Нова хвиля жертв з’являється в даркнеті
За даними звітів про активність угруповання, відоме як Royal, за останні два місяці опублікувало дані, пов’язані майже з 60 жертвами. Такий темп свідчить про те, що операція не сповільнюється, і це ставить під загрозу дедалі більше організацій, а разом із ними — їхніх працівників та клієнтів, чия конфіденційна інформація може бути оприлюднена.
Вимикач Royal дотримується моделі, яку дослідники безпеки називають подвійним вимаганням. Замість того щоб просто заблокувати файли жертви шифруванням, угруповання спочатку викрадає дані, а вже потім шифрує їх. Якщо жертва відмовляється платити, Royal публікує викрадені файли або назви жертв на сайті зливу, використовуючи публічне приниження як додатковий важіль для отримання платежу. Ця тактика стала стандартною в більшій частині екосистеми програм-вимагачів, але кількість жертв, опублікованих за такий короткий проміжок часу, підкреслює, наскільки активними та організованими стали ці операції.
Як працює схема подвійного вимагання
Механізм атак Royal простий, але ефективний. Щойно угруповання отримує доступ до мережі, воно виводить дані, часто включно з фінансовими записами, інформацією про працівників або клієнтськими деталями, перш ніж розгорнути шкідливе ПЗ для шифрування, яке блокує системи. Згодом із жертвами зв’язуються, як правило, через портал для переговорів на основі Tor, і повідомляють, що вони мусять заплатити, щоб отримати ключ для дешифрування та запобігти публікації або продажу викрадених даних.
Таке поєднання шифрування та крадіжки даних значно підвищує ставки. Навіть організації з надійними резервними копіями, які інакше могли б відновити системи без сплати викупу, однаково стикаються із загрозою публічного витоку даних. Це змушує жертв зважувати не лише операційні збої, а й репутаційні втрати, регуляторні наслідки та вплив на приватність усіх, чиї дані опинилися під загрозою.
Атаки програм-вимагачів на установи, які зберігають великі обсяги персональних даних, наочно демонструють, наскільки руйнівними можуть бути ці інциденти. Нещодавній злам програм-вимагачів у Mount Royal University, який викрив персональні дані студентів і працівників, слугує нагадуванням, що жоден сектор не захищений, а наслідки одного проникнення можуть вплинути на тисячі осіб, які не мали жодного прямого стосунку до рішень організації щодо безпеки.
Чому вимоги викупу продовжують зростати
Вимоги викупу, пов’язані з атаками Royal, за повідомленнями, коливаються від сотень тисяч доларів до кількох мільйонів, залежно від розміру цільової організації та її ймовірної платоспроможності. Цей діапазон відображає ширшу тенденцію в ландшафті програм-вимагачів: зловмисники дедалі частіше досліджують жертв заздалегідь, щоб відкалібрувати вимоги, які будуть болючими, але не настільки надмірними, щоб гарантовано призвести до несплати.
Використання комунікаційних каналів на основі Tor для переговорів також свідчить про те, що ці угруповання діють із певним рівнем операційної витонченості, використовуючи анонімну інфраструктуру, щоб приховати свої особи, водночас проводячи щось схоже на ділові переговори, з крайніми термінами та ціновими категоріями.
Що це означає для вас
Для більшості читачів безпосередній ризик від такого угруповання, як Royal, є непрямим: він виникає через організації, з якими ви взаємодієте — роботодавця, школу, медичного працівника чи онлайн-сервіс, яким ви користуєтеся. Коли одна з цих структур зазнає зламу, ваша персональна інформація, включно з іменами, контактними даними, фінансовими або медичними записами, може бути опублікована або продана в межах процесу вимагання.
Ось чому важливо звертати увагу на повідомлення про злам. Якщо компанія або установа, з якою ви пов’язані, повідомляє про інцидент із програмою-вимагачем, поставтеся до цього серйозно, навіть якщо початкова заява зменшує масштаб впливу. Атаки з подвійним вимаганням означають, що викрадені дані можуть з’явитися пізніше, іноді через тижні або місяці після початкового проникнення, тож постійна пильність корисніша, ніж одноразова перевірка.
Що ви можете зробити, щоб захистити себе
Хоча ви не можете завадити компанії стати мішенню, ви можете зменшити власні ризики. Використовуйте унікальні, надійні паролі для кожного облікового запису, щоб один злам не скомпрометував кілька сервісів. Увімкніть багатофакторну автентифікацію скрізь, де це можливо, особливо для фінансових та поштових акаунтів. Відстежуйте свої кредитні звіти та фінансові виписки на предмет незнайомої активності, особливо після повідомлення про злам організації, якою ви користуєтеся.
Також варто зважати на те, як організації, від яких ви залежите, повідомляють про інциденти безпеки. Компанії, які прозоро говорять про атаки програм-вимагачів і швидко сповіщають постраждалих, дають вам більше шансів відреагувати до того, як викрадені дані завдадуть реальної шкоди.
Темп Royal ransomware — майже 60 жертв за два місяці — є чітким сигналом, що атаки з подвійним вимаганням залишаються постійною та еволюціонуючою загрозою. Залишатися поінформованим про те, як діють ці угруповання, та вживати базові заходи безпеки для власних акаунтів і даних — це найпрактичніший захист, доступний для окремих осіб, які врешті-решт опиняються на кінцевому етапі цих атак.
