Det är sällsynt att utpressningsgäng ger sig på varandra, men det hände just. Enligt Dark Reading skändade utpressningsgruppen ShinyHunters den Dark Web-läcksida som tillhör Clop, en rivaliserande utpressningsoperation, och hävdar att de i samband med detta stal offerdata. Intrånget väcker en obehaglig fråga för organisationer som tidigare varit måltavlor för Clop, inklusive de som betalade en lösensumma för att hålla sin stulna data privat: kan den datan nu exponeras igen?

Clop har varit en av de mest produktiva utpressnings- och datautpressningsgrupperna under de senaste åren, med massiva utnyttjandekampanjer mot filöverföringsprogramvara och publicering av stulna filer på sin Dark Web-sida när offren vägrar betala. Shell bekräftade till exempel tidigare att man utredde ett Cl0p-påstående om ett dataintrång på 89 GB efter att gruppen listat energijätten på sin läckportal. Incidenter som denna visar hur långt Clops räckvidd har sträckt sig över branscher, från energi till tillverkning till professionella tjänster.

Vad ShinyHunters enligt uppgifter gjorde

Enligt Dark Readings rapport skändade ShinyHunters Clops Tor-baserade läcksida förra veckan och hävdade att de hade exfiltrerat intern data som tillhörde gruppen själv. Detta inkluderar enligt uppgifterna information kopplad till offer som Clop tidigare hade utpressat. Om detta stämmer innebär det att data som organisationer kan ha betalat för att hålla undangömd, eller som redan publicerats och möjligen tagits ner, kan dyka upp igen under en ny grupps kontroll.

Detta är inte bara en handling av digital klotter. Utpressningsläcksidor fungerar som påtryckningsmedel: hotet om publicering är ofta det som pressar offer att betala. När en andra grupp får tillgång till samma påtryckningsmedel kan offer som trodde att ett kapitel var avslutat hamna tillbaka på ruta ett, inför förnyade utpressningskrav eller obehörig publicering av känsliga filer.

Varför detta spelar roll bortom den kriminella under världen

Det är frestande att se detta som en historia om kriminella som attackerar kriminella, men de praktiska konsekvenserna drabbar verkliga organisationer och de människor vars data de håller. Företag som drabbades av Clop, oavsett om de betalade eller inte, kan nu behöva omvärdera sin exponering. Att betala en lösensumma var aldrig en garanti för permanent radering, och denna incident är en tydlig påminnelse om det faktumet. Stulen data försvinner inte bara för att en faktura har betalats.

För företag som misstänker att de kan ha varit bland Clops offer stärker denna utveckling argumenten för proaktiv övervakning snarare än att anta att en incident är löst när förhandlingarna avslutas. Säkerhetsteam bör bevaka förnyade utpressningsförsök, övervaka Dark Web-forum och läcksidor för återuppträdande datamängder, och granska om tidigare intrångsmeddelanden till myndigheter eller drabbade individer behöver uppdateras om ny exponering inträffar. I många jurisdiktioner kan ett nytt avslöjande av samma stulna data av en annan aktör utlösa separata anmälningsskyldigheter, eftersom det representerar en ny obehörig åtkomsthändelse.

Det finns också en teknisk lärdom gömd i denna historia. Många av Clops historiska intrång utnyttjade sårbarheter i filöverföringsverktyg och förlitade sig på svag nätverkssegmentering för att ta sig från ett initialt fotfäste till bredare systemåtkomst. Organisationer som begränsar lateral rörelse genom stark nätverkssegmentering, tvingar fram krypterade anslutningar för fjärr- och tredjepartsåtkomst, och begränsar hur brett känsliga filer delas internt minskar skadeomfånget när ett enskilt system komprometteras, oavsett vilken kriminell grupp som ligger bakom intrånget.

Vad detta innebär för dig

Om din organisation tidigare har mottagit ett meddelande om att den påverkats av ett Clop-intrång är det värt att stämma av med ditt säkerhets- eller juridikteam om huruvida denna nya incident förändrar er riskbild. Fråga om någon av er data var en del av det som ShinyHunters påstår sig ha kommit åt, och om övervakningstjänster som täcker Dark Web-omnämnanden av ert företagsnamn eller domäner redan är på plats.

För enskilda konsumenter är råden liknande dem vid alla andra intrångsscenarier: var uppmärksam på nätfiskeförsök som refererar till gamla incidenter, använd unika lösenord för konton kopplade till organisationer du haft affärer med, och överväg kreditövervakning om du tidigare meddelats att din personliga data exponerats. En andra våg av exponering från samma underliggande intrång kan innebära att din information cirkulerar i nya kriminella kretsar även om du redan vidtog försiktighetsåtgärder första gången.

Åtgärder att vidta

  • Granska eventuella tidigare intrångsmeddelanden du mottagit från leverantörer eller arbetsgivare som namngav Clop som angripare, och fråga om ShinyHunters-incidenten påverkar den datan.
  • Aktivera Dark Web-övervakning eller kreditövervakning om det inte redan är aktivt, särskilt om du tidigare meddelats om exponering.
  • Använd unika, starka lösenord och multifaktorautentisering på alla konton kopplade till organisationer som kan ha påverkats.
  • Säkerhetsteam bör granska nätverkssegmentering och krypterade åtkomstkontroller, eftersom begränsning av lateral rörelse fortfarande är ett av de mest effektiva försvaren mot utpressningstrojansk programvara oavsett vilken grupp som ligger bakom en attack.
  • Var uppmärksam på förnyade nätfiske- eller utpressningsförsök som refererar till gammal data, eftersom en andra grupp som får tillgång till stulna filer kan innebära en andra omgång kriminell aktivitet byggd på samma intrång.

Rivaliteten mellan ShinyHunters och Clop är en påminnelse om att utpressningstrojansekosystem är oförutsägbara, och att konsekvenserna av ett intrång kan dyka upp igen långt efter att ett offer tror att saken är avslutad. Att hålla sig informerad och proaktiv, snarare än att anta att en betald lösensumma eller en tyst nyhetscykel innebär att risken har passerat, är det bästa försvaret som finns tillgängligt just nu.