En misstänkt läcka av interna data som tillhör Silent Ransom Group (SRG), en cyberutpressningsoperation förknippad med attacker mot stora advokatbyråer, har avslöjat kryptovalutaadresser kopplade till miljontals dollar i lösensummor. Enligt blockchain-analysföretaget Chainalysis ger materialet utredare en sällsynt inblick i var offrens pengar hamnade. Läckan av Silent Ransom Groups kryptoplånböcker är en användbar fallstudie i hur lösenspår följs, och i vad vanliga människor kan göra för att minska sin egen exponering.
Vad SRG-läckan avslöjade om lösensummor
Huvudfyndet, enligt rapporteringen, är att den misstänkta läckan av SRG:s interna data innehöll kryptovalutaadresser kopplade till miljontals dollar i lösensummor. Chainalysis analyserade dessa adresser och kopplade dem till gruppens utpressningsverksamhet. SRG förknippas med attacker mot stora advokatbyråer, organisationer som innehar känsliga klientfiler och har starka skäl att undvika offentlig exponering.
Det är värt att vara försiktig med vad som är och inte är fastställt. Läckan beskrivs som misstänkt, så datans ursprung och fullständighet är inte helt bekräftade i den rapportering som finns tillgänglig för oss. Vad källan faktiskt säger är att Chainalysis kopplade de exponerade adresserna till lösensummor som uppgår till miljontals dollar. Vi har inga detaljer här om enskilda offer, specifika betalningsbelopp eller hur datan kom ut, och vi kommer inte att spekulera om dem.
Hur Chainalysis spårar kryptoplånböcker till utpressningsgrupper
Många antar att kryptovalutabetalningar är anonyma. I praktiken är de flesta stora blockkedjor offentliga liggare. Varje transaktion är synlig, och endast kopplingen mellan en adress och en verklig identitet är dold. Blockchain-analysföretag arbetar för att överbrygga den klyftan.
En läcka som denna hjälper på ett enkelt sätt. När en grupps egna interna data namnger plånboksadresser får analytiker en bekräftad utgångspunkt. Därifrån kan de följa medel framåt när de flyttas mellan plånböcker, och blicka bakåt för att se vilka inkommande betalningar som matchar kända offertransaktioner. En enda verifierad adress kan förankra en mycket större karta över aktivitet.
Detta är samma allmänna tillvägagångssätt som ligger bakom andra tillsynsåtgärder. Vi tog upp det i vår rapport om hur EU, USA och Storbritannien sanktionerade Trickbots "Stern" för över 300 miljoner dollar i lösensummor, där blockchain-analys från Chainalysis ingick i bilden. Spårning gör inte en attack ogjord, men den höjer kostnaden och risken för de kriminella som är beroende av att kunna lösa in pengarna.
Varför advokatbyråer och konsumentinriktade tjänster fortsätter att utsättas
Utpressningsgrupper tenderar att föredra offer vars data är värdefull och vars rykte är bräckligt. Advokatbyråer passar in i den profilen: de innehar konfidentiell klientinformation, och ett hot om att publicera den kan skapa påtryckningar som går utöver kostnaden för att återställa system. Det är logiken bakom datastöldsutpressning, där hotet är att läcka filer snarare än att bara låsa dem.
Samma logik gäller för alla verksamheter som lagrar personuppgifter om kunder, från vårdgivare till onlinetjänster. Om du är klient hos en byrå som drabbas av intrång kan din information vara en del av det som stjäls, även om du inte gjort något fel. Det är därför följdeffekterna av en incident som denna sträcker sig långt bortom den organisation som attackerades.
Vad detta betyder för dig
De flesta läsare kommer aldrig att vara ett direkt mål för lösensumma, men många påverkas indirekt när en organisation de litar på drabbas av intrång. Tre praktiska punkter följer av denna historia:
- Betalningar lämnar ett spår. Lösepengar är inte så ospårbara som de kriminella hoppas, och läckor inifrån dessa grupper kan göra spåret tydligare. Det är uppmuntrande, men det skyddar inte din data efter att den har stulits.
- Din exponering beror ofta på andra. En advokatbyrå, klinik eller tjänsteleverantör som innehar dina uppgifter kan drabbas av intrång oavsett dina egna vanor. Att veta vem som innehar dina känsliga uppgifter hjälper dig att agera snabbare.
- Förebyggande är fortfarande viktigast. Återhämtning efter utpressning är kostsam och osäker, så att minska sannolikheten för och effekten av en incident är den bättre investeringen.
Vad integritetsmedvetna användare kan göra efter ett dataintrång
Om du meddelas att en organisation som innehar dina uppgifter har drabbats av intrång, eller om du helt enkelt vill vara förberedd, är dessa steg förnuftiga:
- Byt lösenord och aktivera multifaktorautentisering (MFA). Prioritera e-post, bank och alla konton kopplade till den drabbade organisationen. Autentiseringsappar eller hårdvarunycklar är i allmänhet starkare än SMS-koder.
- Var uppmärksam på uppföljande nätfiske. Stulna kontaktuppgifter återanvänds ofta i övertygande bedrägerimeddelanden. Verifiera förfrågningar via en kanal du redan litar på innan du delar information eller betalar något.
- Granska dina säkerhetskopior. Behåll minst en offline- eller oföränderlig kopia av viktiga filer, och testa att du faktiskt kan återställa från den.
- Begränsa vad du delar. Ge professionella tjänster och onlinetjänster endast den information de verkligen behöver, och fråga hur länge de behåller den.
- Ha en beredskapsplan. Vet vem du skulle kontakta, till exempel din bank, den drabbade organisationen och relevanta myndigheter, om dina uppgifter dyker upp i en läcka.
Fortsätt följa hur spårning används mot lösensumma
Läckan av Silent Ransom Groups kryptoplånböcker visar hur ett enda operativt misstag inom en kriminell grupp kan ge utredare värdefulla ledtrådar. Det är också en påminnelse om att blockchain-spårning i allt högre grad är ett verktyg för brottsbekämpande myndigheter och sanktionsorgan. För att se hur det gestaltar sig i praktiken, läs vår rapportering om Trickbot-"Stern"-sanktionerna. Ta sedan tio minuter den här veckan för att kontrollera dina säkerhetskopior, bekräfta att MFA är aktiverat för dina viktiga konton och skriv ner vad du skulle göra om ett intrångsmeddelande landade i din inkorg.
