Când autoritățile s-au uitat în spatele cortinei

În februarie 2024, o coaliție de agenții internaționale de aplicare a legii a demontat infrastructura din spatele LockBit, una dintre cele mai prolifice operațiuni ransomware din memoria recentă. Ce au descoperit anchetatorii când au obținut acces la sistemele LockBit a fost mai mult decât dovezi ale activității infracționale. Au descoperit că gruparea păstrase copii ale datelor furate de la victime, chiar și după ce le spusese acestora, adesea în schimbul unei plăți, că datele fuseseră șterse.

Acest singur detaliu contează mult mai mult decât pare la prima vedere. De ani de zile, manualul standard pentru organizațiile lovite de ransomware includea o opțiune tăcută și inconfortabilă: plătește răscumpărarea, primește o promisiune de ștergere din partea atacatorului și mergi mai departe. Dezvăluirea LockBit confirmă ceea ce mulți cercetători în securitate bănuiau de mult. Acea promisiune este adesea lipsită de valoare, iar victimele nu au de cele mai multe ori nicio modalitate de a ști asta.

Prăpastia dintre ce li se spune victimelor și ce se întâmplă de fapt

Negocierile cu ransomware au loc de obicei în afara atenției publice, mediate de firme de răspuns la incidente, asigurători sau chiar de organizațiile victime. Atunci când un grup infracțional susține că a șters fișierele furate, rareori există vreo modalitate independentă de a verifica această afirmație. Practic, victimelor li se cere să se încreadă în cuvântul aceluiași actor care le-a spart sistemele și le-a furat datele.

Cazul LockBit arată de ce această încredere este greșit direcționată. Chiar și atunci când o întreprindere criminală este suficient de sofisticată pentru a gestiona o operațiune funcțională de „servicii pentru clienți” pentru victimele sale, completă cu portaluri de negociere și certificate de ștergere, stimulentul de a distruge cu adevărat datele furate valoroase pur și simplu nu există. Datele au valoare de revânzare, valoare de pârghie și valoare pentru șantaje viitoare. Ștergerea lor contravine propriilor interese ale atacatorului.

Această discrepanță ajunge rareori pe primele pagini, așa cum se întâmplă cu un anunț de breșă de securitate. Companiile care plătesc în liniște pentru a face o problemă să dispară au puține motive să facă public faptul că promisiunea de ștergere nu a fost respectată, mai ales dacă nici măcar nu află. Această tăcere face parte din motivul pentru care deznodămintele negative se întâmplă mai des decât o arată registrele publice. Demontarea infrastructurii LockBit este una dintre puținele situații în care prăpastia dintre promisiune și realitate a devenit vizibilă, la fel cum perturbarea de către Google a unei rețele de hacking legate de PCC a tras cortina asupra unei activități care altfel ar fi rămas ascunsă pentru organizațiile afectate.

De ce ar trebui să schimbe modul în care organizațiile gândesc ransomware-ul

Concluzia practică nu este că plata unei răscumpărări este întotdeauna o alegere greșită. Fiecare incident are propriile presiuni juridice, operaționale și financiare, iar unele organizații pot decide în continuare că plata este cea mai puțin rea opțiune. Concluzia este că plata nu ar trebui niciodată tratată ca o rezolvare a unei probleme de expunere a datelor.

Odată ce datele părăsesc controlul unei organizații, ele ar trebui tratate ca fiind compromise permanent, indiferent de orice asigurări ulterioare. Asta înseamnă că obligațiile de notificare, comunicările cu clienții și evaluările de risc trebuie să decurgă ca și cum datele furate încă circulă, pentru că este foarte posibil să fie așa. Polițele de asigurare cibernetică și planurile de răspuns la incidente care presupun o rezolvare curată după plată sunt construite pe o premisă depășită și din ce în ce mai discreditată.

Ce înseamnă asta pentru tine

Pentru persoanele ale căror date ar fi putut fi compromise într-o breșă legată de un atac ransomware, dezvăluirea LockBit este un memento să nu își lase garda jos doar pentru că o companie anunță că incidentul este „rezolvat”. O promisiune de ștergere din partea infractorilor nu este o garanție, iar informațiile tale pot rămâne expuse mult după ce știrile s-au estompat.

Pentru companii, în special cele mici și mijlocii, fără echipe de securitate dedicate, acesta este un argument pentru prevenție în locul negocierii. Practicile solide de backup, segmentarea rețelei și igiena de bază a punctelor terminale reduc șansele de a ajunge vreodată într-o poziție în care să te bazezi pe cuvântul unui șantajist. Revizuirea modului în care sunt protejate conturile personale și profesionale, inclusiv dacă traficul sensibil este direcționat prin conexiuni securizate, este un punct de plecare rezonabil; unele organizații analizează opțiuni precum cele găsite pe paginile care compară furnizori precum IVPN sau Mozilla VPN ca parte a unui efort mai amplu de reducere a expunerii, deși nicio unealtă unică nu înlocuiește o strategie completă de securitate.

Măsuri practice

  • Presupune că orice date furate într-un incident ransomware rămân în pericol pe termen nelimitat, chiar dacă se face o promisiune de ștergere.
  • Nu lăsa o plată a răscumpărării să înlocuiască notificarea completă a breșei și măsurile de protecție a clienților.
  • Prioritizează backup-urile și segmentarea rețelei, astfel încât plata atacatorilor să nu fie niciodată singura opțiune pe masă.
  • Dacă ești notificat că datele tale au fost implicate într-o breșă, monitorizează-ți conturile și rapoartele de credit mult după anunțul inițial.
  • Solicită transparență din partea oricărei organizații care gestionează datele tale cu privire la modul în care răspunde la incidentele ransomware, nu doar dacă a plătit.

Demontarea LockBit a oferit o privire rară și nefiltrată asupra modului în care se desfășoară de fapt extorcarea cibernetică, odată ce infractorii nu mai dețin controlul narațiunii. Tratarea promisiunilor de ștergere ca pe niște fapte reale, și nu ca pe niște afirmații neverificate din partea unui actor ostil, a lăsat prea multe victime cu un fals sentiment de încheiere. Să rămâi sceptic și pregătit rămâne cea mai bună strategie pe termen lung.