Подвійний удар по фінансовому сектору Гонконгу

Дві кібербезпекові історії зіткнулися в Гонконзі протягом приблизно 24 годин: ransomware-угруповання під назвою Orova заявило про злами у п'яти гонконгських компаніях, включаючи щонайменше одного регульованого керуючого активами, а Комісія з цінних паперів і ф'ючерсів (SFC) вперше в історії застосувала правозастосовні заходи, пов'язані з ransomware. Повідомляється, що SFC винесла догану та оштрафувала ліцензовану корпорацію на 2,1 мільйона гонконгських доларів за недоліки кібербезпеки, пов'язані з ransomware-атакою, — штраф, який регулятори представили як сигнал про те, що відповідальність за кіберстійкість несе вище керівництво, а не лише ІТ-відділи.

Цей збіг у часі був не стільки випадковістю, скільки конвергенцією. Ransomware-угруповання дедалі частіше націлюються на фінансові компанії, оскільки ті володіють саме тими конфіденційними даними клієнтів, які роблять вимагання ефективним, а регулятори, такі як SFC, уже кілька місяців сигналізують про намір притягати ліцензовані фірми до відповідальності, коли цей захист не спрацьовує.

Як подвійне вимагання змінило правила гри для ransomware

Традиційне ransomware було, у певному сенсі, простішою проблемою. Зловмисники шифрували файли жертви та вимагали платіж за ключ дешифрування. Організації з надійними офлайн-резервними копіями часто могли відновити свої системи, не заплативши ні копійки, фактично нейтралізуючи важелі впливу зловмисника.

Подвійне вимагання — тактика, вперше застосована ransomware-угрупованням Maze наприкінці 2019 року, — закрила цю лазівку. Замість того щоб просто шифрувати файли, зловмисники спочатку викрадають копію конфіденційних даних жертви. Навіть якщо організація може відновитися з резервних копій і відмовляється платити за дешифрування, зловмисники все одно тримають другу карту: вони погрожують опублікувати викрадені дані на порталі витоків у даркнеті, якщо не буде сплачено викуп. Це повністю змінює розрахунки. Резервні копії захищають від операційних збоїв, але вони ніяк не зупиняють витік даних. Саме цей тиск, схоже, застосовує Orova проти своїх п'яти заявлених гонконгських жертв.

Ця модель не є унікальною для Гонконгу чи для Orova. Фінансово регульовані установи в усьому світі зберігають клієнтські записи, історії транзакцій та документи, що посвідчують особу, які є цінними як для злочинців, так і, у разі витоку, глибоко шкідливими для осіб, чиї дані опиняються на сайті витоків. Це той самий базовий ризик, який проявився, коли британське державне інвестиційне агентство викрило конфіденційні дані 51 урядовця протягом приблизно 40 годин: щойно дані вийшли назовні, час і стримування мають величезне значення, але сам факт витоку вже не скасувати.

Чому штраф SFC має значення за межами Гонконгу

Примітним цей момент робить не лише те, що ще одне ransomware-угруповання заявило про жертв. Примітним є те, що фінансовий регулятор перейшов від рекомендацій до правозастосування. Штраф SFC, як повідомляється, перший, пов'язаний безпосередньо з ransomware-інцидентом, надсилає сигнал, який назрівав у глобальному фінансовому регулюванні: недоліки кібербезпеки більше не розглядаються суто як технічні інциденти. Це недоліки комплаєнсу з реальними фінансовими та репутаційними наслідками для фірми і, дедалі частіше, для керівників, які затверджують управління ризиками.

Ransomware-угрупованням не потрібно знаходити нову zero-day вразливість, щоб проникнути всередину. Багато зламів починаються з набагато більш приземлених недоліків: невиправлене програмне забезпечення, слабкий контроль доступу або працівники, які потрапляють на фішинг. Саме тому невиправлені вразливості залишаються такою стійкою точкою входу; навіть гучні помилки, як-от та, що детально описана в нещодавньому звіті про невиправлену Windows zero-day, ілюструють, як зловмисники можуть використовувати прогалини, які існують задовго до появи патча. Від регульованих фірм тепер очікують, що вони ставитимуться до такого роду вразливості як до питання корпоративного управління, а не просто як до ІТ-заявки.

Що це означає для вас

Якщо ви клієнт, працівник або партнер компанії зі сфери фінансових послуг, подібні інциденти є нагадуванням, що безпека ваших даних значною мірою залежить від рішень, ухвалених значно вище за ІТ-відділ. Ради директорів і вище керівництво тепер прямо несуть відповідальність за кіберстійкість у таких юрисдикціях, як Гонконг, що з часом має підштовхнути фірми до сильніших базових засобів захисту: кращої гігієни резервного копіювання, швидшого встановлення патчів і більш суворого контролю доступу.

Для окремих осіб практичні поради не надто змінилися, але тепер вони мають більше значення. Відстежуйте рахунки, відкриті в будь-якій фірмі, яка повідомляє про витік, ставтеся скептично до неочікуваних комунікацій, що посилаються на деталі облікового запису, і розгляньте можливість моніторингу кредитної історії, якщо фірма підтвердить, що ваші дані були частиною витоку. Подвійне вимагання означає, що навіть фірми, які швидко відновлюють свої системи, все одно можуть мати ваші дані в обігу, тому не припускайте, що вирішений ransomware-інцидент означає безпеку вашої інформації.

Ключові висновки

Злами Orova та штраф SFC разом ілюструють, куди рухається підзвітність у сфері ransomware: регулятори більше не задоволені тим, що фірми просто відновлюються після атаки. Вони хочуть доказів того, що фірми вжили розумних заходів, щоб запобігти їй у першу чергу. Для читачів практичні кроки залишаються незмінними незалежно від юрисдикції: запитуйте будь-яку фінансову установу, з якою ви працюєте, про їхню політику повідомлення про витоки, вмикайте багатофакторну автентифікацію скрізь, де вона пропонується, і ставтеся до будь-якого повідомлення про витік як до приводу переглянути власну активність в обліковому записі, а не як до рутинної формальності.