En banks vadslagning på kriminell hederlighet

När det gäller ransomware är en av de märkligaste delarna av hela den kriminella affärsmodellen löftet som följer efter betalning: betala pengarna, så raderar vi din stulna data. River Financial Corporation, moderbolag till Alabama-baserade River Bank & Trust, verkar ha tagit det löftet för vad det är. I en Form 8-K-inlämning till Securities and Exchange Commission uppgav banken att den ”vidtog åtgärder för att försöka undertrycka den berörda datan, inklusive att inhämta försäkringar” från angriparna, i praktiken en skriftlig försäkran om att den stulna informationen skulle förstöras. Noterbart är att inlämningen inte uttryckligen bekräftar om River Bank faktiskt betalade en lösensumma, trots att sådana ”försäkringar” från ransomware-operatörer vanligtvis bara erhålls efter att pengar bytt ägare.

Detta offentliggörande kommer vid en oläglig tidpunkt för den som är benägen att lita på ett löfte om radering av data från ransomware. Brottsbekämpningens nedtagning av ransomware-operationen LockBit avslöjade att offerdata fanns kvar i gruppens infrastruktur även i fall där offer redan hade betalat utpressningskravet. Med andra ord, den kryssruta märkt ”data raderad” som så många företag förlitar sig på för att avsluta incidenten och lugna tillsynsmyndigheter, kunder och sina egna styrelser var, åtminstone i vissa dokumenterade fall, helt enkelt falsk.

Varför ett löfte om radering av ransomware-data sällan håller

Hela konceptet med att betala en ransomware-liga för att radera data vilar på en uppenbar motsägelse: du ber en kriminell organisation, en som bröt sig in i ditt nätverk och stal känsliga register från början, att frivilligt ge upp sitt övertag. Det finns ingen påföljdsmekanism, ingen spårbarhetskedja och ingen rättslig prövning om gruppen behåller en kopia, säljer den på en dark web-marknadsplats eller använder den för en andra utpressningsomgång senare. Säkerhetsforskare har länge varnat för att ”bevis-på-radering”-videor, skärmdumpar eller skriftliga uttalanden från ransomware-grupper till sin natur är overifierbara. Nedtagningen av LockBit satte bara hårda bevis bakom vad många i säkerhetsgemenskapen redan hade antagit.

För en finansiell institution spelar detta en enorm roll. Banker innehar några av de mest känsliga personuppgifter som existerar, inklusive personnummer, kontouppgifter och transaktionshistorik. När sådan data exfiltreras under ett intrång ger en brottslings löfte att radera den inget faktiskt skydd för de kunder vars information exponerades. Det ger i bästa fall ett samtalsämne för en regulatorisk inlämning.

Hur intrånget gick till

River Banks incident inträffade inte i ett vakuum. Enligt tidigare hotunderrättelserapportering var intrånget kopplat till att en obehörig aktör fick åtkomst via en sårbarhet i ett föråldrat VPN-protokoll, en detalj som utforskats i vår tidigare rapportering om ransomware-incidenten hos River Bank & Trust. Föråldrad infrastruktur för fjärråtkomst är fortfarande en av de vanligaste ingångspunkterna för ransomware-ligor, just för att den ofta sitter i nätverkets utkant, är lätt att skanna efter och ofta förbises i patchhanteringscykler. När angripare väl är inne rör de sig typiskt i sidled, lokaliserar värdefulla datalager och exfiltrerar information innan de någonsin utlöser en ransomware-payload, vilket innebär att stölden ofta sker långt innan någon märker att något är fel.

Vad detta innebär för dig

Om du är kund hos River Bank & Trust, eller kund hos någon institution som har rapporterat en ransomware-incident, är den praktiska verkligheten denna: varje löfte från angriparna att radera din data bör inte behandlas som en säkerhetsgaranti. När information väl har lämnat ett företags nätverk i en ransomware-attack bör den betraktas som permanent komprometterad, oavsett vilka försäkringar som senare erhålls. Det innebär att övervaka dina konton och kreditupplysningar för ovanlig aktivitet, vara uppmärksam på nätfiskeförsök som refererar till verkliga kontouppgifter (en vanlig uppföljningstaktik när stulen bankdata cirkulerar bland kriminella grupper) och överväga en kreditspärr om personnummer eller kontonummer ingick i den exponerade datamängden.

För företag och finansiella institutioner som följer denna utveckling är lärdomen bredare. Att förlita sig på ett ransomware-dataraderingslöfte som en del av en incidenthanteringsstrategi, för att inte tala om som något värt att redovisa för tillsynsmyndigheter som en mildrande åtgärd, sänder fel signal om hur seriöst en organisation behandlar dataskydd. Verifierade säkerhetskopior, nätverkssegmentering och snabb patchning av infrastruktur för fjärråtkomst som VPN-gateways gör långt mycket mer för att skydda kunddata än någon försäkran utpressad från ett kriminellt företag någonsin skulle kunna göra.

Att ta med sig

  • Behandla varje ransomware-grupps löfte att radera stulen data som overifierbart och icke-verkställbart, inte som ett verkligt skydd.
  • Om du är bankkund hos en institution som har rapporterat ett intrång, övervaka kontoutdrag och kreditupplysningar noggrant och överväg en kreditspärr.
  • Var extra försiktig med nätfiskemeddelanden som refererar till korrekta konto- eller personuppgifter under veckorna och månaderna efter en rapporterad incident.
  • Organisationer bör prioritera att patchning av kända VPN- och fjärråtkomstsårbarheter, eftersom föråldrade protokoll fortfarande är en ledande ingångspunkt för ransomware-ligor.

I takt med att ransomware-utredningar fortsätter att blottlägga klyftan mellan vad kriminella grupper lovar och vad de faktiskt gör, bör både konsumenter och företag planera som om stulen data aldrig riktigt försvinner, oavsett vilken försäkran en ransomware-grupp tillhandahåller skriftligt.