Що сталося під час витоку даних Inter-Con Security

Витік ShinyHunters Inter-Con Security став останнім прикладом знайомої та тривожної моделі: відоме угруповання-вимагач заявляє про викрадення даних компанії, вимагає викуп, а потім все одно публікує інформацію, коли його вимоги не виконуються. Згідно з повідомленнями про інцидент, зловмисне угруповання ShinyHunters нібито націлилося на Inter-Con Security — компанію, що надає послуги фізичної безпеки та охорони, — у рамках кампанії з вимаганням «плати або зливу».

Про витік стало відомо громадськості після того, як скомпрометовані дані були завантажені до Have I Been Pwned (HIBP) — широко використовуваного сервісу сповіщення про витоки, який дозволяє людям перевірити, чи фігурувала їхня електронна адреса у відомому витоку даних. Обробка набору даних HIBP підтвердила 276 000 унікальних електронних адрес, пов’язаних з інцидентом, що дало громадськості перше конкретне уявлення про масштаб витоку. Яким би не був початковий обсяг викрадених даних, цифра HIBP відображає перевірену кількість окремих електронних адрес, які тепер можуть шукати постраждалі особи.

Як працює модель вимагання «плати або зливу» ShinyHunters

ShinyHunters з роками здобули репутацію за використання простої, але ефективної тактики: проникнути в системи жертви або отримати викрадені дані, а потім погрожувати опублікувати їх, якщо не буде сплачено викуп. Коли жертви відмовляються або не реагують, угруповання виконує погрозу, публічно викладаючи дані, часто використовуючи платформи та сервіси сповіщення про витоки, щоб максимізувати видимість і тиск.

Цей підхід не є новим для угруповання. ShinyHunters пов’язують із низкою гучних інцидентів, зокрема вішинговою атакою на Charter Communications, яка викрила близько 40 мільйонів записів, пов’язаною кампанією, що призвела до витоку ще 4,9 мільйона записів Charter через подібну вішингову тактику, а також заявою про продаж даних користувачів NVIDIA GeForce NOW. Угруповання також пов’язували з непідтвердженою заявою про програму-вимагач проти Ernst & Young. Інцидент з Inter-Con Security повністю вписується в цю модель атак на організації різних секторів — від телекомунікаційних гігантів до постачальників послуг фізичної безпеки — і використання загрози публічного викриття як важеля тиску.

Особливо ефективною цю модель вимагання робить те, що зловмиснику не потрібно продавати дані на підпільних ринках, щоб отримати прибуток. Сама загроза публічного зливу в поєднанні з продемонстрованою готовністю її виконати часто є достатньою, щоб змусити жертв до переговорів. Коли переговори провалюються, наступний витік, як у випадку з Inter-Con, стає одночасно покаранням для жертви та публічною демонстрацією можливостей угруповання для майбутніх цілей.

Чому витік електронних адрес підвищує ризики фішингу та крадіжки особистих даних

Електронні адреси можуть здаватися дрібницею порівняно з витоками, що включають паролі, фінансові записи або ідентифікаційні номери державного зразка. Але самого лише витоку електронної адреси достатньо для проведення цілеспрямованих фішингових кампаній, особливо якщо вона пов’язана з конкретною організацією чи роботодавцем. Зловмисники можуть використовувати підтверджені активні адреси для створення переконливих фішингових повідомлень, видавати себе за скомпрометовану компанію або намагатися здійснити атаки підстановки облікових даних на інші облікові записи, пов’язані з тією ж адресою.

Великі перевірені набори даних, як цей, також часто комбінуються з даними з інших витоків. Як зловмисники, так і дослідники зазначали, що поєднання списків електронних адрес із кількох витоків, подібно до того, що спостерігалося в інциденті Bank of Baroda, який призвів до витоку конфіденційних даних клієнтів, може створювати детальніші профілі осіб, підвищуючи ризик крадіжки особистих даних або захоплення облікових записів далеко за межами початкового витоку.

Що робити, якщо ваші дані з’явилися в Have I Been Pwned

Якщо ви вважаєте, що могли постраждати, першим кроком є перевірка вашої електронної адреси безпосередньо через Have I Been Pwned. Якщо ваша адреса фігурує у витоку Inter-Con Security або будь-якому іншому зареєстрованому інциденті, сприймайте це як сигнал вжити кількох конкретних запобіжних заходів, а не привід для паніки.

Почніть зі зміни пароля до будь-якого облікового запису, пов’язаного з цією адресою, особливо якщо ви повторно використовували пароль деінде. Увімкніть багатофакторну автентифікацію скрізь, де це можливо, оскільки це додає критичний рівень захисту, навіть якщо ваш пароль згодом буде скомпрометовано в іншому витоку. Будьте особливо обережні з неочікуваними електронними листами, які посилаються на Inter-Con Security або стверджують, що стосуються цього витоку, оскільки це чудова нагода для фішингових спроб. Нарешті, розгляньте можливість використання менеджера паролів для створення та зберігання унікальних паролів для кожного облікового запису, зменшуючи шкоду від будь-якого окремого витоку.

Що це означає для вас

Витік ShinyHunters Inter-Con Security нагадує, що витоки даних із вимаганням не розрізняють компанії за розміром чи галуззю. Чи жертвою є телекомунікаційний провайдер, виробник мікросхем або компанія з фізичної безпеки — основний ризик для окремих осіб залишається незмінним: викриті електронні адреси, які можуть бути використані для фішингу, спаму або подальших атак. Залишатися поінформованим про те, де з’явилися ваші дані, та швидко діяти, коли це стається, залишається одним із найефективніших засобів захисту для звичайних користувачів.

Ключові висновки

  • Перевірте Have I Been Pwned, щоб дізнатися, чи була ваша електронна адреса у витоку Inter-Con Security.
  • Змініть паролі до всіх облікових записів, пов’язаних із викритою адресою, особливо якщо вони повторно використовувалися.
  • Увімкніть багатофакторну автентифікацію для додаткового захисту від атак на основі облікових даних.
  • Стежте за фішинговими листами, які посилаються на витік або видають себе за Inter-Con Security.
  • Використовуйте менеджер паролів, щоб уникнути повторного використання паролів у різних облікових записах.