Владельцу MonsterCloud, компании по устранению последствий программ-вымогателей, предъявлены обвинения в предполагаемом мошенничестве в отношении жертв программ-вымогателей. Согласно отчёту, он тайно платил атакующим за дешифраторы, в то время как говорил клиентам, что компания использовала запатентованную технологию для восстановления их зашифрованных данных. Эти обвинения в мошенничестве компании по восстановлению после программ-вымогателей — полезное напоминание о том, что фирма, которую вы вызываете в кризисной ситуации, может делать не то, что заявляет.
Обвинения не доказаны в суде, и доступные на данный момент подробности ограничены. Тем не менее это дело поднимает практические вопросы, которые должна быть готова задать любая организация, пострадавшая от программы-вымогателя.
В чём обвиняют владельца MonsterCloud
Обвинение строится на разрыве между тем, что говорили клиентам, и тем, что, по утверждению следствия, происходило на самом деле. По сообщениям, жертв заставляли верить, что MonsterCloud восстанавливает их файлы с помощью собственной запатентованной технологии. Вместо этого, утверждают прокуроры, компания за кулисами платила атакующим за дешифраторы.
Суть проблемы не просто в том, что выкуп, возможно, был выплачен. А в том, что выплата, как утверждается, была скрыта от людей, чьи данные и деньги были поставлены на карту. У клиентов не было возможности самим решить, финансировать ли преступников.
Почему тайные выплаты выкупа вредят жертвам
Когда компания по восстановлению тихо выступает посредником в выплате выкупа, жертвы теряют сразу несколько вещей.
- Осознанный выбор. Выплата атакующему — это важное деловое, юридическое и этическое решение. Принятие его за клиента без его ведома лишает клиента этого решения.
- Точное ценообразование. Если плата покрывает скрытый выкуп плюс наценку, клиент не может судить, справедлива ли цена за описанную работу.
- Юридическая ясность и ясность для страховки. У организаций могут быть обязанности по отчётности, требования страховщиков или опасения по поводу санкций, связанные с выплатой выкупа. Выплата, о которой они не знали, не может быть обработана должным образом.
- Честная оценка рисков. Заявление о запатентованной технологии восстановления предполагает, что проблема была решена благодаря мастерству. В действительности атакующие могут по-прежнему владеть вашими данными, знать, что вы заплатили, и не иметь причин что-либо удалять.
Ничто из этого не означает, что каждая фирма, ведущая переговоры с атакующими, действует неподобающим образом. Некоторые открыто раскрывают свою роль. Вред в этом случае, как утверждается, исходит от сокрытия.
Тревожные сигналы при найме фирмы по восстановлению после программ-вымогателей
Вы не всегда можете проверить технические заявления в разгар инцидента, но вы можете задавать острые вопросы и настаивать на чётких ответах.
- Расплывчатые заявления о запатентованной технологии. Спросите, в чём на самом деле заключается метод и работал ли он когда-либо против конкретного семейства программ-вымогателей, которое вас атаковало. Остерегайтесь ответов, сводящихся к «доверьтесь нам».
- Нежелание фиксировать что-либо в письменной форме. Добросовестный поставщик должен быть в состоянии указать в договоре, будет ли он когда-либо платить или вести переговоры с атакующими от вашего имени.
- Непрозрачные сборы. Запросите разбивку, отделяющую трудозатраты, инструменты и любые платежи третьим сторонам.
- Давление с целью быстрого решения. Срочность во время инцидента реальна, но поставщик, который отговаривает вас консультироваться со страховщиком, юристом или правоохранительными органами, заслуживает scrutiny.
- Отсутствие чёткой отчётности. Вы должны получить документацию о том, что было сделано, включая то, как файлы были расшифрованы и откуда взялись любые ключи расшифровки.
Перед подписанием проверьте, включает ли ваш полис киберстрахования уже проверенную панель реагирования на инциденты. Использование такой панели может снизить вероятность найма неизвестной фирмы в состоянии стресса.
Что это дело означает для спора о выплате выкупа
Дело попадает в центр более широкого спора о том, следует ли отговаривать от выплаты выкупов или даже запрещать их. Наш материал о дебатах по запрету выплат выкупа в Южной Африке показывает, насколько разделены мнения, в том числе среди людей, которые сами платили выкуп.
Эта история добавляет complication. Если выплаты ограничиваются или осуждаются, спрос на тихих посредников может вырасти, как и соблазн скрывать выплаты за услугой восстановления. Что бы ни решила страна или компания относительно выплаты, прозрачность в вопросе о том, кто кому платит, должна быть частью картины.
Что это значит для вас
Если вы управляете бизнесом или ИТ для него, урок состоит в том, чтобы определить свой подход до того, как произойдёт атака. Решите, кому вы позвоните, что требует ваш страховщик и какова ваша политика в отношении выплат. Поспешный поиск помощи в самый худший момент — это когда ошибки и мошенничество наиболее вероятны.
Отдельные пользователи и очень малые организации не являются исключением. Если поставщик обещает разблокировать файлы, спросите, что именно он сделает и как, и сохраните копию всего, что он вам скажет.
Практические выводы
- Запросите у любого поставщика услуг восстановления письменное раскрытие информации о том, платит ли он или ведёт переговоры с атакующими и сообщит ли он вам перед этим.
- Запросите детализированную разбивку сборов, показывающую любые платежи третьим сторонам.
- Привлекайте страховщика, юриста и правоохранительные органы на раннем этапе.
- Поддерживайте автономные, протестированные резервные копии, чтобы никогда не быть вынужденным полагаться на заявления поставщика.
- Ознакомьтесь с более широкой дискуссией в нашем материале о запрете выплат выкупа в Южной Африке для контекста о том, почему выплаты остаются столь спорными.
Обвинения против MonsterCloud — это лишь allegations, но они указывают на чёткую привычку, которую стоит перенять: прежде чем деньги или данные перейдут из рук в руки, заставьте вашего поставщика услуг восстановления письменно указать, что именно он будет делать.
