Ett dubbelt slag mot Hongkongs finansiella sektor

Två cybersäkerhetshändelser kolliderade i Hongkong inom loppet av ungefär 24 timmar: en ransomware-grupp som kallar sig Orova påstod sig ha gjort intrång hos fem Hongkong-företag, varav minst en reglerad kapitalförvaltare, och Securities and Futures Commission (SFC) meddelade sitt första tillsynsingripande kopplat till en ransomware-attack någonsin. Rapporter visar att SFC tillrättavisade och bötfällde ett licensierat företag med 2,1 miljoner HK-dollar för cybersäkerhetsbrister kopplade till en ransomware-attack – en påföljd som tillsynsmyndigheten framställde som en signal om att den högsta ledningen, inte bara it-avdelningen, bär ansvaret för cyberresiliens.

Tidpunkten var inte så mycket en slump som en samverkan. Ransomware-grupper riktar sig i allt högre grad mot finansiella tjänsteföretag eftersom de innehar precis den typ av känsliga kunddata som gör utpressning effektiv, och tillsynsmyndigheter som SFC har i flera månader signalerat att de avser att hålla licensierade företag ansvariga när dessa försvar sviktar.

Hur dubbel utpressning förändrade ransomware-manualen

Traditionell ransomware var på sätt och vis ett enklare problem. Angripare krypterade offrets filer och krävde betalning för dekrypteringsnyckeln. Organisationer med tillförlitliga, offline-baserade säkerhetskopior kunde ofta återställa sina system utan att betala en enda krona, vilket effektivt neutraliserade angriparens påtryckningsmedel.

Dubbel utpressning – en taktik som introducerades av ransomware-gruppen Maze i slutet av 2019 – täppte till det kryphålet. I stället för att bara kryptera filer stjäl angriparna först en kopia av offrets känsliga data. Även om organisationen kan återställa från säkerhetskopior och vägrar betala för dekryptering, håller angriparna fortfarande ett andra kort: de hotar att publicera den stulna informationen på en läckportal på dark web om inte en lösen betalas. Detta förändrar kalkylen helt. Säkerhetskopior skyddar mot verksamhetsavbrott, men de gör ingenting för att stoppa ett dataläckage. Det är precis den press som Orova tycks utöva mot de fem rapporterade offren i Hongkong.

Det här mönstret är inte unikt för Hongkong eller för Orova. Finansiellt reglerade verksamheter överallt innehar kundjournaler, transaktionshistorik och identitetshandlingar som är värdefulla både för kriminella och, när de exponeras, djupt skadliga för de individer vars data hamnar på en läcksajt. Det är samma underliggande risk som uppstod när en brittisk statlig investeringsmyndighet exponerade känsliga data tillhörande 51 höga statstjänstemän under ungefär 40 timmar: när data väl är ute spelar tidpunkt och inneslutning en enorm roll, men själva exponeringen kan inte göras ogjord.

Varför SFC:s böter har betydelse bortom Hongkong

Det som gör den här stunden anmärkningsvärd är inte bara att ytterligare en ransomware-grupp krävde offer. Det är att en finansiell tillsynsmyndighet gick från vägledning till sanktion. SFC:s böter, enligt uppgift dess första som är direkt kopplade till en ransomware-incident, sänder ett budskap som har byggts upp inom den globala finansiella regleringen: cybersäkerhetsmisslyckanden behandlas inte längre enbart som tekniska incidenter. De är regelefterlevnadsbrister med verkliga ekonomiska och ryktesmässiga konsekvenser för företaget och, i allt högre grad, för de chefer som skriver under riskhanteringen.

Ransomware-grupper behöver inte hitta en ny zero-day för att ta sig in. Många intrång börjar med betydligt mer alldagliga brister: opatchad programvara, svaga åtkomstkontroller eller medarbetare som går på nätfiske. Det är en del av förklaringen till varför opatchade sårbarheter förblir en så ihållande ingångspunkt; till och med högprofilerade buggar som den som beskrivs i nylig rapportering om en opatchad Windows zero-day illustrerar hur angripare kan utnyttja luckor som funnits långt innan en patch är tillgänglig. Reglerade företag förväntas nu behandla den typen av exponering som en styrningsfråga, inte bara ett ärende för it-avdelningen.

Vad detta innebär för dig

Om du är kund, anställd eller partner till ett finansiellt tjänsteföretag är incidenter som denna en påminnelse om att din datasäkerhet i hög grad beror på beslut fattade långt ovanför it-avdelningen. Styrelser och högsta ledningen är nu uttryckligen ansvariga för cyberresiliens i jurisdiktioner som Hongkong, vilket med tiden borde driva företag mot starkare grundskydd: bättre säkerhetskopieringsrutiner, snabbare patchning och mer rigorösa åtkomstkontroller.

För privatpersoner har de praktiska råden inte ändrats mycket, men de spelar större roll nu. Övervaka konton hos företag som rapporterar ett intrång, var skeptisk mot oväntad kommunikation som hänvisar till kontodetaljer och överväg kreditbevakning om ett företag bekräftar att dina data ingick i ett läckage. Dubbel utpressning innebär att även företag som återställer sina system snabbt fortfarande kan ha dina data i omlopp, så anta inte att en löst ransomware-incident betyder att din information är säker.

Viktiga slutsatser

Orova-intrången och SFC:s böter illustrerar tillsammans vart ansvarsutkrävandet för ransomware är på väg: tillsynsmyndigheter är inte längre nöjda med att företag enbart återhämtar sig efter en attack. De vill se bevis på att företag vidtog rimliga åtgärder för att förhindra en från första början. För läsaren är de praktiska stegen de samma oavsett jurisdiktion: fråga varje finansiell institution du anlitar om deras policy för incidentavisering, aktivera multifaktorautentisering där det erbjuds och behandla varje intrångsavisering som en signal att granska din egen kontoaktivitet i stället för att se den som en rutinformalitet.