Play Ransomware-gruppen tar på sig nytt offer

Play-ransomwaregruppen har lagt till Kreysler & Associates på sin lista över påstådda offer, enligt rapporter från hotunderrättelseföretaget DeXpose. Som är typiskt för gruppens tillvägagångssätt säger angriparna att de har exfiltrerat data från företagets system och hotar att publicera den om inte förhandlingar inleds. Inget lösensummabelopp, tidsfrist eller specifika datakategorier har bekräftats offentligt i detta skede, men blotta listningen på en ransomwaregrupps läckagesajt är ofta det första synliga tecknet på att en organisation utsatts för ett allvarligt nätverksintrång.

Händelsen följer ett mönster som blivit obehagligt välbekant under de senaste åren. Ransomwaregrupper hoppar allt oftare över det bullriga och lättupptäckbara krypteringssteget och kopierar istället i tysthet känsliga filer innan något offentligt hot framförs. Den förskjutningen, som kallas dubbel utpressning, ger angriparna maktmedel även om offret har starka säkerhetskopior och kan återställa system utan att betala. Skadan handlar inte längre om låsta filer, utan om vad som händer med datan när den väl lämnat företagets kontroll.

Vilka ligger bakom Play ransomware-gruppen

Play har byggt upp ett rykte som en av de mer produktiva utpressningsoperationerna för närvarande, och har kopplats till hundratals attacker mot organisationer i flera branscher och länder. Gruppens tillvägagångssätt innebär vanligtvis att först skaffa initial åtkomst till ett målnätverk, röra sig i sidled för att identifiera värdefulla datamängder, exfiltrera filer och sedan antingen kryptera systemen, hota med publicering eller båda delarna. Offren hänvisas oftast till en förhandlingsportal, där hotet om en offentlig datadump fungerar som press för att betala snabbt och tyst.

Det här är inte första gången Play har riktat in sig på ett företag på ett sätt som sätter känsliga person- eller verksamhetsdata på spel. Ett liknande fall som rörde Play-ransomwares attack mot Ampex Data Systems visade hur gruppens taktiker kan exponera mycket känsliga register, inklusive personnummer och kontouppgifter, när förhandlingar bryter samman eller ignoreras. Fallet Kreysler & Associates följer samma spelbok: påstå offret offentligt, utöva tidspress och använda hotet om exponering som det främsta förhandlingskortet.

Varför detta är viktigt för integritet, inte bara it-säkerhet

Det är lätt att avfärda sådana ransomware-incidenter som enbart ett it- eller affärskontinuitetsproblem för det drabbade företaget. Men integritetskonsekvenserna sträcker sig ofta långt utanför organisationens egna väggar. Om Kreysler & Associates hanterade data som tillhör anställda, kunder, entreprenörer eller affärspartners kan sådan information ha fångats upp vid exfiltreringen och potentiellt hamna online om förhandlingarna misslyckas.

Detta är ett återkommande tema i de senaste avslöjandena om ransomware. I ett uppmärksammat fall ska Weil Gotshal ha betalat mellan 18 och 20 miljoner dollar till en cyberutpressargrupp efter att konfidentiella klientdokument stulits, vilket illustrerar hur kostsamma och känsliga stulna företagsdata kan bli. Andra attacker, som den mot Soja de Portugal som läckte 491 GB data, visar hur omfattande dessa datadumpar kan bli när en grupp väl sätter sitt hot i verket. Och intrång som drabbar flera institutioner samtidigt, som när en och samma ransomware-grupp låg bakom intrången hos ANC, SAA och Pick n Pay, visar hur en enda framgångsrik intrångsteknik kan få ringar på vattnet i en hel sektor.

Oavsett om Kreysler & Associates så småningom bekräftar omfattningen av denna incident är mönstret tydligt: ransomwaregrupper satsar på att hotet om offentlig exponering ska göra mer skada än enbart kryptering någonsin gjorde.

Vad detta innebär för dig

Om du är kund, anställd eller affärspartner till Kreysler & Associates behöver du inte drabbas av panik, men det är värt att vara uppmärksam. Håll utkik efter officiell kommunikation från företaget om denna incident och var försiktig med oönskade e-postmeddelanden eller samtal som påstår sig komma från företaget eller en närstående tjänst under de kommande veckorna, eftersom dataläckor ofta följs av nätfiskeförsök där stulna uppgifter används för att verka legitima.

I ett vidare perspektiv är detta fall en påminnelse om att ransomware-attacker sällan stannar inom en enda organisations interna system. Alla vars personuppgifter eller finansiella information passerar genom ett företag – vare sig som anställd, kund eller leverantör – har ett intresse av hur seriöst det företaget tar datasäkerhet.

Praktiska råd

Om du tror att dina uppgifter kan ha passerat system som tillhör Kreysler & Associates eller en liknande organisation, överväg att vidta följande åtgärder: övervaka dina finansiella konton och kreditupplysningar regelbundet efter ovanlig aktivitet, aktivera multifaktorautentisering överallt där det erbjuds och behandla oväntade e-postmeddelanden eller meddelanden som hänvisar till kontoproblem med skepsis tills de verifierats via officiella kanaler. Företag å sin sida bör behandla incidenter som detta som en uppmaning att se över sin egen exponering mot dubbelutpressning, säkerställa att säkerhetskopior testas och är isolerade från primära nätverk samt bekräfta att incidenthanteringsplaner täcker dataexfiltrering, inte bara systemavbrott. I takt med att Play-ransomware och liknande grupper fortsätter att angripa organisationer i olika sektorer är proaktiv förberedelse det mest tillförlitliga försvaret mot att bli nästa namn på en läckagesajt.