O instanță elvețiană a pronunțat o pedeapsă de aproape 13 ani pentru un bărbat ucrainean de 52 de ani condamnat pentru dezvoltarea variantei de ransomware Nefilim, încheind astfel un caz care datează de la un atac cibernetic din 2020 asupra Stadler Rail. Condamnarea marchează una dintre cele mai semnificative urmăriri penale în materie de ransomware desfășurate într-o sală de judecată europeană și oferă o perspectivă utilă asupra modului în care funcționează de fapt operațiunile de ransomware și asupra a ceea ce se întâmplă atunci când victimele refuză să plătească.

De la incident de malware la condamnare pentru ransomware

Când Stadler Rail a fost lovită în 2020, compania nu a folosit inițial termenul „ransomware”. La acea vreme, a descris incidentul doar ca implicând malware care „cel mai probabil a dus la o scurgere de date” și a declarat că atacatorii au încercat să extorcă o sumă mare de bani, amenințând că vor publica fișierele furate dacă răscumpărarea nu era plătită. Stadler a refuzat să plătească atunci, la fel cum a procedat și în urma unui incident separat din acest an. Acel refuz a pregătit terenul pentru o anchetă penală care a identificat în cele din urmă individul din spatele codului ransomware Nefilim folosit în atac.

Nefilim făcea parte dintr-un val de familii de ransomware care combinau criptarea fișierelor cu furtul de date, o tactică adesea numită dublă extorcare. În loc să blocheze pur și simplu sistemele victimei, operatorii exfiltratu mai întâi fișiere sensibile, apoi amenințau că le vor publica dacă victima nu plătea. Această abordare punea presiune suplimentară pe organizații, deoarece chiar și o strategie solidă de backup nu putea proteja împotriva consecințelor reputaționale și de reglementare ale unei scurgeri publice de date. Acoperirea noastră anterioară a procesului ransomware din Zürich a detaliat modul în care procurorii și-au construit cazul, solicitând o pedeapsă de 12 ani înainte ca instanța să impună în cele din urmă o pedeapsă de aproape 13 ani.

De ce contează acest caz dincolo de Elveția

Urmăririle penale în materie de ransomware care se soldă cu pedepse lungi cu închisoarea rămân relativ rare, în mare parte pentru că mulți operatori lucrează din jurisdicții care fac dificilă extrădarea sau arestarea. Acest caz este notabil tocmai pentru că a dus la identificarea unui individ, la un proces penal și la o pedeapsă substanțială pronunțată de o instanță elvețiană. Demonstrează că autoritățile de aplicare a legii și procurorii pot, în anumite circumstanțe, să urmărească cu succes codul ransomware până la dezvoltatorul său și să tragă la răspundere acea persoană la ani după atacul original.

Cazul întărește, de asemenea, un tipar care apare în mod repetat în incidentele de ransomware: victimele care refuză să plătească nu se confruntă neapărat cu consecințe mai grave, iar plata unei răscumpărări nu oferă nicio garanție că datele furate nu vor fi scurse oricum. Decizia Stadler Rail de a nu plăti în 2020, și din nou în acest an, se aliniază cu recomandările cercetătorilor în securitate și ale agențiilor de aplicare a legii, care în general sfătuiesc împotriva finanțării operațiunilor de ransomware, deoarece plata nu anulează o breșă și adesea finanțează activități infracționale ulterioare.

Ce înseamnă acest lucru pentru dumneavoastră

Pentru majoritatea cititorilor, acest caz nu reprezintă o amenințare directă, dar este o reamintire a modului în care funcționează de fapt operațiunile de ransomware în culise. Atacuri precum cel împotriva Stadler Rail încep de obicei cu credențiale furate, e-mailuri de phishing sau vulnerabilități de software exploatate, nu cu vreo forță de neoprit. Indivizii care scriu și implementează cod ransomware sunt persoane care pot, în anumite cazuri, să fie identificate, urmărite penal și condamnate, chiar și la ani după ce are loc un atac.

Dacă lucrați într-o organizație care gestionează date sensibile, acest caz subliniază importanța de a presupune că orice intruziune reușită ar putea implica furt de date, nu doar criptare. Strategiile de backup singure nu sunt suficiente. Organizațiile au nevoie de planuri de răspuns la incidente care să ia în considerare posibilitatea scurgerii de fișiere și trebuie să-și decidă poziția privind plățile de răscumpărare înainte de a avea loc un atac, nu în timpul haosului unuia. Pentru utilizatorii individuali, concluzia este similară cu ceea ce am recomandat de mult timp: parole puternice și unice, autentificare multi-factor și gestionarea precaută a atașamentelor și linkurilor din e-mail rămân cele mai eficiente apărări împotriva tehnicilor de acces inițial care fac posibile atacurile de ransomware în primul rând.

Concluzii cheie

Această condamnare arată că operatorii de ransomware nu sunt de neatins și că munca de investigație răbdătoare poate conecta în cele din urmă o bucată de cod malițios cu persoana care l-a scris. Pentru organizații, cazul întărește valoarea refuzului cererilor de răscumpărare și a pregătirii pentru scenarii de scurgere de date, în loc să presupună că criptarea este singurul risc. Pentru indivizi, este o reamintire că atacurile de ransomware încep aproape întotdeauna cu o defecțiune de securitate banală, o parolă slabă, un sistem neactualizat sau o tentativă de phishing reușită, toate acestea fiind prevenibile cu o igienă de securitate de bază. Pe măsură ce tot mai multe cazuri de ransomware ajung în instanțe, așteptați-vă la o examinare continuă a modului în care aceste operațiuni sunt finanțate, conduse și, în cele din urmă, demontate.