Федеральні слідчі, як повідомляється, ідентифікували керівників двох окремих фірм з переговорів щодо кіберінцидентів, які підтримували незвично тісні стосунки з вимагацьким угрупованням ShinyHunters. Згідно з репортажем KrebsOnSecurity, узагальненим Security Arsenal, один керівник зі США, як стверджується, пішов далі й допомагав керувати вебсайтом, який використовувався для тиску на жертв із метою змусити їх платити. Твердження про вимагацький сайт переговірника щодо викупу ShinyHunters поки що залишається саме твердженням, але воно порушує складне питання для кожного, чиї дані зберігаються в компанії, яку одного дня можуть зламати: хто насправді сидить по той бік столу?

Що слідчі стверджують про переговірників і ShinyHunters

У репортажі йдеться, що федеральні слідчі, працюючи з даними ФБР, ідентифікували керівників двох переговорних фірм, які мали тісний контакт із ShinyHunters. Один із них, керівник зі США, нібито допомагав керувати сайтом, який угруповання використовувало для тиску на жертв із метою змусити їх платити викуп.

Кілька моментів варто тримати на увазі. Наявне узагальнення не викладає обвинувачень, і твердження походять із репортажу про те, що підозрюють слідчі. Ні керівники, ні їхні фірми не названі в матеріалі, який ми розглянули, тому ми не будемо будувати здогадів щодо осіб. Ставтеся до цього як до історії, що розвивається, і очікуйте, що деталі змінюватимуться в міру підтвердження нової інформації.

Як працюють переговори щодо викупу та вимагацькі сайти

Коли компанія зазнає крадіжки даних або атаки програм-вимагачів, вона часто наймає зовнішню фірму для ведення комунікації з атакуючими. Ці переговірники зазвичай перевіряють, що було викрадено, намагаються зменшити вимогу та організовують оплату, якщо компанія вирішує платити. Оскільки вони спілкуються безпосередньо зі злочинцями, вони володіють чутливою інформацією: скільки жертва може собі дозволити, які дані були викрадені та наскільки нагальним є дедлайн компанії.

Вимагацькі сайти — це інструмент тиску з іншого боку. Такі угруповання, як ShinyHunters, використовують вебсайт, щоб називати жертв, погрожувати публікацією викрадених даних і штовхати компанії до угоди. Сайт є частиною торгової пропозиції: чим переконливішою та страшнішою є погроза, тим імовірніше, що жертва заплатить.

Ось чому це твердження має значення. Якщо переговірник також допомагав керувати сайтом тиску, та сама особа могла, теоретично, бути і довіреним радником жертви, і учасником погрози. Це класичний конфлікт інтересів, і жертва може про нього не знати.

Чому конфлікт інтересів у реагуванні на інциденти має значення

Реагування на інциденти залежить від довіри. Зламана компанія передає логи, деталі мережі та чутливу бізнес-інформацію людям, які допомагають їй відновитися. Якщо будь-хто з цих радників має зв'язки з атакуючими, кілька речей можуть піти не так:

  • Переговорний важіль може витекти. Знання бюджету чи дедлайну жертви допомагає вимагачу встановлювати ціну.
  • Поради можуть бути упередженими. Радник із конфліктом інтересів міг схиляти компанію до оплати замість відновлення іншим шляхом.
  • Обробка даних стає невизначеною. Оплата має нібито купувати видалення викрадених даних, але, як і в інших нещодавніх вимагацьких справах, немає способу бути впевненим, що дані справді зникли.

Для клієнтів, пацієнтів, студентів або працівників, чиї записи знаходяться всередині зламаної компанії, це поза їхнім контролем. Ви не обираєте переговірника і рідко дізнаєтеся, ким він був. У масштабі всієї галузі це причина вимагати чіткішої перевірки та розкриття конфліктів інтересів, а також щоб регулятори та страховики переглянули, як перевіряють ці фірми.

Що це означає для вас

Ви не можете провести аудит партнерів ваших постачальників із реагування на інциденти. Що ви можете зробити — це обмежити шкоду, якщо ваші дані опиняться не в тих руках, незалежно від того, хто вів переговори. Виходьте з того, що оплата не гарантує знищення вашої інформації і що викрадені деталі можуть бути повторно використані в подальших шахрайствах. Вимагацькі угруповання та наслідувачі також експлуатують новини про злами: наприклад, фальшивий лист сексуального вимагання від імені ShinyHunters, як повідомлялося, використовував реальні деталі зламу, щоб погрози виглядали правдоподібно.

Що робити, якщо компанію, якою ви користуєтеся, зламали

Коли надходить повідомлення про злам, дійте, а не чекайте, поки історія проясниться:

  1. Змініть повторно використовувані паролі. Почніть із зламаного сервісу, потім з будь-якого іншого облікового запису, що має той самий пароль. Використовуйте унікальний пароль для кожного облікового запису, ідеально — збережений у менеджері паролів.
  2. Увімкніть багатофакторну автентифікацію. За можливості надавайте перевагу застосунку-автентифікатору або апаратному ключу над SMS.
  3. Стежте за фішинговими та вимагацькими листами. Ставтеся скептично до повідомлень, які наводять реальні деталі про вас і вимагають грошей або термінових дій. Не відповідайте, не переходьте за посиланнями і не відкривайте вкладення. Натомість заходьте безпосередньо на офіційний сайт компанії.
  4. Перевірте саме повідомлення. Підтвердьте, що воно надійшло від компанії через канал, який ви можете перевірити, оскільки атакуючі імітують повідомлення про злам.
  5. Слідкуйте за своїми рахунками. Переглядайте банківські виписки та виписки за картками, і розгляньте кредитне заморожування, якщо в повідомленні сказано, що були exposed фінансові дані або дані про особу.

Головне

Нібито зв'язок між переговірником щодо викупу та вимагацьким сайтом ShinyHunters ще не є остаточно встановленою справою, але він показує, наскільки велика частина реагування на злам тримається на довірі, яку окремі люди не можуть побачити. Поки факти не будуть повністю встановлені, розумний підхід — захищати себе однаково щоразу: унікальні паролі, багатофакторна автентифікація та здорова підозра до будь-якого повідомлення, яке спирається на ваші злиті дані, щоб налякати вас. Робіть це після будь-якого повідомлення про злам, і ви зменшите цінність того, що б не тримали атакуючі або їхні посередники.