DP World-cyberattack: Ransomware med dubbel utpressning förklarad

När en stor logistikoperatör drabbas av en cyberattack handlar den första frågan vanligtvis om leveranskedjor. En aktuell kommentar ställde frågan om cyberattacken mot DP World utsatte Australiens handel för risk, och svaret var: troligen inte, den här gången. Den rubriken är lugnande ur ekonomisk synvinkel. Den lämnar dock en andra fråga öppen, en som spelar roll för vanliga människor: vad händer med data när angripare tar sig in i en stor organisation? Den här guiden använder DP World-incidenten som en fallstudie för att förklara ransomware med dubbel utpressning i klarspråk.

Vad hände i DP World-attacken

Källkommentaren ramar in DP World-incidenten som en del av en bredare ökning av ransomware. Den pekar på attacker kopplade till produktiva cyberkriminella gäng, inklusive REvil och, mer nyligen, LockBit. Dess centrala fråga handlar om nationell handelsexponering, och slutsatsen är att risken för Australiens handel troligen var begränsad vid detta tillfälle.

Det utdrag som är tillgängligt för oss anger inte tekniska detaljer om intrånget, så vi kommer inte att spekulera om hur angriparna tog sig in, vad de tog eller vem som är ansvarig. Det kommentaren däremot ger är en tydlig beskrivning av hur den här typen av attack vanligtvis fungerar. Den beskrivningen är den användbara delen för läsarna.

Ransomware med dubbel utpressning förklarad

Traditionell ransomware var enkel: kriminella krypterar en organisations filer och kräver betalning för att låsa upp dem. Om offret hade bra säkerhetskopior kunde det ofta återställa systemen och vägra betala.

Som kommentaren beskriver det sker en modern attack vanligtvis i två steg:

1. Data extraheras. Angripare kopierar data ut ur organisationens system.
2. Data görs oåtkomlig. Originalfilerna krypteras sedan vanligtvis så att personal och kunder inte kan använda dem.

Organisationen får sedan ett lösenskrav för att "låsa upp" data, ofta betalbart i en kryptovaluta.

Dubbel utpressning är trenden som förändrade kalkylen. Eftersom data kopierades innan den låstes, har angriparna en andra källa till hävstång. Även om ett offer återställer allt från säkerhetskopior kan brottslingarna fortfarande hota med att publicera eller sälja det de tog. Att betala för dekryptering och att betala för tystnad blir två separata påtryckningar på samma offer.

Det är därför DP World-handelsfrågan och den personliga säkerhetsfrågan är olika. En organisation kan fortsätta verksamheten, och ekonomin kan skaka av sig störningen, medan den stulna datan fortfarande ligger i kriminellas händer.

För kontext om personerna bakom dessa operationer visar vår rapport om en schweizisk domstol som dömde en ukrainsk utvecklare till 13 års fängelse för Nefilim att ransomware-utvecklare så småningom kan möta verkliga konsekvenser, även om fallet går tillbaka till en attack 2020, en påminnelse om hur långsamt rättvisan rör sig jämfört med hur snabbt skadorna sprider sig.

Vad stulen data innebär för individer

De flesta kommer aldrig att vara direktmål för ett ransomware-gäng. Men stora organisationer har data om kunder, anställda och partner, och det är den som hamnar på bordet i en dubbel utpressningsattack.

Risken för dig är sällan omedelbar. Den tenderar att byggas upp över tid:

• Läckta register återanvänds. När personuppgifter cirkulerar på kriminella forum kan de kombineras med andra läckor för att bygga en fylligare profil av dig.
• Nätfiske blir mer övertygande. Ett meddelande som använder ditt riktiga namn, din arbetsgivare eller dina kontouppgifter är mycket svårare att upptäcka som falskt.
• Identitetshandlingar är särskilt känsliga. Till skillnad från ett lösenord kan du inte bara byta en scannad legitimation. En påstådd lista med 153 miljoner legitimationer kopplade till IDScan.net är ett bra exempel på hur läckta personuppgifter kan skapa bestående risk, även när det bakomliggande påståendet fortfarande utreds.

Attacker kan också ha effekter bortom data. När en regering medvetet stängde av dussintals system efter en incident, som täcks i vår artikel om Moldavien som tar 82 offentliga tjänster offline, visade det hur störningar och dataexponering kan inträffa samtidigt.

Praktiska steg för att minska din exponering

Du kan inte hindra ett företag du har att göra med från att bli hackat. Du kan begränsa hur mycket skada en läcka gör mot dig.

• Använd ett unikt lösenord för varje konto. En lösenordshanterare gör detta realistiskt. Om en tjänst läcker förblir de andra säkra.
• Aktivera flerfaktorsautentisering, särskilt för e-post, bank och alla konton kopplade till din identitet.
• Behandla oväntade meddelanden med misstänksamhet. Om ett e-postmeddelande eller sms nämner en nyligen inträffad läcka, gå till organisationens officiella webbplats själv istället för att klicka på en länk.
• Dela mindre. Ge organisationer bara de uppgifter de genuint behöver, och radera gamla konton du inte längre använder.
• Håll koll på dina konton. Granska bank- och kontoutdrag regelbundet, och överväg en kreditrapportspärr eller varning där ditt land erbjuder det.
• Anta aldrig att ett intrångsmeddelande är ofarligt. Om du får veta att dina uppgifter var inblandade, byt relevanta lösenord och var uppmärksam på riktade bedrägerier i månader efteråt.

Vad detta innebär för dig

Rubrikfrågan om DP World var huruvida handeln var i fara, och svaret, enligt kommentaren, var troligen inte den här gången. För individer är den mer bestående lärdomen om data. Under dubbel utpressning ångrar återställning av system inte en stöld. Din information kan förbli i omlopp långt efter att en organisation har återhämtat sig och nyhetscykeln har gått vidare.

Det är inte en anledning till alarm. Det är en anledning att anta att en del av dina uppgifter så småningom kommer att exponeras någonstans, och att ställa in dina konton så att exponeringen är överlevbar.

Slutsatser

Med ransomware med dubbel utpressning förklarad är mönstret tydligt: stjäl först, kryptera sedan, pressa sedan offret två gånger. Skärp dina vanor nu snarare än efter att ett intrångsmeddelande anländer. Granska dina lösenord, aktivera flerfaktorsautentisering och var försiktig med meddelanden som verkar veta för mycket om dig. För en närmare titt på hur läckta register dröjer sig kvar, läs vår bevakning av IDScan.net-påståendet, och för kontext om aktörerna bakom ransomware, se vår rapport om Nefilim-domen.