Andersen Group Inc. (NYSE: ANDG), ett företag inom professionella tjänster och skatterådgivning, har publicerats på utpressningssidan LeakedData som drivs av Silent Ransom Group. Listningen är betydelsefull eftersom den motstrider tidigare interna bedömningar som beskrev incidenten som helt innesluten. För företagets kunder är historien om Andersen Group-dataintrånget och utpressningen en påminnelse om att ett företags första uttalande om en incident inte alltid är det sista ordet.

Detta inlägg håller sig till det som har rapporterats. Källartikeln beskriver incidenten som involverande social engineering, och säger att listningen dök upp på en dark web-portal efter att företagets egen bedömning antydde att ärendet var avslutat. Detaljer såsom volymen eller typen av data som påstås ha tagits har inte fastställts i materialet vi granskade, så vi spekulerar inte om dem.

Vad LeakedData-listningen visar

En listning på en läckage- eller utpressningsportal är ett påstående från angriparna. Den signalerar att gruppen säger sig inneha data från offret och vill pressa organisationen att betala, vanligtvis genom att hota med att publicera det de tagit. Det är inte oberoende bevis för vad som stulits, och det är inte en verifierad förteckning över drabbade poster.

Vad listningen faktiskt visar är att Silent Ransom Group anser att Andersen Group är ett gångbart mål för påtryckningar. Tidpunkten är också anmärkningsvärd: publiceringen följde en period då företagets egen hållning var att incidenten hade hanterats. Offentlig rapportering kring fallet inkluderar också ett företagstillkännagivande som beskriver en lösning av en begränsad säkerhetsincident, med ett begränsat antal kunder som underrättades. Portalens listning finns nu sida vid sida med den redogörelsen, och gapet mellan de två är vad läsarna bör hålla ögonen på.

För ett skatterådgivningsföretag är känsligheten hos kunddata den centrala oron. Rådgivningsarbete involverar finansiella register, identitetsuppgifter och skattedeklarationer, vilket är exakt den typ av information som är värdefull för bedrägerier och riktad nätfiske.

Hur social engineering tar sig in angripare

Social engineering innebär att manipulera människor snarare än att bryta sig in i programvara. Istället för att utnyttja en teknisk sårbarhet övertalar en angripare en anställd eller helpdesk att lämna ut åtkomst. Vanliga tillvägagångssätt inkluderar att utge sig för att vara IT-personal, posera som en leverantör eller kontakta någon via telefon eller meddelande med en trovärdig förevändning och en känsla av brådska.

Detta tillvägagångssätt fungerar eftersom det riktar sig mot rutinmässigt beteende. En begäran om återställning av lösenord, en begäran om att godkänna en inloggningsprompt eller ett samtal från någon som påstår sig vara intern support kan alla se vanliga ut. När en angripare väl har en legitimt utseende session kan de röra sig genom system med färre larm än ett tekniskt intrång skulle utlösa, och de kan kopiera data tyst innan någon märker det.

Det är också därför dessa incidenter är svåra att avgränsa. Om åtkomst kom genom ett betrott konto snarare än skadlig programvara måste försvarare granska vad det kontot kunde nå, och under hur lång tid, innan de med säkerhet kan säga vad som togs.

Varför påståenden om "helt innesluten" förtjänar granskning

Det är naturligt för ett företag att snabbt vilja lugna kunder. Men "innesluten" kan betyda olika saker: att angriparens åtkomst skars av, att de drabbade systemen isolerades, eller att ingen ytterligare skada förväntas. Dessa är inte samma sak som "vi vet exakt vad som togs."

Utpressning förändrar bilden. När data redan har kopierats hjälper det inte att stänga dörren för att få tillbaka den. Angriparna innehar fortfarande filerna och kan använda en läckageportal för att utöva påtryckningar senare. En listning som dyker upp efter ett tillkännagivande om inneslutning tyder på att antingen omfattningen var större än vad som först förstods, eller att angriparna hävdar mer än vad företaget har bekräftat. Hur som helst bör läsare behandla tidiga frikännande uttalanden som preliminära och leta efter uppföljande avslöjanden.

Goda tecken i alla incidenthanteringar inkluderar tydlig underrättelse till drabbade parter, specifik information om vilka kategorier av data som var inblandade, och uppdateringar när ny information framkommer.

Vad detta innebär för dig

Om du är kund hos Andersen Group, vänta inte på visshet innan du skyddar dig själv. Anta att information du delade med företaget kan vara i fara, och agera därefter. Om du inte har fått ett meddelande garanterar det inte att dina data var orörda, eftersom företaget har sagt att endast ett begränsat antal kunder underrättades.

Om du använder någon leverantör som förekommer på en utpressningsportal gäller samma logik. Den praktiska risken handlar mindre om själva läckan och mer om vad som följer: övertygande nätfiskemeddelanden som refererar till intrånget, din revisor eller dina skattedeklarationer.

Vad kunder bör göra om deras leverantör är listad

  • Återställ inloggningsuppgifter. Byt lösenord för alla portaler eller konton kopplade till företaget, och överallt där du återanvänt dem. Använd ett unikt lösenord för varje tjänst och aktivera multifaktorautentisering.
  • Förvänta dig nätfiske med intrångstema. Meddelanden som påstår sig komma från företaget, en tillsynsmyndighet eller en kredittjänst kan anlända. Klicka inte på länkar eller öppna bilagor; kontakta företaget med kontaktuppgifter du redan har.
  • Verifiera förfrågningar oberoende. Var försiktig med alla samtal eller e-postmeddelanden som ber dig bekräfta identitetsuppgifter, ändra betalningsinstruktioner eller dela dokument. Social engineering fungerar på kunder likväl som på anställda.
  • Kontrollera tjänster för intrångsaviseringar. Sök efter dina e-postadresser i ansedda verktyg för intrångsövervakning för att se om dina data har dykt upp.
  • Övervaka finansiella konton och skattekonton. Håll koll på bank- och kreditaktivitet, och överväg en kreditfrysning om dina finansiella identifierare kan ha exponerats.
  • Ställ direkta frågor till företaget. Begär skriftlig bekräftelse på huruvida dina data var inblandade och vad företaget gör åt det.

Viktiga slutsatser

Fallet med Andersen Group-dataintrånget och utpressningen visar att en incident kan se avslutad ut på papper medan angriparna fortfarande driver påtryckningskampanjen. Behandla tidiga inneslutningsuttalanden med måttlig skepsis, säkra dina konton nu och var uppmärksam på uppföljande nätfiske. Att vidta dessa åtgärder kostar lite, och de skyddar dig oavsett hur detaljerna i denna incident till slut utvecklas.