Grupările de ransomware fură acum datele înainte de a le cripta

Cum a evoluat ransomware-ul de la criptare la furt de date și extorcare

Timp de ani de zile, ransomware-ul a urmat un scenariu simplu. Atacatorii pătrundeau în rețeaua unei companii, îi criptau fișierele și cereau plată pentru cheia de decriptare. Dacă victima avea backup-uri solide, putea adesea să-și restaureze sistemele și să scape fără să plătească. Această plasă de siguranță a dispărut în mare măsură.

Grupările de ransomware de astăzi au trecut la ceea ce cercetătorii în securitate numesc dublă extorcare. Înainte de a bloca ceva, atacatorii copiază în secret fișiere sensibile, înregistrări ale clienților, date ale angajaților, documente financiare și orice altceva de valoare. Abia după ce furtul este complet declanșează criptarea. Asta înseamnă că plata pentru o cheie de decriptare nu mai rezolvă problema reală. Chiar dacă o companie își restaurează sistemele din backup-uri, datele furate sunt încă acolo, iar criminalii amenință că le vor publica sau vinde dacă nu se plătește o a doua răscumpărare.

Această schimbare contează pentru că schimbă cine este cu adevărat victima. Nu mai este doar departamentul IT care se zbate să restaureze serverele. Este fiecare client, pacient sau angajat ale cărui informații personale se aflau în baza de date a acelei companii. Preocupările privind confidențialitatea legate de extorcarea datelor prin ransomware se extind acum mult dincolo de organizația spartă, ajungând la oricine ale cărui date i-au fost vreodată încredințate.

Cine este expus când o companie în care ai încredere este lovită

Când o grupare de ransomware sparge o afacere, expunerea nu se oprește la statele de plată sau secretele comerciale ale companiei. În funcție de țintă, datele furate pot include nume, adrese, numere de asigurare socială, dosare medicale, credențiale de autentificare și detalii ale conturilor financiare. Furnizorii de servicii medicale, în special, au devenit ținte frecvente, deoarece dosarele pacienților sunt valoroase, iar organizațiile se confruntă adesea cu presiunea de a rezolva incidentele rapid. Ghidul privind ransomware-ul Medusa pentru organizațiile din domeniul sănătății ilustrează exact cum se desfășoară acest lucru, agențiile federale detaliind modul în care gruparea infiltrează rețelele, exfiltrează înregistrări sensibile și presionează victimele cu amenințarea scurgerilor publice.

Partea tulburătoare pentru consumatori este că rareori ai control asupra companiilor care dețin datele tale sau asupra cât de bine le protejează. Un retailer, un asigurător, un spital sau chiar un district școlar poate fi spart, iar informațiile tale pot ajunge pe un site de scurgeri luni sau ani după ce ai interacționat cu acea organizație. S-ar putea să nici nu afli că datele tale au fost implicate până când nu primești o notificare de breach sau până când nu este prea târziu.

Pași de urmat dacă datele tale apar într-o scurgere de ransomware

Dacă primești o notificare de breach sau descoperi că informațiile tale apar într-o scurgere, tratează-o ca pe un semnal de a acționa, nu de a panică. Începe prin a confirma exact ce tip de date a fost expus. Numerele de cont financiar, numerele de asigurare socială și informațiile medicale necesită răspunsuri diferite față de o simplă adresă de email expusă.

Schimbă imediat parolele pentru orice conturi legate de organizația spartă și evită reutilizarea acelei parole oriunde altundeva. Dacă au fost implicate informații financiare sau de identitate, ia în considerare plasarea unei alerte de fraudă sau a unui blocaj de credit la principalele birouri de credit. Monitorizează îndeaproape extrasele bancare și de card de credit pentru activități necunoscute în săptămânile și lunile de după incident, deoarece datele furate sunt uneori vândute și utilizate mult după breach-ul inițial.

Merită, de asemenea, să raportezi incidentul, atât companiei implicate, cât și, dacă apare furt de identitate, autorităților relevante de protecție a consumatorilor. Documentarea contează dacă trebuie să contesti taxe sau conturi frauduloase mai târziu.

Reducerea expunerii tale: VPN-uri, igiena credențialelor și raportarea către autorități

Deși nu poți controla dacă o companie cu care ai făcut afaceri este spartă, poți reduce cât de mult rău îți face personal un breach. Utilizarea unor parole unice și puternice pentru fiecare cont, împreună cu un manager de parole, limitează cât de departe se poate răspândi o singură credențială scursă. Activarea autentificării multi-factor adaugă o barieră suplimentară chiar dacă o parolă este expusă.

Atacatorii se bazează din ce în ce mai mult pe credențiale furate sau reutilizate pentru a obține acces inițial la rețele, în loc de malware exotic. Un val recent de incidente a arătat cum atacatorii au deturnat sesiuni Microsoft 365 prin abuzul de instrumente de management la distanță în loc să exploateze o vulnerabilitate software, subliniind cât de mult depind breach-urile moderne de puncte de acces obișnuite precum autentificările și instrumentele de suport, mai degrabă decât de hacking sofisticat. Un VPN nu va împiedica serverele unei companii să fie sparte, dar ajută la protejarea propriei conexiuni de interceptare pe rețele publice și poate reduce cantitatea de date personale expuse în timpul navigării, ceea ce contează mai mult pe măsură ce informațiile tale circulă în tot mai multe locuri din cauza breach-urilor aflate în afara controlului tău.

Dacă suspectezi că identitatea ta a fost compromisă, raportarea către autoritatea competentă de combatere a criminalității informatice sau de protecție a consumatorilor din țara ta creează o înregistrare oficială și poate ajuta în investigațiile mai ample asupra grupurilor criminale responsabile.

Ce înseamnă asta pentru tine

Ransomware-ul nu mai este o problemă care afectează doar afacerile și echipele lor IT. Deoarece atacatorii fură acum datele înainte de a le cripta, oamenii obișnuiți devin daune colaterale în momentul în care o companie care le deține informațiile este spartă. Riscurile de confidențialitate legate de extorcarea datelor prin ransomware înseamnă că până și organizațiile cu sisteme solide de backup nu pot proteja pe deplin clienții și pacienții ale căror date au fost furate. Cea mai bună apărare a ta este să presupui că orice cont pe care l-ai creat vreodată ar putea fi în cele din urmă implicat într-un breach și să te pregătești în consecință.

Concluzii acționabile

• Folosește parole unice și un manager de parole, astfel încât o singură credențială scursă să nu compromită mai multe conturi.
• Activează autentificarea multi-factor oriunde este oferită.
• Monitorizează îndeaproape notificările de breach și extrasele financiare și acționează rapid dacă datele tale apar într-o scurgere.
• Ia în considerare un blocaj de credit dacă sunt expuse informații sensibile de identitate, cum ar fi un număr de asigurare socială.
• Raportează furtul de identitate sau frauda suspectată către autoritățile corespunzătoare pentru a crea o înregistrare documentată.

Înțelegerea modului în care ransomware-ul a evoluat de la o neplăcere cu ecran blocat la o amenințare de extorcare a datelor la scară largă este primul pas spre a te proteja într-o lume în care informațiile tale personale sunt la fel de în siguranță precum cea mai slabă companie care le stochează.