Що таке Lapsus$ і як він діє

Lapsus$ — це хакерське угруповання, яке здобуло репутацію завдяки методу, що відрізняється від атак із використанням програм-вимагачів, про які чула більшість людей. Замість того щоб блокувати доступ жертв до їхніх власних систем за допомогою шифрування та вимагати оплату за ключ дешифрування, Lapsus$ обрало більш прямий підхід: воно відкрито викрадало дані та погрожувало публічно їх оприлюднити, якщо його вимоги не буде виконано.

Ця відмінність важливіша, ніж може здатися на перший погляд. Традиційні оператори програм-вимагачів порушують діяльність бізнесу, роблячи файли та системи непридатними для використання. Lapsus$ натомість покладалося на вимагання та репутаційний тиск. Загроза звучала не як «заплатіть нам, або втратите доступ до своєї мережі», а як «заплатіть нам, або ми оприлюднимо ваші дані всьому світу». Для організацій, які зберігають конфіденційну інформацію клієнтів, записи про співробітників або власний вихідний код, самої лише цієї загрози може бути достатньо, щоб змусити до реагування, незалежно від того, чи буде зрештою сплачено викуп.

Чому вимагання даних — це ризик іншого характеру

Атаки з використанням програм-вимагачів зазвичай спричиняють негайні, видимі збої: системи виходять з ладу, операції зупиняються, а тиск щодо сплати виникає через потребу відновити бізнес. Угруповання, що займаються вимаганням даних, як-от Lapsus$, створюють тиск іншого характеру — побудований на страху публічного розголосу та довгострокових наслідках, які за ним слідують. Щойно викрадені дані оприлюднено, їх уже неможливо повернути назад. Клієнти, партнери та регулятори можуть дізнатися про витік одночасно, а шкода довірі може пережити будь-які фінансові втрати від простою.

Саме тому нормативні акти щодо захисту даних дедалі більше зосереджуються на розкритті інформації про витоки та підзвітності, а не лише на безперебійній роботі систем. На ринках, де закони про приватність передбачають значні фінансові стягнення, угруповання, яке викрадає дані та погрожує їх оприлюднити, може спровокувати регуляторну перевірку так само легко, як і переговори про викуп. Щоб отримати уявлення про те, наскільки серйозно деякі юрисдикції тепер ставляться до неналежного поводження з персональними даними, варто подивитися, як стягнення за DPDP Act в Індії можуть сягати штрафів до ₹250 крор для організацій, які не змогли захистити довірені їм дані. Витік, здійснений угрупованням із тактикою в стилі Lapsus$, цілком міг би піддати компанію саме такому регуляторному ризику — на додачу до самої вимоги про викуп.

Наслідки для приватності від хакерства на основі вимагання

Основна проблема приватності, пов'язана з угрупованнями на кшталт Lapsus$, полягає в тому, що жертви рідко обмежуються лише організацією, яку було зламано. Коли внутрішні системи компанії скомпрометовано, а дані клієнтів чи співробітників викрадено, кожен, чия інформація зберігається в цій базі даних, також стає потенційною жертвою. На відміну від програм-вимагачів, де негайна шкода часто обмежується власне діяльністю зламаної організації, вимагання даних має ефект хвиль, що поширюється назовні на кожного, чиї особисті дані зберігалися на скомпрометованих системах.

Саме тому нагляд за тим, як уряди та приватні компанії збирають, зберігають і отримують доступ до персональних даних, став такою наполегливою політичною дискусією. Обговорення повноважень щодо стеження, як-от триваюча дискусія про поновлення статті 702 FISA, та обговорення зобов'язань корпорацій щодо захисту даних — це, певною мірою, дві сторони однієї медалі. Обидва є відповідями на світ, де великі обсяги персональних даних збираються, зберігаються і дедалі частіше стають ціллю угруповань, готових використати ці дані як важіль впливу.

Що це означає для вас

Якщо ви приватна особа, прямий ризик від угруповання на кшталт Lapsus$ полягає менше в шифруванні ваших власних систем і більше в тому, що ваші персональні дані потенційно можуть перебувати в базі даних зламаної організації. Ці дані, щойно викрадені, можуть бути оприлюднені, продані або використані для подальших шахрайств, як-от фішинг чи крадіжка особистих даних, незалежно від того, чи сплатить початкова організація-жертва вимогу про викуп.

Якщо ви працюєте в організації, яка обробляє дані клієнтів чи співробітників, висновок такий: атаки на основі вимагання нагадують, що мінімізація даних і надійний контроль доступу мають таке саме значення, як і плани резервного копіювання та відновлення. Не можна злити дані, які ніколи не були зібрані чи збережені.

Практичні висновки

Розуміння угруповань на кшталт Lapsus$ — це корисний контекст для кожного, хто серйозно замислюється про цифрову приватність. Кілька практичних кроків, які варто розглянути:

  • Виходьте з того, що будь-який акаунт, пов'язаний із сервісом, яким ви користуєтеся, одного дня може стати частиною витоку, і використовуйте унікальні надійні паролі разом із багатофакторною автентифікацією всюди, де вона пропонується.
  • Стежте за повідомленнями від компаній, з якими ви взаємодієте, про інциденти з даними та ставтеся до листів про витік серйозно, а не відкидайте їх як рутину.
  • Обмежуйте обсяг персональної інформації, яку ви надаєте сервісам, що не потребують її нагально, адже дані, які ви ніколи не надали, згодом не можна викрасти чи злити.
  • Якщо ви керуєте системами в організації, регулярно переглядайте політики збереження даних. Атаки на основі вимагання працюють лише тоді, коли є цінні дані, які можна викрасти.

Угруповання на кшталт Lapsus$ показують, що ландшафт загроз еволюціонував за межі простих програм-вимагачів, і обізнаність про те, як працюють ці тактики, — один із найпрактичніших способів захистити власні дані надалі.