Федеральные следователи, ведущие дело хакерской группы ShinyHunters, которая недавно похитила особо чувствительную информацию у ФБР, по сообщениям, установили руководителей, связанных с этим делом. Согласно отчёту, впервые опубликованному Krebs on Security, следователи подозревают, что переговорщик по выкупу управлял сайтом вымогательства ShinyHunters. Если это подтвердится, это прольёт свет на часть киберпреступной экономики, которую большинство людей никогда не видит.
Доступные на данный момент детали ограничены, и ничто здесь не является доказанным выводом. Этот материал придерживается того, что было сообщено, и объясняет, что это может означать для всех, чьи данные хранятся в корпоративной базе данных.
Что следователи утверждают о сайте вымогательства ShinyHunters
В отчёте говорится, что федеральные следователи США, ведущие дело ShinyHunters после того, как группа похитила особо чувствительные данные у ФБР, теперь подозревают, что за сайтом вымогательства группы стоял человек, работавший переговорщиком по выкупу. В резюме также указано, что следователи установили руководителей, хотя доступный текст не уточняет, о каких компаниях или людях идёт речь.
Поскольку исходный материал краток, остаётся открытым несколько вопросов: последуют ли обвинения, как была установлена предполагаемая связь и какую роль играла какая-либо фирма. Подозрение — это не приговор, и читателям следует воспринимать это утверждение как обвинение, пока власти не сообщат больше.
Что делает эту историю примечательной, так это возможное пересечение ролей. Переговорщика обычно нанимает жертва для взаимодействия с атакующими. Переговорщик, который также управляет кампанией давления, оказался бы по обе стороны стола.
Как работает вымогательство в стиле ShinyHunters
Группы этой категории обычно сосредоточены на краже данных, а не только на блокировке систем. Базовая схема проста:
- Атакующие получают доступ к системам или учётным записям компании и копируют конфиденциальные данные.
- Они связываются с жертвой с требованием, часто с установленным сроком.
- Сайт вымогательства используется для называния жертв, демонстрации доказательств кражи и угрозы публикации.
- Если жертва не платит, похищенные записи могут быть обнародованы или проданы.
Сайт утечек — это инструмент давления. Публичные списки создают репутационный риск, оповещают клиентов и регуляторов и подталкивают руководителей к быстрому решению. Именно поэтому личность того, кто управляет таким сайтом, так важна для следователей: это входная дверь всей операции.
Почему переговорщики по выкупу и посредники под пристальным вниманием
Переговорщики и фирмы по восстановлению существуют потому, что у многих организаций нет опыта взаимодействия с преступниками. Они консультируют по ценам, проверяют, реальны ли похищенные данные, и иногда обрабатывают платежи. Такой доступ к конфиденциальной информации и доверие создают явный риск конфликта интересов, если посредник получает выгоду от того самого преступления, которое его наняли урегулировать.
Эта проблема не чисто теоретическая. В нашем материале о владельце MonsterCloud, обвинённом в схеме выставления счетов за выкуп на $19 млн описаны обвинения в том, что фирма по восстановлению взимала с жертв гораздо больше, чем тайно платила атакующим. Дело ShinyHunters отличается в деталях и остаётся недоказанным, но обе истории поднимают один и тот же вопрос: насколько жертва должна доверять людям, которых нанимает в кризисной ситуации?
Что это значит для вас
Большинство людей никогда не будут вести переговоры с группой вымогателей. Но вы можете быть клиентом, пациентом, сотрудником или владельцем учётной записи компании, которая это делает. Практический урок состоит в том, чтобы исходить из того, что как только ваши данные оказываются у третьей стороны, они в конечном итоге могут быть раскрыты — независимо от того, заплатит компания или нет.
Оплата выкупа не гарантирует удаления. Похищенные данные могут быть скопированы, перепроданы или обнародованы позже. Более безопасный подход — ограничить ущерб, который может нанести вам любая отдельная утечка.
Утёкшие контактные данные и записи заказов обычно используются для целевых мошенничеств. Наш материал об утечке данных Asus eShop и риске фишинга показывает, как даже утечка без платёжных данных может привести к убедительным фишинговым сообщениям.
Как снизить свою уязвимость при взломе компании
Вы не можете контролировать, как компания защищает ваши записи, но вы можете уменьшить ущерб:
- Используйте менеджер паролей. Уникальные пароли для каждой учётной записи означают, что одна утечка не откроет доступ к другим.
- Включите многофакторную аутентификацию. По возможности предпочитайте приложения или аппаратные методы SMS.
- Включите мониторинг утечек. Оповещения сообщают вам, когда ваш адрес электронной почты или учётные данные появляются в утёкших данных, чтобы вы могли быстро действовать.
- Делитесь меньшим объёмом данных. Предоставляйте сервисам только то, что им действительно нужно, и используйте отдельные адреса электронной почты для разных целей.
- Скептически относитесь к неожиданным сообщениям. После любого уведомления об утечке относитесь к письмам, сообщениям и звонкам, ссылающимся на вашу учётную запись, с осторожностью и переходите непосредственно на официальный сайт, а не по ссылкам.
Ключевые выводы
Подозрение в том, что переговорщик по выкупу управлял сайтом вымогательства ShinyHunters, является обвинением, и дальнейшие детали будут иметь значение. Тем не менее это подчёркивает устойчивый тезис: вымогательство путём кражи данных процветает на давлении, а люди в середине процесса не всегда нейтральны. Защитите себя, ужесточив пароли, включив MFA, следя за оповещениями об утечках и передавая как можно меньше личных данных. Подробнее о том, что происходит после утечки, читайте в материалах о риске фишинга Asus eShop и обвинениях в выставлении счетов MonsterCloud.
