Pariul unei bănci pe onestitatea infractorilor

Când vine vorba de ransomware, una dintre cele mai ciudate părți ale întregului model de afaceri infracțional este promisiunea care urmează plății: predă banii și îți vom șterge datele furate. River Financial Corporation, compania-mamă a River Bank & Trust din Alabama, pare să fi luat această promisiune la valoarea nominală. Într-un formular 8-K depus la Securities and Exchange Commission, banca a dezvăluit că „a luat măsuri pentru a încerca să suprime datele afectate, inclusiv obținerea de asigurări” din partea atacatorilor, în esență o garanție scrisă că informațiile furate vor fi distruse. Este notabil faptul că documentul nu confirmă în mod explicit dacă River Bank a plătit efectiv o răscumpărare, deși obținerea unor astfel de „asigurări” din partea operatorilor de ransomware are loc de obicei doar după ce banii își schimbă mâinile.

Această dezvăluire vine într-un moment nepotrivit pentru oricine ar fi înclinat să aibă încredere într-o promisiune de ștergere a datelor din partea unui grup de ransomware. Acțiunea forțelor de ordine împotriva operațiunii de ransomware LockBit a dezvăluit că datele victimelor erau păstrate de infrastructura grupului chiar și în cazurile în care victimele plătiseră deja cererea de extorcare. Cu alte cuvinte, bifa etichetată „date șterse” pe care atât de multe companii se bazează pentru a închide incidentul și a liniști autoritățile de reglementare, clienții și propriile consilii de administrație era, în cel puțin câteva cazuri documentate, pur și simplu falsă.

De ce o promisiune de ștergere a datelor ransomware rareori rezistă

Întregul concept de a plăti o bandă de ransomware pentru ștergerea datelor se bazează pe o contradicție evidentă: ceri unei organizații criminale, care tocmai ți-a spart rețeaua și a furat date sensibile, să renunțe voluntar la pârghia de negociere. Nu există niciun mecanism de aplicare, nicio pistă de audit și nicio cale legală de atac dacă grupul păstrează o copie, o vinde pe o piață dark web sau o folosește pentru o a doua rundă de extorcare mai târziu. Cercetătorii în securitate avertizează de mult timp că „dovezile de ștergere” sub formă de videoclipuri, capturi de ecran sau declarații scrise furnizate de grupurile de ransomware sunt neverificabile prin natura lor. Acțiunea împotriva LockBit a pus pur și simplu dovezi concrete în spatele a ceea ce mulți din comunitatea de securitate presupuneau deja.

Pentru o instituție financiară, acest lucru contează enorm. Băncile dețin unele dintre cele mai sensibile date personale care există, inclusiv numere de securitate socială, detalii ale conturilor și istorice de tranzacții. Atunci când aceste date sunt exfiltrate în timpul unei intruziuni, promisiunea unui infractor de a le șterge nu oferă nicio protecție reală clienților ale căror informații au fost expuse. Oferă, în cel mai bun caz, un subiect de discuție pentru o raportare către autorități.

Cum s-a produs breșa

Incidentul de la River Bank nu a avut loc într-un vid. Potrivit rapoartelor anterioare de threat intelligence, breșa a fost legată de accesul unui actor neautorizat printr-o vulnerabilitate a unui protocol VPN învechit, un detaliu explorat în articolul nostru anterior despre incidentul ransomware de la River Bank & Trust. Infrastructura de acces la distanță depășită rămâne unul dintre cele mai comune puncte de intrare pentru grupurile de ransomware, tocmai pentru că adesea se află la marginea rețelei, este ușor de scanat și este frecvent trecută cu vederea în ciclurile de gestionare a patch-urilor. Odată intrați, atacatorii se deplasează de obicei lateral, localizează depozitele de date valoroase și exfiltrează informațiile înainte de a declanșa vreodată o sarcină utilă ransomware, ceea ce înseamnă că furtul are loc adesea cu mult înainte ca cineva să observe că ceva nu este în regulă.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă sunteți client River Bank & Trust sau client al oricărei instituții care a dezvăluit un incident ransomware, realitatea practică este următoarea: orice promisiune din partea atacatorilor de a vă șterge datele nu ar trebui tratată ca o garanție a siguranței. Odată ce informațiile părăsesc rețeaua unei companii în urma unui atac ransomware, acestea ar trebui tratate ca fiind compromise permanent, indiferent de asigurările obținute ulterior. Aceasta înseamnă monitorizarea conturilor și a rapoartelor de credit pentru activități neobișnuite, vigilență față de tentativele de phishing care fac referire la detalii reale ale contului (o tactică frecventă atunci când datele bancare furate circulă printre grupările criminale) și luarea în considerare a unei blocări a contului de credit dacă numerele de securitate socială sau numerele de cont au făcut parte din setul de date expus.

Pentru companiile și instituțiile financiare care urmăresc această situație, lecția este mai amplă. A te baza pe o promisiune de ștergere a datelor ransomware ca parte a unei strategii de răspuns la incident, darămite ca pe ceva ce merită dezvăluit autorităților de reglementare ca măsură de atenuare, transmite un semnal greșit despre cât de serios tratează o organizație protecția datelor. Backup-urile verificate, segmentarea rețelei și aplicarea promptă a patch-urilor pentru infrastructura de acces la distanță, cum ar fi gateway-urile VPN, fac mult mai mult pentru a proteja datele clienților decât ar putea face vreodată orice asigurare obținută de la o întreprindere criminală.

Concluzii principale

  • Tratați orice promisiune a unui grup ransomware de a șterge datele furate ca fiind neverificabilă și inaplicabilă, nu o garanție autentică.
  • Dacă sunteți client al unei bănci care a dezvăluit o breșă, monitorizați cu atenție extrasele și rapoartele de credit și luați în considerare blocarea contului de credit.
  • Fiți deosebit de precauți cu mesajele de phishing care fac referire la detalii reale ale contului sau la date personale în săptămânile și lunile care urmează unui incident dezvăluit.
  • Organizațiile ar trebui să prioritizeze aplicarea de patch-uri pentru vulnerabilitățile cunoscute ale VPN-urilor și ale accesului la distanță, deoarece protocoalele depășite rămân un punct de intrare principal pentru grupurile de ransomware.

Pe măsură ce investigațiile ransomware continuă să expună decalajul dintre ceea ce promit grupurile criminale și ceea ce fac de fapt, atât consumatorii, cât și companiile ar trebui să planifice ca și cum datele furate nu dispar niciodată cu adevărat, indiferent de ce asigurare oferă în scris un grup de ransomware.