En briefing från S-RM om vad de kallar "Luna Moth-filerna" riktar uppmärksamhet mot hur en grupp för datautpressning riktar in sig på advokatsektorn. Läckan från utpressningsgruppen Luna Moth ger en sällsynt inblick i verksamheten hos en grupp som inte förlitar sig på klassisk ransomware. För advokatbyråer, och för de klienter som anförtror dem känsligt material, är lärdomarna praktiska och värda att förstå.

Det här inlägget håller sig till vad briefingens sammanfattning och offentlig rapportering fastställer. Gruppen spåras även under namnen Silent Ransom Group, UNC3753 och Storm-0252, och säkerhetsforskare beskriver den som ekonomiskt motiverad.

Vad Luna Moth-filerna avslöjar

S-RM:s briefing beskriver läckan som avslöjande av insikter i verksamheten hos en sofistikerad cyberutpressningsgrupp som riktar in sig på advokatsektorn. Det centrala budskapet handlar om metod. Luna Moth hoppar över krypteringssteget som de flesta förknippar med ransomware. Den stjäl data och pressar sedan offret att betala för att förhindra publicering.

Den distinktionen spelar roll. Utan krypterade system finns det kanske ingen uppenbar driftstörning och ingen lösensummesedel på en skärm. En byrå kan se ut att fungera medan dess dokument redan är borta. Säkerhetskopior, det vanliga svaret på ransomware, gör ingenting för att stoppa stulna filer från att läckas.

Gruppens hot är inte tomma. Rapportering om Luna Moth läcker data från Jones Day och Mayer Brown visar att två av världens största advokatbyråer bekräftade att känsliga filer stulits och, i åtminstone ett fall, publicerats online efter att utpressningskrav inte betalats.

Hur callback-phishing och falska support-samtal fungerar

Gruppens användning av callback-phishing är det som gör den särpräglad. Istället för att skicka en länk eller bilaga som ett e-postfilter kan fånga upp, skickar angriparen ett meddelande som bara innehåller ett telefonnummer. Meddelandet kan antyda en prenumerationsavgift eller ett kontoproblem. Målet uppmanas att ringa.

När offret ringer upp når de någon som utger sig för att vara IT-support. Den personen guidar dem genom steg som ger angriparen fjärråtkomst, ofta under förevändning att åtgärda ett problem eller avbryta en avgift. Eftersom offret själv initierade samtalet känns interaktionen legitim, och den vanliga misstänksamheten försvinner.

Offentlig rapportering om en FBI-varning beskriver imitation av IT-support via telefon, e-post och personligen, som används för att stjäla data och utpressa offer, särskilt amerikanska advokatbyråer. En säkerhetsforskningsnotis beskriver också vishing och fysisk intrusion hos advokatbyråer. Med andra ord är social manipulation inte begränsad till en enda kanal.

Väl inne är målet tyst datastöld. Detta mönster ekar av andra fall där angripare använder legitima verktyg och molntjänster för att flytta ut data. Vår bevakning av hur Vice Society missbrukade OneDrive för datastöld visar hur vanlig affärsprogramvara kan bli exfiltreringsvägen, vilket gör aktiviteten svårare att upptäcka.

Varför advokatbyråer och deras klienter är exponerade

Advokatbyråer innehar material som är värdefullt just för att det är konfidentiellt: avtal, processtrategi, fusionplaner, personliga ekonomiska uppgifter och privilegierade kommunikationer. För en utpressningsgrupp skapar det hävstång. Även om en byrå kunde återuppbygga sina system på en dag kan den inte enkelt ogöra exponeringen av en klients privata angelägenheter.

Pressen faller på mer än byrån. Klienter kan finna sin information i en läcka de aldrig hade någon kontroll över. Personal är också exponerad, eftersom deras personuppgifter finns i HR-register och interna kataloger. Och eftersom ingångspunkten ofta är en enda anställd som tar ett telefonsamtal, kan även byråer med starka tekniska försvar fångas av ett övertygande manus.

Det finns också ett förtroendeproblem. Klienter väljer byråer delvis på grund av deras diskretion. En offentlig läcka skadar den relationen oavsett hur byrån svarar tekniskt.

Vad du ska göra om din advokatbyrå eller leverantör drabbas av intrång

Om du är klient får du vanligtvis reda på ett intrång i andra hand. Några steg kan begränsa skadan:

  • Fråga vad som togs. Begär en tydlig redogörelse för vilka av dina dokument och personuppgifter som var inblandade, och när byrån först fick kännedom.
  • Behandla uppföljande kontakt med misstänksamhet. Utpressningsgrupper och opportunister kan kontakta drabbade direkt. Verifiera alla meddelanden via ett nummer eller en adress du redan litar på, inte en som anges i meddelandet.
  • Byt autentiseringsuppgifter och övervaka konton. Om lösenord, kontonummer eller identitetshandlingar delades med byrån, rotera lösenord och övervaka finansiella konton.
  • Hantera inte krav på egen hand. Rapportera alla utpressningsförsök och överväg att prata med dina egna rådgivare.

Om du arbetar på en byrå eller hos en leverantör är prioriteringarna annorlunda. Utbilda personal att behandla oväntade telefonnummer i e-post med försiktighet, och att verifiera alla "IT-support"-uppringare via en intern kanal innan åtkomst beviljas. Gör det normalt att lägga på och ringa tillbaka med ett känt nummer. Begränsa vem som kan installera fjärråtkomstprogramvara, och se till att personalen vet hur man rapporterar ett misstänkt samtal utan rädsla för skuld.

Om en incident redan pågår, anger vår guide för ransomware- och utpressningsrespons vad man ska göra först, och stegen gäller lika väl för datastöldsutpressning där inget krypterades.

Vad detta innebär för dig

Läckan från utpressningsgruppen Luna Moth är en påminnelse om att ett intrång inte behöver krypterade filer för att vara allvarligt. Om du delar känslig information med en advokatbyrå, revisor eller annan rådgivare, förlitar du dig på att deras personal står emot ett övertygande telefonsamtal. Du kan inte kontrollera det, men du kan fråga hur de utbildar sig för det, begränsa vad du lämnar över och agera snabbt om de berättar att något har gått fel.

Slutsatser

  • Datastöldsutpressning fungerar utan kryptering, så säkerhetskopior ensamma är inte ett försvar.
  • Callback-phishing gör offret till den som ringer, vilket minskar misstänksamheten.
  • Verifiera alla IT-supportförfrågningar via en kanal du redan vet är äkta.
  • Om en leverantör som innehar dina data drabbas av intrång, fråga vad som togs, rotera autentiseringsuppgifter och var vaksam mot oombedd kontakt.

För verklig påverkan, läs vår bevakning av Luna Moth och läckorna från Jones Day och Mayer Brown, och håll guiden för ransomware- och utpressningsrespons till hands för konkreta första steg efter ett intrång eller utpressningsförsök.