Фальшивое спасение, которое делает только хуже
Когда компания сталкивается с программой-вымогателем, инстинкт подсказывает искать помощь быстро. Именно эту срочность, судя по всему, эксплуатирует группа, называющая себя «Ransom Busters». Согласно исследованию компании GuidePoint, эта группа внедряется в активные инциденты с программами-вымогателями, представляясь независимой службой восстановления, которая может взломать шифрование и вернуть похищенные файлы.
В чём подвох: «Ransom Busters» — вовсе не легитимная компания по восстановлению данных. Исследователи считают, что она на самом деле связана с самой операцией вымогателей или, как минимум, действует с ней заодно. Группа заявляла, что взломала панели управления операций ransomware-as-a-service (RaaS), и говорила жертвам, что может предоставить ключи дешифрования на своих условиях. В реальности схема, судя по всему, создана для перехвата или перенаправления выкупа, то есть жертвы, считающие, что имеют дело со спасательной службой, могут просто платить тем же преступникам дважды или платить посреднику, который не намерен ничего восстанавливать.
Почему эта схема так эффективна
Восстановление после атаки программы-вымогателя — действительно мутная сфера. Легитимные компании по реагированию на инциденты, киберстраховщики и переговорщики существуют, и жертвам часто советуют доброжелательные консультанты привлечь профессиональную помощь, а не вести переговоры в одиночку. Именно эта легитимная экосистема и делает схему вроде «Ransom Busters» эффективной. Паникующая IT-команда, уже имеющая дело с заблокированными системами и тикающим таймером от исходного злоумышленника, почти не имеет возможности проверить, кто находится на другом конце электронного письма или чата с предложением помощи.
Это не первый случай, когда преступники эксплуатируют отчаяние жертв после взлома. Фальшивые службы «восстановления данных» и «очистки после утечки» годами кружат вокруг компаний и частных лиц, часто обещая удалить утёкшие данные из интернета или договориться о снижении выкупа, а затем исчезают с предоплатой или, как в этом случае, направляют платёж прямо атакующим. Что отличает «Ransom Busters», так это очевидная прямая связь с самой операцией вымогателей, что фактически создаёт второй уровень монетизации поверх первоначальной попытки вымогательства.
Последствия для конфиденциальности помимо выплаты выкупа
Финансовый аспект привлекает больше всего внимания, но здесь есть и измерение конфиденциальности, которое не менее важно. Атаки программ-вымогателей часто включают кражу данных наряду с шифрованием, то есть записи клиентов, файлы сотрудников или чувствительные бизнес-документы уже похищены до появления записки с требованием выкупа. Когда фальшивая группа по восстановлению внедряется в переговоры, она получает дополнительный доступ к информации о том, какие данные были украдены, кто является организацией-жертвой и насколько эта организация готова платить, чтобы проблема исчезла.
Для частных лиц, чья личная информация находится в системах взломанной компании, эта схема добавляет ещё один уровень неопределённости. Уже сейчас сложно понять, заплатила ли компания, пострадавшая от программы-вымогателя, выкуп, чисто восстановила свои данные или тихо вела переговоры с мошенническим посредником, который не имел реальной возможности ничего защитить. Если ваши данные были частью систем затронутой организации, рекомендации из статьи Жертва утечки данных в 2026 году? Вот ваш план восстановления остаются самым надёжным путём: предполагайте, что данные раскрыты, следите за своими счетами и принимайте меры для ограничения дальнейшего ущерба независимо от того, как сама компания справилась с инцидентом.
Что это значит для вас
Большинство читателей никогда не будут напрямую вести переговоры с бандой вымогателей, но урок из истории «Ransom Busters» применим широко: любой, кто предлагает «исправить» утечку или кибератаку постфактум, заслуживает проверки, особенно если он обращается к вам первым, а не наоборот. Легитимные компании по реагированию на инциденты обычно привлекаются собственной командой безопасности организации-жертвы, юристами или поставщиком киберстрахования, а не через нежелательные обращения с заявлением о внутреннем доступе к системам атакующих.
Если вы работаете в IT, сфере безопасности или на руководящей должности в организации, пережившей инцидент с программой-вымогателем, проверяйте любого поставщика услуг по восстановлению через независимые каналы до начала работы и привлекайте правоохранительные органы или известную фирму по реагированию на инциденты, а не принимайте помощь, которая появляется в разгар кризиса. Если вы частное лицо и беспокоитесь, что ваши данные попали в утечку при атаке программы-вымогателя на компанию, которой вы пользуетесь, приоритет тот же, что и при любой утечке: смените повторно используемые пароли, включите многофакторную аутентификацию и следите за своими финансовыми счетами и кредитными отчётами на предмет подозрительной активности.
Как опередить мошенничество при восстановлении после программ-вымогателей
Случай с «Ransom Busters» напоминает, что атаки программ-вымогателей редко заканчиваются одним решением. За фазой вымогательства может последовать вторая волна эксплуатации, замаскированная под помощь, и отличить реальную поддержку по восстановлению от мошенничества при восстановлении после атаки требует той же осторожности, которую вы применили бы к любому нежелательному предложению во время кризиса. Организации должны встроить проверку поставщиков в свои планы реагирования на инциденты до атаки, а не во время неё. Для обычных пользователей самый безопасный шаг — относиться к любому уведомлению об утечке, будь оно от компании, которой вы доверяете, или от незнакомца, обещающего устранить ущерб, как к сигналу заблокировать свои собственные аккаунты, а не ждать, пока кто-то другой всё исправит.
