Коли великий логістичний оператор зазнає кібератаки, перше питання зазвичай стосується ланцюгів постачання. Нещодавній коментар запитував, чи наразила кібератака на DP World торгівлю Австралії на ризик, і відповідь була: ймовірно, ні, цього разу. Цей заголовок заспокоює з економічного погляду. Однак він залишає відкритим друге питання, яке має значення для звичайних людей: що відбувається з даними, коли зловмисники проникають у велику організацію? Цей посібник використовує інцидент із DP World як приклад, щоб пояснити подвійне вимагання програм-вимагачів простими словами.
Що сталося під час атаки на DP World
У вихідному коментарі інцидент із DP World подано як частину ширшого зростання програм-вимагачів. У ньому вказано на атаки, пов'язані з плідними кіберзлочинними угрупованнями, зокрема REvil і, останнім часом, LockBit. Його центральне питання стосується національної торговельної експозиції, а висновок полягає в тому, що ризик для торгівлі Австралії цього разу був імовірно обмеженим.
Доступний нам уривок не містить технічних деталей вторгнення, тому ми не будемо будувати здогадів про те, як зловмисники проникли, що вони взяли чи хто за це відповідальний. Однак коментар дає чіткий опис того, як зазвичай працює цей тип атаки. Саме цей опис є корисною частиною для читачів.
Подвійне вимагання програм-вимагачів пояснено
Традиційні програми-вимагачі були простими: злочинці шифрують файли організації й вимагають оплату за їх розблокування. Якщо жертва мала хороші резервні копії, вона часто могла відновити системи й відмовитися платити.
Як описує це коментар, сучасна атака зазвичай відбувається у два етапи:
- Дані викрадаються. Зловмисники копіюють дані із систем організації.
- Дані стають недоступними. Потім оригінальні файли зазвичай шифруються, щоб співробітники та клієнти не могли ними користуватися.
Потім організація отримує вимогу викупу, щоб «розблокувати» дані, часто з оплатою в криптовалюті.
Подвійне вимагання — це тенденція, яка змінила розрахунок. Оскільки дані було скопійовано до того, як їх заблокували, зловмисники мають друге джерело важелів впливу. Навіть якщо жертва відновить усе з резервних копій, злочинці все одно можуть погрожувати опублікувати або продати викрадене. Плата за розшифрування й плата за мовчання стають двома окремими тисками на одну й ту саму жертву.
Ось чому питання про торгівлю DP World і питання про особисту безпеку є різними. Організація може продовжувати працювати, а економіка може не зважати на збій, тоді як викрадені дані все ще перебувають у руках злочинців.
Для контексту про людей, які стоять за цими операціями, наш звіт про те, як швейцарський суд засудив українського розробника до 13 років за Nefilim, показує, що розробники програм-вимагачів зрештою можуть зіткнутися з реальними наслідками, хоча справа сягає атаки 2020 року — нагадування про те, наскільки повільно рухається правосуддя порівняно з тим, як швидко поширюється шкода.
Що викрадені дані означають для окремих людей
Більшість людей ніколи не стануть прямою мішенню угруповання програм-вимагачів. Але великі організації зберігають дані про клієнтів, співробітників і партнерів, і саме вони опиняються на столі під час атаки з подвійним вимаганням.
Ризик для вас рідко буває негайним. Він зазвичай накопичується з часом:
- Витік записів використовується повторно. Щойно особисті дані починають циркулювати на злочинних форумах, їх можна поєднати з іншими витоками, щоб скласти повніший профіль про вас.
- Фішинг стає переконливішим. Повідомлення, у якому використано ваше справжнє ім'я, роботодавця або дані облікового запису, набагато важче розпізнати як фальшиве.
- Документи, що посвідчують особу, особливо чутливі. На відміну від пароля, ви не можете просто змінити відскановане посвідчення водія. Заявлений перелік 153 мільйонів сканів посвідчень, пов'язаних з IDScan.net, є хорошим прикладом того, як витік особистих записів може створювати тривалий ризик, навіть коли сама заява ще оцінюється.
Атаки також можуть мати наслідки поза межами даних. Коли уряд навмисно вимкнув десятки систем після інциденту, як описано в нашій статті про Молдову, яка відключила 82 публічні послуги, це показало, як збій і розкриття даних можуть відбуватися разом.
Практичні кроки для зменшення вашої експозиції
Ви не можете завадити компанії, з якою маєте справу, зазнати злому. Ви можете обмежити, якої шкоди завдасть вам витік.
- Використовуйте унікальний пароль для кожного облікового запису. Менеджер паролів робить це реальним. Якщо один сервіс зазнає витоку, інші залишаться в безпеці.
- Увімкніть багатофакторну автентифікацію, особливо для електронної пошти, банківських послуг і будь-якого облікового запису, пов'язаного з вашою особою.
- Ставтеся до неочікуваних повідомлень із підозрою. Якщо електронний лист або текстове повідомлення згадує нещодавній витік, самостійно зайдіть на офіційний сайт організації, а не натискайте посилання.
- Діліться менше. Надавайте організаціям лише ті дані, які їм справді потрібні, і видаляйте старі облікові записи, якими більше не користуєтеся.
- Стежте за своїми рахунками. Регулярно перевіряйте виписки за банківськими рахунками та картками й розгляньте можливість заморожування кредитної історії або оповіщень, якщо ваша країна це пропонує.
- Ніколи не припускайте, що повідомлення про витік є нешкідливим. Якщо вам повідомили, що ваші дані були задіяні, змініть відповідні паролі й будьте пильними щодо цільових шахрайств протягом наступних місяців.
Що це означає для вас
Головне питання про DP World полягало в тому, чи була торгівля під загрозою, і відповідь, згідно з коментарем, — імовірно, не цього разу. Для окремих людей довготриваліший урок стосується даних. За подвійного вимагання відновлення систем не скасовує крадіжку. Ваша інформація може залишатися в обігу ще довго після того, як організація відновилася, а новинний цикл рушив далі.
Це не причина для паніки. Це причина припускати, що якась частина ваших даних зрештою десь опиниться у відкритому доступі, і налаштувати свої облікові записи так, щоб ця експозиція була витривалою.
Ключові висновки
Коли подвійне вимагання програм-вимагачів пояснено, схема стає зрозумілою: спершу викрасти, потім зашифрувати, а далі тиснути на жертву двічі. Зміцнюйте свої звички зараз, а не після того, як надійде повідомлення про витік. Перегляньте свої паролі, увімкніть багатофакторну автентифікацію й будьте обережні з повідомленнями, які, здається, знають про вас занадто багато. Щоб детальніше подивитися, як викрадені записи залишаються в обігу, прочитайте наше висвітлення заяви IDScan.net, а для контексту про суб'єктів, які стоять за програмами-вимагачами, дивіться наш звіт про вирок у справі Nefilim.
