Когда крупный логистический оператор подвергается кибератаке, первый вопрос обычно касается цепочек поставок. В недавнем комментарии был задан вопрос, поставила ли кибератака на DP World под угрозу торговлю Австралии, и ответ был таков: вероятно, нет, на этот раз. Этот заголовок обнадёживает в экономическом плане. Однако он оставляет открытым второй вопрос, важный для обычных людей: что происходит с данными, когда злоумышленники проникают в крупную организацию? В этом руководстве инцидент с DP World используется как пример, чтобы объяснить двойное вымогательство в программах-вымогателях простыми словами.
Что произошло при атаке на DP World
В исходном комментарии инцидент с DP World рассматривается как часть более широкого роста программ-вымогателей. В нём указывается на атаки, связанные с плодовитыми киберпреступными группировками, включая REvil и, совсем недавно, LockBit. Его центральный вопрос касается подверженности национальной торговли риску, и его вывод состоит в том, что риск для торговли Австралии в этот раз был, вероятно, ограниченным.
Доступный нам фрагмент не содержит технических деталей вторжения, поэтому мы не будем строить предположения о том, как злоумышленники проникли внутрь, что они похитили или кто несёт ответственность. Что действительно даёт комментарий, так это чёткое описание того, как обычно работает этот тип атаки. Именно это описание полезно для читателей.
Двойное вымогательство в программах-вымогателях: объяснение
Традиционные программы-вымогатели были просты: преступники шифровали файлы организации и требовали оплату за их разблокировку. Если у жертвы были хорошие резервные копии, она часто могла восстановить системы и отказаться платить.
Как описывает комментарий, современная атака обычно проходит в два этапа:
- Данные извлекаются. Злоумышленники копируют данные из систем организации.
- Данные становятся недоступными. Затем исходные файлы, как правило, шифруются, чтобы сотрудники и клиенты не могли ими пользоваться.
После этого организация получает требование о выкупе за «разблокировку» данных, часто с оплатой в криптовалюте.
Двойное вымогательство — это тенденция, которая изменила расчёты. Поскольку данные были скопированы до того, как их заблокировали, у злоумышленников появляется второй рычаг давления. Даже если жертва восстановит всё из резервных копий, преступники всё равно могут угрожать опубликовать или продать похищенное. Плата за расшифровку и плата за молчание становятся двумя отдельными формами давления на одну и ту же жертву.
Именно поэтому вопрос о торговле DP World и вопрос о личной безопасности — это разные вопросы. Организация может продолжать работать, а экономика может не заметить сбоя, в то время как украденные данные по-прежнему находятся в руках преступников.
Для контекста о людях, стоящих за этими операциями, наш отчёт о швейцарском суде, приговорившем украинского разработчика к 13 годам по делу Nefilim, показывает, что разработчики программ-вымогателей в конечном итоге могут столкнуться с реальными последствиями, хотя дело восходит к атаке 2020 года — напоминание о том, как медленно движется правосудие по сравнению с тем, как быстро распространяется ущерб.
Что означают украденные данные для отдельных людей
Большинство людей никогда не станут прямой целью группировки, использующей программы-вымогатели. Но крупные организации хранят данные о клиентах, сотрудниках и партнёрах, и именно они оказываются на столе при атаке с двойным вымогательством.
Риск для вас редко бывает непосредственным. Он имеет тенденцию накапливаться со временем:
- Утёкшие записи используются повторно. Как только личные данные начинают циркулировать на преступных форумах, их можно объединить с другими утечками, чтобы составить более полный профиль о вас.
- Фишинг становится более убедительным. Сообщение, в котором используются ваше настоящее имя, работодатель или данные учётной записи, гораздо труднее распознать как подделку.
- Удостоверяющие документы особенно чувствительны. В отличие от пароля, вы не можете просто заменить отсканированное водительское удостоверение. Заявленный список 153 миллионов сканов водительских удостоверений, связанных с IDScan.net, — хороший пример того, как утёкшие личные записи могут создавать долгосрочный риск, даже когда лежащее в основе заявление всё ещё оценивается.
Атаки также могут иметь последствия за пределами данных. Когда правительство намеренно отключило десятки систем после инцидента, как описано в нашем материале о Молдове, отключившей 82 публичные услуги, это показало, как нарушение работы и раскрытие данных могут происходить одновременно.
Практические шаги для снижения вашей подверженности риску
Вы не можете помешать компании, с которой имеете дело, быть взломанной. Вы можете ограничить тот ущерб, который утечка наносит вам.
- Используйте уникальный пароль для каждой учётной записи. Менеджер паролей делает это реалистичным. Если один сервис допустит утечку, остальные останутся в безопасности.
- Включите многофакторную аутентификацию, особенно для электронной почты, банковских услуг и любой учётной записи, связанной с вашей личностью.
- Относитесь к неожиданным сообщениям с подозрением. Если в электронном письме или текстовом сообщении упоминается недавняя утечка, зайдите на официальный сайт организации самостоятельно, а не переходите по ссылке.
- Делитесь меньшим количеством данных. Предоставляйте организациям только те данные, которые им действительно необходимы, и удаляйте старые учётные записи, которыми вы больше не пользуетесь.
- Следите за своими счетами. Регулярно проверяйте банковские выписки и выписки по картам, а также рассмотрите возможность заморозки кредитной истории или оповещения, если ваша страна предлагает такую возможность.
- Никогда не считайте уведомление об утечке безобидным. Если вам сообщили, что ваши данные были затронуты, смените соответствующие пароли и оставайтесь настороже в отношении целевых мошенничеств в течение нескольких месяцев после этого.
Что это значит для вас
Главный вопрос о DP World заключался в том, находится ли торговля под угрозой, и ответ, согласно комментарию, — вероятно, нет, на этот раз. Для отдельных людей более долгосрочный урок касается данных. При двойном вымогательстве восстановление систем не отменяет кражу. Ваша информация может оставаться в обращении ещё долго после того, как организация восстановилась, а новостной цикл уже сменился.
Это не повод для паники. Это повод исходить из того, что некоторые ваши данные в конечном итоге где-то окажутся раскрыты, и настроить свои учётные записи так, чтобы это раскрытие можно было пережить.
Ключевые выводы
Теперь, когда двойное вымогательство в программах-вымогателях объяснено, схема ясна: сначала украсть, затем зашифровать, потом оказать двойное давление на жертву. Укрепите свои привычки сейчас, а не после того, как придёт уведомление об утечке. Пересмотрите свои пароли, включите многофакторную аутентификацию и будьте осторожны с сообщениями, которые, кажется, знают о вас слишком много. Чтобы подробнее узнать о том, как утёкшие записи сохраняются, прочитайте наш материал о заявлении IDScan.net, а для контекста о действующих лицах, стоящих за программами-вымогателями, ознакомьтесь с нашим отчётом о приговоре по делу Nefilim.
