Un semnal de alarmă de 50 de milioane de dolari pentru BigLaw
Unele dintre cele mai prestigioase firme de avocatură din Statele Unite, inclusiv Weil Gotshal & Manges, WilmerHale și Goodwin Procter, au plătit, potrivit rapoartelor, o sumă totală de aproape 50 de milioane de dolari către un grup de extorcare cibernetică în ultimele luni. Ceea ce face acest caz deosebit de tulburător nu este doar cifra. Este modul în care s-a desfășurat atacul. Niciun sistem nu a fost criptat. Nu a existat ecran blocat, cronometru invers sau notă tradițională de răscumpărare care să ceară plată pentru deblocarea fișierelor înghețate. A fost o formă mai tăcută, mai chirurgicală de ransomware, construită în jurul datelor furate, nu al infrastructurii paralizate.
Pentru o industrie care deține unele dintre cele mai sensibile informații care există, de la comunicări privilegiate cu clienții până la evidențe financiare și detalii despre fuziuni, acest incident este o reamintire că până și cele mai bine finanțate instituții pot fi prinse nepregătite.
De ce ransomware-ul nu arată întotdeauna ca ransomware
Imaginea clasică a unui atac ransomware implică o companie care se trezește și descoperă că fiecare fișier este criptat și un mesaj care cere criptomonedă pentru a restabili accesul. Această versiune de ransomware există încă, dar atacatorii s-au orientat tot mai mult către un model diferit: extragerea tăcută a datelor mai întâi, apoi amenințarea că le vor divulga sau vinde dacă nu se face plata. Nu este necesară nicio criptare. Niciun sistem nu trebuie să cadă. Pârghia de presiune provine în întregime din amenințarea expunerii.
Această schimbare contează pentru că modifică ceea ce înseamnă „detecție”. Ransomware-ul tradițional se anunță singur în momentul în care fișierele se blochează. Extorcarea de date, pe de altă parte, poate avea loc în tăcere, uneori săptămâni sau luni, înainte ca victima să-și dea seama că informațiile au părăsit rețeaua lor. Firmele de avocatură sunt ținte deosebit de atractive pentru această abordare, deoarece datele pe care le dețin — strategie de litigiu, declarații financiare, informații personale despre clienți — sunt adesea mai valoroase dacă rămân confidențiale decât dacă ar fi pur și simplu șterse.
Acest scenariu nu este unic pentru industria juridică. Tactici similare de extorcare au fost folosite împotriva unor companii mult în afara sectorului juridic. În Australia, un atacator a amenințat public că va divulga milioane de fișiere ale clienților dacă Origin Energy nu plătea, iar gigantul energetic Shell s-a trezit investigând afirmațiile grupului Cl0p că ar fi furat aproape 89GB de date ale companiei. Firul comun în toate aceste cazuri este că adevărata daună nu este un sistem blocat. Este vorba despre datele în sine și despre ceea ce se întâmplă dacă devin publice.
Ce înseamnă asta pentru tine
Dacă ești client al unei firme de avocatură, al unei firme de contabilitate sau al oricărei organizații care gestionează înregistrări personale sau financiare sensibile, acest incident este o reamintire utilă că securitatea datelor nu este garantată doar pentru că o instituție este mare, consacrată sau bine finanțată. Reputația și resursele nu se traduc automat în practici solide de securitate cibernetică.
Dacă lucrezi într-un mediu de servicii profesionale, în special la o firmă de contabilitate sau de avocatură, concluzia este mai directă: modelul de amenințare al firmei tale trebuie să ia în calcul furtul de date, nu doar întreruperea sistemelor. Planurile de backup și recuperare care se pregătesc doar pentru fișiere criptate nu vor ajuta dacă riscul real este o scurgere de informații confidențiale ale clienților. Polițele de asigurare cibernetică, planurile de răspuns la incidente și strategiile de comunicare cu clienții trebuie să reflecte toate această realitate.
Apărări practice care merită prioritizate
Câțiva pași concreți pot reduce în mod semnificativ expunerea la acest tip de atac. Criptarea puternică a datelor în repaus și în tranzit limitează ceea ce atacatorii pot folosi efectiv chiar dacă reușesc să acceseze fișierele. Backup-urile regulate și testate rămân importante, nu pentru că anulează o scurgere de date, ci pentru că asigură că operațiunile pot continua fără a fi nevoie să negociezi cu atacatorii. Segmentarea rețelei este o altă apărare-cheie: limitând cât de departe se poate deplasa un intrus odată ajuns în rețea, firmele reduc șansele ca un singur cont compromis să ducă la o breșă la nivelul întregii firme.
Arhitectura zero-trust, care necesită verificare continuă a utilizatorilor și dispozitivelor, în loc să presupună încredere pe baza locației în rețea, este deosebit de eficientă împotriva tipului de mișcare laterală care transformă o singură autentificare compromisă într-un eveniment de exfiltrare a datelor la nivelul întregii firme. Combinată cu controale stricte de acces, autentificare multi-factor și monitorizarea transferurilor neobișnuite de date, aceste măsuri fac semnificativ mai dificil pentru atacatori să recolteze în tăcere volume mari de informații sensibile înainte ca cineva să observe.
Concluzia
Cei 50 de milioane de dolari plătiți de aceste firme BigLaw subliniază o schimbare mai largă în modul în care funcționează astăzi ransomware-ul și extorcarea cibernetică. Atacatorii nu mai trebuie să blocheze un singur fișier pentru a provoca daune grave — au nevoie doar de acces la datele potrivite și de suficientă răbdare pentru a le extrage în tăcere. Pentru firmele de avocatură, firmele de contabilitate și orice organizație căreia i se încredințează informații sensibile ale clienților, lecția este clară: criptarea, segmentarea, backup-urile testate și principiile zero-trust nu mai sunt opțiuni suplimentare. Sunt cerințe de bază pentru protejarea persoanelor care îți încredințează cele mai private informații ale lor.
