По сообщениям, федеральные следователи выявили руководителей двух отдельных фирм по переговорам в киберинцедентах, которые поддерживали необычно тесные отношения с группой вымогателей ShinyHunters. Согласно репортажу KrebsOnSecurity, обобщённому Security Arsenal, один руководитель из США, как утверждается, пошёл дальше и помогал управлять сайтом, использовавшимся для давления на жертв с целью заставить их заплатить. Утверждение о переговорщике по выкупам ShinyHunters и сайте вымогателей пока остаётся именно утверждением, но оно ставит трудный вопрос перед каждым, чьи данные находятся в компании, которая однажды может подвергнуться атаке: кто на самом деле сидит по другую сторону стола?

Что следователи утверждают о переговорщиках и ShinyHunters

В репортаже говорится, что федеральные следователи, работая с данными ФБР, выявили руководителей двух переговорных фирм, которые имели тесный контакт с ShinyHunters. Один из них, руководитель из США, якобы помогал управлять сайтом, который группа использовала для давления на жертв с целью заставить их платить выкуп.

Несколько моментов стоит держать в поле зрения. В доступном резюме не излагаются обвинения, и утверждения исходят из репортажа о том, что подозревают следователи. Ни руководители, ни их фирмы не названы в материалах, которые мы изучили, поэтому мы не будем строить предположения о личностях. Относитесь к этому как к развивающейся истории и ожидайте, что детали изменятся по мере подтверждения новой информации.

Как работают переговоры о выкупе и сайты вымогателей

Когда компания подвергается краже данных или атаке с использованием программы-вымогателя, она часто нанимает стороннюю фирму для ведения переговоров с атакующими. Такие переговорщики обычно проверяют, что было украдено, пытаются снизить требование и организуют платёж, если компания решает заплатить. Поскольку они общаются напрямую с преступниками, они обладают чувствительными знаниями: сколько жертва может себе позволить, какие данные были похищены и насколько срочен дедлайн компании.

Сайты вымогателей — это инструмент давления на другой стороне. Группы вроде ShinyHunters используют сайт, чтобы называть жертв, угрожать публикацией украденных данных и подталкивать компании к сделке. Сайт является частью «презентации»: чем более убедительна и пугающа угроза, тем вероятнее, что жертва заплатит.

Именно поэтому это утверждение имеет значение. Если переговорщик также помогал управлять сайтом давления, один и тот же человек теоретически мог быть одновременно доверенным советником жертвы и участником угрозы. Это хрестоматийный конфликт интересов, и жертва может о нём не знать.

Почему конфликт интересов в реагировании на инциденты имеет значение

Реагирование на инциденты зависит от доверия. Подвергшаяся атаке компания передаёт логи, сведения о сети и конфиденциальную деловую информацию людям, помогающим ей восстановиться. Если у кого-либо из этих советников есть связи с атакующими, может пойти не так несколько вещей:

  • Переговорное преимущество может утечь. Знание бюджета или дедлайна жертвы помогает вымогателю назначить цену.
  • Советы могут быть предвзятыми. Конфликтный советник может подталкивать компанию к платежу вместо восстановления другим способом.
  • Обработка данных становится неопределённой. Платёж должен обеспечивать удаление украденных данных, но, как и в других недавних случаях вымогательства, нет способа быть уверенным, что данные действительно исчезли.

Для клиентов, пациентов, студентов или сотрудников, чьи записи находятся внутри подвергшейся атаке компании, это вне их контроля. Вы не выбираете переговорщика и редко узнаёте, кем он был. В масштабах отрасли это причина требовать более чёткой проверки и раскрытия конфликтов интересов, а также того, чтобы регуляторы и страховщики изучили, как проверяются эти фирмы.

Что это значит для вас

Вы не можете провести аудит партнёров ваших поставщиков по реагированию на инциденты. Что вы можете сделать — это ограничить ущерб, если ваши данные окажутся в чужих руках, независимо от того, кто вёл переговоры. Исходите из того, что платёж не гарантирует уничтожения вашей информации и что украденные данные могут быть повторно использованы в последующих мошенничествах. Группы вымогателей и подражатели также эксплуатируют новости об утечках: например, по сообщениям, поддельное письмо о сексуальном вымогательстве от имени ShinyHunters использовало реальные детали утечки, чтобы угрозы выглядели правдоподобно.

Что делать, если компания, которой вы пользуетесь, подверглась атаке

Когда приходит уведомление об утечке, действуйте, а не ждите, пока история прояснится:

  1. Смените повторно используемые пароли. Начните с подвергшегося атаке сервиса, затем с любого другого аккаунта с тем же паролем. Используйте уникальный пароль для каждого аккаунта, в идеале хранящийся в менеджере паролей.
  2. Включите многофакторную аутентификацию. По возможности предпочитайте приложение-аутентификатор или аппаратный ключ SMS.
  3. Следите за фишинговыми письмами и письмами о вымогательстве. Скептически относитесь к сообщениям, которые ссылаются на реальные детали о вас и требуют денег или срочных действий. Не отвечайте, не переходите по ссылкам и не открывайте вложения. Вместо этого перейдите напрямую на официальный сайт компании.
  4. Проверьте само уведомление. Убедитесь, что оно пришло от компании по каналу, который вы можете проверить, поскольку атакующие имитируют уведомления об утечках.
  5. Следите за своими счетами. Просматривайте банковские выписки и выписки по картам и рассмотрите заморозку кредитной истории, если в уведомлении говорится, что были раскрыты финансовые данные или данные, позволяющие установить личность.

Главное

Предполагаемая связь между переговорщиком по выкупам и сайтом вымогателей ShinyHunters пока не является установленным делом, но она показывает, насколько большая часть реагирования на утечки держится на доверии, которого отдельные люди не видят. Пока факты не установлены полностью, разумный подход — защищать себя одинаково каждый раз: уникальные пароли, многофакторная аутентификация и здоровое недоверие к любому сообщению, которое опирается на ваши утёкшие данные, чтобы вас напугать. Делайте это после любого уведомления об утечке, и вы уменьшите ценность того, что держат атакующие или их посредники.