ale unei companii sunt compromise și datele clienților sau angajaților sunt furate, toți cei ale căror informații se află în acea bază de date devin, de asemenea, victime potențiale. Spre deosebire de ransomware, unde prejudiciul imediat este adesea limitat la operațiunile organizației compromise, extorcarea de date are un efect de undă care se extinde spre oricine ale cărui detalii personale erau stocate pe sistemele compromise.

Acesta este și motivul pentru care supravegherea modului în care guvernele și companiile private colectează, stochează și accesează datele personale a devenit o dezbatere politică atât de persistentă. Discuțiile despre autoritățile de supraveghere, precum dezbaterea în curs privind reînnoirea Secțiunii 702 din FISA, și discuțiile despre obligațiile corporative de protecție a datelor sunt, într-un sens, două fețe ale aceleiași monede. Ambele sunt răspunsuri la o lume în care volume mari de date personale sunt colectate, stocate și tot mai mult vizate de grupuri dispuse să transforme acele date în armă pentru a obține pârghii.

Ce înseamnă asta pentru tine

Dacă ești o persoană fizică, riscul direct din partea unui grup precum Lapsus$ este mai puțin legat de criptarea propriilor tale sisteme și mai mult de faptul că datele tale personale s-ar putea afla în baza de date a unei organizații compromise. Acele date, odată furate, pot fi scurse, vândute sau folosite pentru alte escrocherii precum phishing sau furt de identitate, indiferent dacă organizația victimei originale plătește sau nu o cerere de extorcare.

Dacă lucrezi într-o organizație care gestionează date ale clienților sau angajaților, concluzia este că atacurile bazate pe extorcare sunt o reamintire că minimizarea datelor și controalele puternice de acces contează la fel de mult precum planurile de backup și recuperare. Nu poți scurge date care nu au fost niciodată colectate sau stocate.

Concluzii practice

Înțelegerea grupurilor precum Lapsus$ este un context util pentru oricine se gândește serios la confidențialitatea digitală. Câțiva pași practici care merită luați în considerare:

Presupune că orice cont legat de un serviciu pe care îl folosești ar putea face într-o zi parte dintr-o breșă și folosește parole unice și puternice împreună cu autentificarea multifactor oriunde este oferită.
Monitorizează notificările din partea companiilor cu care interacționezi despre incidente de date și ia în serios e-mailurile de notificare a breșelor în loc să le respingi ca fiind de rutină.
Limitează cât de multe informații personale partajezi cu servicii care nu au strict nevoie de ele, deoarece datele pe care nu le furnizezi niciodată nu pot fi furate sau scurse ulterior.
Dacă administrezi sisteme într-o organizație, revizuiește regulat politicile de retenție a datelor. Atacurile bazate pe extorcare funcționează doar dacă există date valoroase de furat în primul rând.

Grupuri precum Lapsus$ arată că peisajul amenințărilor a evoluat dincolo de simplul ransomware, iar a rămâne informat despre modul în care funcționează aceste tactici este una dintre cele mai practice modalități de a-ți proteja propriile date în viitor.

// FAQ

Cum este Lapsus$ diferit de grupurile tradiționale de ransomware?

În loc să cripteze sistemele și să ceară plată pentru o cheie de decriptare, Lapsus$ fură datele pur și simplu și amenință că le va face publice dacă cerințele sale nu sunt îndeplinite. Se bazează pe extorcare și presiune reputațională în loc să perturbe operațiunile de afaceri.

Cine poate fi afectat de un atac de extorcare de date în stil Lapsus$?

Victimele sunt rareori limitate la organizația compromisă; oricine ale cărui detalii personale erau stocate pe sistemele compromise devine, de asemenea, o victimă potențială. Acest efect de undă se extinde la clienți, angajați, parteneri și autorități de reglementare.

Ce tip de presiune creează extorcarea de date în comparație cu ransomware?

Extorcarea de date creează presiune construită pe frica de expunere publică și consecințe pe termen lung, mai degrabă decât perturbarea operațională imediată tipică ransomware-ului. Odată ce datele furate sunt scurse, nu mai pot fi puse la loc, iar daunele aduse încrederii pot dura mai mult decât pierderile financiare cauzate de întreruperea activității.

Cum poate extorcarea de date declanșa un control de reglementare?

Pe piețele în care legile privind confidențialitatea implică penalități financiare semnificative, un grup care fură și amenință că va scurge date poate declanșa un control de reglementare la fel de ușor precum o negociere de răscumpărare. De exemplu, penalitățile Legii DPDP din India pot ajunge la amenzi de până la ₹250 crore pentru organizațiile care nu reușesc să protejeze datele încredințate.

Care este principala preocupare privind confidențialitatea în cazul grupurilor precum Lapsus$?

Principala preocupare privind confidențialitatea este că prejudiciul se extinde dincolo de organizația compromisă la toți cei ale căror informații se află în baza de date compromisă. Spre deosebire de ransomware, unde prejudiciul este adesea limitat la operațiunile organizației, extorcarea de date are un efect de undă spre oricine ale cărui detalii personale erau stocate.