Коли правоохоронці зазирнули за лаштунки

У лютому 2024 року коаліція міжнародних правоохоронних органів зруйнувала інфраструктуру LockBit, однієї з найактивніших програм-вимагачів за останній час. Коли слідчі отримали доступ до систем LockBit, вони знайшли не тільки докази злочинної діяльності. Вони виявили, що угруповання зберігало копії викрадених даних жертв навіть після того, як повідомляло цим жертвам — часто в обмін на викуп, — що дані було видалено.

Ця одна деталь важить набагато більше, ніж може здатися на перший погляд. Роками стандартний сценарій для організацій, яких атакували програми-вимагачі, включав тихий, незручний варіант: заплатити викуп, отримати обіцянку видалення від зловмисника і рухатися далі. Оприлюднені дані про LockBit підтверджують те, що багато дослідників безпеки підозрювали вже давно. Така обіцянка часто нічого не варта, і жертви зазвичай не мають жодної змоги про це дізнатися.

Розрив між тим, що кажуть жертвам, і тим, що відбувається насправді

Переговори з вимагачами зазвичай відбуваються поза публічним простором, за посередництва фірм з реагування на інциденти, страхових компаній або самих постраждалих організацій. Коли злочинне угруповання стверджує, що видалило викрадені файли, незалежного способу перевірити цю заяву здебільшого не існує. По суті, від жертв вимагають довіряти слову того самого суб’єкта, який проник у їхні системи і викрав дані.

Справа LockBit показує, чому така довіра невиправдана. Навіть коли злочинна структура достатньо розвинена, щоб вести повноцінну «службу підтримки клієнтів» для своїх жертв, включно з порталами для переговорів і сертифікатами про видалення, реального стимулу справді знищувати цінні викрадені дані просто немає. Дані мають цінність для перепродажу, для подальшого тиску і для майбутніх здирництв. Їхнє видалення суперечить інтересам самого нападника.

Цей розрив рідко потрапляє в заголовки так само гучно, як повідомлення про витік. Компанії, які тихо платять, щоб позбутися проблеми, не мають особливих підстав розголошувати, що обіцянка видалення не була виконана, особливо якщо вони про це так і не дізналися. Саме ця тиша є однією з причин, чому несприятливі наслідки трапляються частіше, ніж свідчать відкриті дані. Ліквідація інфраструктури LockBit — один із небагатьох випадків, коли розрив між обіцянкою і реальністю взагалі став видимим, так само, як зрив Google мережі хакерів, пов’язаних із КПК, відкрив завісу над діяльністю, яка інакше залишилася б прихованою від постраждалих організацій.

Чому це має змінити уявлення організацій про програми-вимагачі

Практичний висновок полягає не в тому, що платити викуп — це завжди неправильне рішення. Кожен інцидент має власний юридичний, операційний і фінансовий тиск, і деякі організації все одно можуть вирішити, що платіж — найменш поганий варіант. Висновок у тому, що сплату ніколи не можна вважати розв’язанням проблеми витоку даних.

Щойно дані залишають межі організації, їх слід вважати остаточно скомпрометованими, незалежно від подальших запевнень. Це означає, що обов’язки з повідомлення, комунікації з клієнтами та оцінювання ризиків мають виконуватися так, ніби викрадені дані все ще перебувають в обігу, оскільки так воно, найімовірніше, і є. Кіберстрахові поліси та плани реагування на інциденти, які передбачають «чисте» врегулювання після сплати викупу, будуються на застарілому й дедалі більш дискредитованому припущенні.

Що це означає для вас

Для людей, чиї дані могли опинитися серед викрадених унаслідок атаки програм-вимагачів, одкровення щодо LockBit слугує нагадуванням не послаблювати пильність лише тому, що компанія оголосила інцидент «вичерпаним». Обіцянка видалення від злочинців — не гарантія, і ваша інформація може залишатися під загрозою ще довго після того, як заголовки зникнуть.

Для бізнесу, особливо малого й середнього без власних команд безпеки, це аргумент на користь запобігання, а не переговорів. Надійна система резервного копіювання, сегментація мережі та базовий захист кінцевих точок зменшують шанси коли-небудь опинитися в ситуації, де доводиться покладатися на слово вимагача. Перегляд того, як захищено особисті та професійні облікові записи, зокрема те, чи передається чутливий трафік через захищені з’єднання, — хороша відправна точка; деякі організації розглядають варіанти, подібні до тих, що можна знайти на сторінках порівняння провайдерів, як-от IVPN або Mozilla VPN, у межах ширших зусиль зі зменшення вразливості, хоча жоден окремий інструмент не замінює повноцінну стратегію безпеки.

Практичні висновки

  • Припускайте, що будь-які дані, викрадені під час атаки програми-вимагача, наражаються на ризик необмежений час, навіть якщо було обіцяно їхнє видалення.
  • Спрямування викупу не повинно замінювати повноцінне повідомлення про витік і заходи з захисту клієнтів.
  • Віддавайте пріоритет резервним копіям і сегментації мережі, щоб сплата зловмисникам ніколи не була єдиним доступним варіантом.
  • Якщо вас повідомили, що ваші дані фігурували в витоці, відстежуйте свої облікові записи та кредитні звіти значно довше, ніж триває перша хвиля новин.
  • Вимагайте прозорості від будь-якої організації, яка володіє вашими даними, щодо того, як вона реагує на інциденти з програмами-вимагачами, а не лише щодо того, чи була здійснена сплата.

Ліквідація LockBit дала рідкісний, нефільтрований погляд на те, як насправді розвивається кіберздирництво, коли злочинці більше не контролюють наратив. Сприйняття обіцянок видалення як факту, а не як неперевірених заяв ворожого гравця, залишило забагато жертв із фальшивим відчуттям урегульованості. Зберігати скептицизм і залишатися готовими — це й надалі краща довгострокова стратегія.