Polisen har slagit ner läcksajten som drivs av ransomwaregruppen KillSec och gripit tre personer, däribland en misstänkt tonårig operatör. Insatsen, kallad Operation KillSwitch, ledde även till att servrar beslagtogs. Enligt rapportering från The Register innehöll läcksajten minst 110 TB stulen data. Detta gripande av KillSec och beslaget av läcksajten är en anmärkningsvärd framgång för brottsbekämpningen, men det lämnar en praktisk fråga öppen för alla vars information kan ha funnits i den datamängden.
De detaljer som hittills finns tillgängliga är begränsade, så den här artikeln håller sig till det som har rapporterats och förklarar vad det kan innebära för personer som kan vara berörda.
Vad Operation KillSwitch slog ut
Operation KillSwitch riktade in sig på den infrastruktur som KillSec använde för att publicera stulna filer. Ransomwaregrupper driver vanligtvis läcksajter som en påtryckningstaktik: de stjäl data, hotar med att publicera den och lägger upp den om offret vägrar betala. Att ta kontroll över den sajten stör gruppens förmåga att utpressa offer och tar bort en central plats där datan var hostad.
Myndigheterna beslagtog servrar och grep tre personer. En av dem är en misstänkt tonåring som tros ha drivit gruppen. Utredningar som denna fortsätter ofta efter de initiala gripandena, eftersom beslagtagna servrar kan ge bevis om andra medlemmar, offer och hur verksamheten fungerade. Rapporteringen vi har bekräftar inte ytterligare åtal eller fler misstänkta, så det är för tidigt att säga hur långt fallet kommer att nå.
Vad 110 TB stulen data kan innehålla
Den rapporterade siffran är minst 110 TB. Det är en mycket stor mängd, och det är värt att vara tydlig med vad vi vet och inte vet. Källsammanfattningen anger datans storlek men, i det material som finns tillgängligt för oss, redogör den inte för vilka typer av filer den innehåller eller vilka organisationer och individer som är drabbade.
I allmänhet kan data som stjäls i ransomwareattacker innehålla:
- Anställdas och kunders uppgifter, såsom namn, adresser och kontaktuppgifter
- Interna affärsdokument, kontrakt och finansiella filer
- Inloggningsuppgifter eller annan kontoinformation som lagrats på komprometterade system
- Känsliga uppgifter, beroende på vilken typ av organisation som drabbades
Detta är allmänna exempel på vad ransomwareoffer ofta förlorar, inte bekräftat innehåll i just detta arkiv. Om du har koppling till en organisation som har utpekats som ett KillSec-offer, håll utkik efter officiella meddelanden som förklarar exakt vad som togs.
Varför ett beslag inte gör läckt data säker
Det är frestande att anta att när polisen väl kontrollerar läcksajten är den stulna datan innesluten. Det är inte garanterat. Data som har publicerats eller delats ens kortvarigt kan kopieras, och kopior kan överleva originalservern. Brottsbekämpande myndigheter kan ta bort en hostningsplats, men de kan inte alltid veta vem som laddade ner filer i förväg eller om andra kopior förvarades någon annanstans.
Det är också skillnad på att data är offline och att data är säker. Även om läcksajten förblir nere, stals informationen fortfarande från början. Den som kom åt den, eller som fortfarande har en kopia, skulle kunna missbruka den för bedrägeri, nätfiske eller identitetsstöld. Så gripandena minskar framtida skada men omintetgör inte den exponering som redan har skett.
Detta är en välbekant spänning inom nyheter om integritet och säkerhet: tillsynsmyndigheter och polis får fler verktyg att agera, vilket syns i debatter som Australiens eSafety-kommissionär som får nya befogenheter, men individer bär fortfarande en stor del av den praktiska bördan att skydda sin egen information när den väl har läckt.
Vad detta innebär för dig
De flesta kommer inte att veta direkt om deras data var en del av KillSec-arkivet. Det bästa tillvägagångssättet är att agera som om exponering är möjlig om du har fått en intrångsavisering eller om en organisation du har att göra med har attackerats, och att vidta lågtröskelåtgärder som hjälper oavsett.
Om du meddelas att du är berörd, ta aviseringen på allvar och följ instruktionerna i den. Om du inte har hört något finns det ingen anledning att få panik, men några vanor minskar din risk oavsett om just denna datamängd omfattar dig eller inte.
Hur du kontrollerar och begränsar din exponering
Börja med dessa praktiska steg:
- Kontrollera efter intrångsaviseringar. Titta i din e-post, inklusive skräppostmappar, och i din fysiska post efter meddelanden från företag, arbetsgivare, skolor eller vårdgivare om en datahändelse.
- Byt inloggningsuppgifter där det behövs. Om du fick veta att dina inloggningsuppgifter kan vara exponerade, byt lösenordet omedelbart. Byt det även överallt där du återanvände det, och använd ett unikt lösenord för varje konto.
- Aktivera multifaktorautentisering. MFA lägger till en andra barriär, så ett stulet lösenord ensamt blir mycket mindre användbart för en angripare.
- Se upp för nätfiske. Läckta kontaktuppgifter används ofta för att skapa övertygande e-postmeddelanden, sms och samtal. Var försiktig med oväntade meddelanden som skapar brådska, och gå direkt till ett företags officiella webbplats i stället för att klicka på länkar.
- Övervaka dina konton. Granska bank- och kontoutdrag efter ovanlig aktivitet, och överväg en kreditspärr eller bedrägerivarning om finansiella uppgifter eller identitetsuppgifter var inblandade.
Slutsatsen
Gripandet av KillSec och beslaget av läcksajten visar att brottsbekämpande myndigheter kan störa ransomwareverksamhet, även sådan som påstås drivas av mycket unga misstänkta. Det ogör inte stölden av minst 110 TB data. Kontrollera efter aviseringar, uppdatera och variera dina lösenord, aktivera MFA och var vaksam mot nätfiskeförsök. Dessa steg kostar lite och skyddar dig vad som än händer härnäst i utredningen.
