Атака программы-вымогателя на Richmond Public Schools затронула все уголки округа. Согласно репортажу Cybernews, пострадали все 53 кампуса, а хакеры оставили на ноутбуках сотрудников записки с требованием выкупа, угрожая утечкой похищенных данных в течение 72 часов.

Доступные на данный момент подробности ограничены, и расследование округа продолжается. Но сочетание нарушения работы в масштабах всего округа и обратного отсчёта до утечки данных — это хрестоматийный пример того, как работает современное вымогательское ПО, и он несёт уроки для всех, кто связан со школьной системой.

Что произошло в Richmond Public Schools

Richmond Public Schools сообщает, что атака затронула все 53 кампуса. Хакеры отобразили записки с требованием выкупа на ноутбуках сотрудников — тактика, призванная сделать инцидент невозможным игнорировать и быстро оказать давление на лиц, принимающих решения. Местные СМИ также сообщали, что после инцидента интернет-доступ округа отключился, а ученикам было сказано не подключаться к школьным сетям.

По сообщениям, записки угрожают утечкой похищенных данных в течение 72 часов. Эта деталь важна, поскольку говорит о том, что злоумышленники утверждают, будто скопировали информацию из систем округа, а не просто заблокировали файлы. Мы пока не знаем, какие именно данные были похищены, соответствует ли это утверждение действительности и какая группировка несёт ответственность. Эти вопросы остаются открытыми, и читателям следует с осторожностью относиться к неподтверждённым заявлениям.

Видимая записка с требованием выкупа — также напоминание о том, что момент, когда сотрудники её видят, редко является началом атаки. Злоумышленники часто проводят время внутри сети, прежде чем запустить финальную стадию. Наш материал о том, как обнаружить программу-вымогатель на ранней стадии, объясняет, почему признаки часто появляются задолго до того, как записка возникнет на экране.

Что угроза утечки в течение 72 часов означает для сотрудников и семей

72-часовой срок — это тактика давления. Она призвана сократить время, которое есть у организации на размышления, консультации с юристами и координацию с правоохранительными органами. Для округа с 53 кампусами это давление особенно сильное.

Для людей, связанных с округом, настоящая тревога связана с самими данными. Школьные системы обычно хранят записи о сотрудниках, учениках и семьях. Если какие-либо из этих материалов были скопированы и позже опубликованы, их можно использовать для фишинга, мошенничества с личными данными или целевых афер. Мы пока не знаем, какие записи, если таковые вообще имеются, затронуты, поэтому самый безопасный подход — готовиться, не предполагая худшего.

Вопрос о том, платить ли, — отдельный и сложный. Как отмечается в нашем разъяснении о правилах выплаты выкупа и рисках OFAC, не существует федерального закона, который категорически запрещает выплату выкупа, но правовые риски всё равно сохраняются. Местные репортажи об инциденте в Richmond также отмечают, что ФБР советует школам не платить и немедленно связываться с бюро. Выплата также не даёт гарантии, что похищенные данные будут удалены.

Почему одних резервных копий недостаточно для остановки двойного вымогательства

Годами стандартный совет состоял в том, чтобы держать хорошие резервные копии, чтобы можно было восстановить системы без выплаты. Это работает против шифрования, но ничего не даёт в отношении похищенных данных. При атаке с двойным вымогательством преступники и блокируют системы, и копируют файлы, а затем угрожают их опубликовать. Чистое восстановление снова запустит школы, но угроза утечки останется.

Именно поэтому записка с 72-часовым сроком так важна. Даже если Richmond Public Schools сможет восстановить свои системы, злоумышленники сигнализируют, что у них есть нечто, что они могут обнародовать. Наше руководство о том, почему резервных копий недостаточно против двойного вымогательства, подробно разбирает этот сдвиг.

Видимая записка также является частью тактики. Другие группировки использовали необычные способы доставки, чтобы максимально усилить disruption, как это было, когда программа-вымогатель INC распечатала записки с требованием выкупа на больничных принтерах. Цель та же: вынудить быстрое и стрессовое решение.

Что это значит для вас

Если вы работаете в Richmond Public Schools, учитесь там или ваши дети посещают эти школы, паниковать не нужно, но разумно проявлять осторожность. Официальные обновления от округа — самый надёжный источник. Скептически относитесь к любым сообщениям, которые якобы исходят от округа, поставщика или злоумышленников и просят вас перейти по ссылке, войти в систему или отправить деньги.

Если вы связаны с другим школьным округом или любой организацией, которая хранит персональные данные, этот инцидент — повод пересмотреть вашу собственную готовность. Кража данных теперь является стандартной частью программ-вымогателей, поэтому защита информации важна так же, как и защита бесперебойной работы.

Шаги, которые сотрудники и родители могут предпринять сейчас

  • Сбросьте пароли для всех учётных записей, связанных с округом, и для любых других учётных записей, где вы использовали тот же пароль.
  • Включите многофакторную аутентификацию везде, где она предлагается, особенно для электронной почты и финансовых аккаунтов.
  • Следите за фишингом по электронной почте, в сообщениях и по телефону. Сообщения, которые ссылаются на инцидент или торопят с действиями, — тревожные сигналы.
  • Проверяйте, прежде чем действовать. Связывайтесь с округом через официальные каналы, а не отвечайте на неожиданные сообщения.
  • Следите за своими счетами на предмет необычной активности и рассмотрите заморозку кредита, если вас уведомят о раскрытии конфиденциальной информации.
  • Держите устройства обновлёнными и избегайте использования выданных округом ноутбуков для личных входов, пока округ не даст отмашку.

Ключевые выводы

Атака программы-вымогателя на Richmond Public Schools показывает, как быстро один инцидент может распространиться на весь округ и как угроза утечки в течение 72 часов смещает риск с простоя на раскрытие данных. Многое остаётся неподтверждённым, поэтому полагайтесь на официальные обновления.

Если вы связаны с пострадавшим округом или где-либо управляете персональными данными, сбросьте свои учётные данные, включите многофакторную аутентификацию и будьте бдительны в отношении фишинга. Для более глубокого понимания того, почему восстановление из резервных копий не устраняет угрозу, прочитайте наше разъяснение о двойном вымогательстве.