Ставка банку на чесність злочинців

Коли мова заходить про програми-вимагачі, однією з найдивніших складових усієї злочинної бізнес-моделі є обіцянка, що слідує за виплатою: передайте гроші, і ми видалимо ваші викрадені дані. Схоже, що River Financial Corporation, материнська компанія розташованого в Алабамі River Bank & Trust, сприйняла цю обіцянку буквально. У формі 8-K, поданій до Комісії з цінних паперів і бірж, банк розкрив, що «вжив заходів для спроби придушити постраждалі дані, включно з отриманням запевнень» від зловмисників — по суті, письмової гарантії, що викрадена інформація буде знищена. Примітно, що у поданні прямо не підтверджується, чи справді River Bank виплатив викуп, хоча отримання таких «запевнень» від операторів програм-вимагачів зазвичай відбувається лише після того, як гроші переходять з рук у руки.

Це розкриття припадає на незручний момент для будь-кого, схильного вірити обіцянкам програм-вимагачів щодо видалення даних. Ліквідація правоохоронцями операції LockBit показала, що дані жертв зберігалися в інфраструктурі угруповання навіть у випадках, коли жертви вже сплатили вимогу про викуп. Іншими словами, галочка навпроти пункту «дані видалено», на яку так багато компаній покладаються, щоб завершити інцидент і заспокоїти регуляторів, клієнтів та власні ради директорів, у деяких задокументованих випадках була просто неправдивою.

Чому обіцянка видалення даних від програм-вимагачів рідко витримує критику

Вся концепція сплати угрупованню програм-вимагачів за видалення даних ґрунтується на очевидному протиріччі: ви просите злочинну організацію, яка проникла у вашу мережу та викрала конфіденційні записи, добровільно відмовитися від важелів тиску. Немає жодного механізму примусу, жодного аудиторського сліду та жодного юридичного захисту, якщо угруповання збереже копію, продасть її на підпільному маркетплейсі чи використає для повторного вимагання пізніше. Дослідники безпеки давно попереджали, що відео, скриншоти чи письмові заяви, надані угрупованнями-вимагачами як «доказ видалення», неможливо перевірити за своєю суттю. Ліквідація LockBit лише надала конкретні докази того, що багато хто у безпековій спільноті вже припускав.

Для фінансової установи це має величезне значення. Банки зберігають одні з найчутливіших персональних даних, які існують: номери соціального страхування, реквізити рахунків та історії транзакцій. Коли ці дані викрадаються під час вторгнення, обіцянка злочинця їх видалити не пропонує жодного реального захисту клієнтам, чия інформація була розкрита. Це, у кращому випадку, дає тему для розмови у регуляторному поданні.

Як стався витік

Інцидент у River Bank не стався у вакуумі. Згідно з попередньою розвідувальною інформацією про загрози, витік був пов'язаний із отриманням несанкціонованим суб'єктом доступу через вразливість у застарілому протоколі VPN — деталь, розглянута в нашому попередньому матеріалі про інцидент із програмою-вимагачем у River Bank & Trust. Застаріла інфраструктура віддаленого доступу залишається однією з найпоширеніших точок входу для угруповань-вимагачів саме тому, що вона часто знаходиться на периферії мережі, її легко сканувати та часто оминають увагою під час циклів управління виправленнями. Опинившись всередині, зловмисники зазвичай переміщуються латерально, знаходять цінні сховища даних і викрадають інформацію ще до того, як запустити шкідливе навантаження програми-вимагача, тобто крадіжка часто відбувається задовго до того, як хтось помічає, що щось не так.

Що це означає для вас

Якщо ви є клієнтом River Bank & Trust або клієнтом будь-якої установи, яка повідомила про інцидент із програмою-вимагачем, практична реальність така: будь-яку обіцянку зловмисників видалити ваші дані не слід розглядати як гарантію безпеки. Якщо інформація залишила мережу компанії під час атаки програми-вимагача, її слід вважати остаточно скомпрометованою, незалежно від того, які запевнення отримуються пізніше. Це означає необхідність відстежувати ваші рахунки та кредитні звіти на предмет незвичної активності, бути пильними до спроб фішингу, які посилаються на реальні реквізити рахунків (поширена подальша тактика, коли викрадені банківські дані циркулюють серед злочинних груп), та розглянути можливість замороження кредиту, якщо номери соціального страхування або номери рахунків були серед розкритих даних.

Для бізнесу та фінансових установ, які спостерігають за розвитком цієї історії, урок є ширшим. Покладатися на обіцянку видалення даних від програм-вимагачів як на частину стратегії реагування на інциденти, не кажучи вже про те, щоб розкривати її регуляторам як пом'якшуючий захід, посилає неправильний сигнал про те, наскільки серйозно організація ставиться до захисту даних. Перевірені резервні копії, сегментація мережі та своєчасне виправлення вразливостей в інфраструктурі віддаленого доступу, такій як VPN-шлюзи, роблять набагато більше для захисту даних клієнтів, ніж будь-яке запевнення, витягнуте зі злочинного підприємства.

Ключові висновки

  • Ставтеся до будь-якої обіцянки угруповання програм-вимагачів видалити викрадені дані як до такої, що неможливо перевірити та примусово виконати, а не як до справжньої гарантії.
  • Якщо ви користуєтеся послугами банку, який повідомив про витік, уважно стежте за виписками та кредитними звітами та розгляньте можливість замороження кредиту.
  • Будьте особливо обережні з фішинговими повідомленнями, які посилаються на точні реквізити рахунку чи особисті дані, у тижні та місяці після розкриття інциденту.
  • Організації повинні надавати пріоритет виправленню відомих вразливостей VPN та віддаленого доступу, оскільки застарілі протоколи залишаються головною точкою входу для угруповань-вимагачів.

Оскільки розслідування програм-вимагачів продовжують виявляти розрив між тим, що обіцяють злочинні угруповання, і тим, що вони насправді роблять, як споживачі, так і компанії повинні планувати, виходячи з того, що викрадені дані ніколи не зникають по-справжньому, незалежно від того, яке запевнення надасть угруповання програм-вимагачів у письмовій формі.