Швейцарський суд виніс вирок у вигляді майже 13 років ув'язнення 52-річному українцю, визнаному винним у розробці програм-вимагачів Nefilim, завершивши справу, що сягає кібератаки 2020 року на Stadler Rail. Цей вирок є одним із найзначніших судових переслідувань у справах про програми-вимагачі, що відбулися в європейській залі суду, і він дає корисне уявлення про те, як насправді працюють операції з програмами-вимагачами та що відбувається, коли жертви відмовляються платити.

Від інциденту зі шкідливим програмним забезпеченням до обвинувального вироку у справі про програми-вимагачі

Коли Stadler Rail зазнала атаки у 2020 році, компанія спочатку не використовувала слово «програма-вимагач». На той момент вона описала інцидент лише як такий, що стосувався шкідливого програмного забезпечення, яке «найімовірніше призвело до витоку даних», і заявила, що зловмисники намагалися вимагати велику суму грошей, погрожуючи оприлюднити викрадені файли, якщо викуп не буде сплачено. Stadler відмовилася платити тоді, як і після окремого інциденту цього року. Ця відмова заклала основу для кримінального розслідування, яке зрештою ідентифікувало особу, відповідальну за код програми-вимагача Nefilim, використаний в атаці.

Nefilim була частиною хвилі сімейств програм-вимагачів, які поєднували шифрування файлів із крадіжкою даних — тактика, яку часто називають подвійним вимаганням. Замість того щоб просто заблокувати системи жертви, оператори спочатку викрадали конфіденційні файли, а потім погрожували опублікувати їх публічно, якщо жертва не заплатить. Такий підхід чинив додатковий тиск на організації, оскільки навіть надійна стратегія резервного копіювання не могла захистити від репутаційних та регуляторних наслідків публічного витоку даних. У нашому попередньому матеріалі про цюріхський судовий процес у справі про програми-вимагачі докладно описано, як прокурори будували свою справу, вимагаючи 12-річного терміну, перш ніж суд зрештою призначив покарання у вигляді майже 13 років.

Чому ця справа важлива за межами Швейцарії

Судові переслідування у справах про програми-вимагачі, що завершуються тривалими тюремними термінами, залишаються відносно рідкісними, головним чином тому, що багато операторів працюють із юрисдикцій, які ускладнюють екстрадицію або арешт. Ця справа примітна саме тим, що вона призвела до встановлення конкретної особи, кримінального судового процесу та значного вироку, винесеного швейцарським судом. Вона демонструє, що правоохоронні органи та прокурори можуть, за певних обставин, успішно простежити код програми-вимагача до його розробника та притягнути цю особу до відповідальності через роки після початкової атаки.

Справа також підтверджує закономірність, яка неодноразово проявляється в інцидентах із програмами-вимагачами: жертви, які відмовляються платити, не обов'язково стикаються з гіршими наслідками, а сплата викупу не гарантує, що викрадені дані не буде оприлюднено в будь-якому разі. Рішення Stadler Rail не платити у 2020 році, а також цього року, узгоджується з рекомендаціями дослідників у сфері безпеки та правоохоронних органів, які зазвичай радять не фінансувати операції з програмами-вимагачами, оскільки платіж не усуває порушення і часто фінансує подальшу злочинну діяльність.

Що це означає для вас

Для більшості читачів ця справа не є прямою загрозою, але вона нагадує про те, як насправді функціонують операції з програмами-вимагачами за лаштунками. Атаки, подібні до тієї, що сталася проти Stadler Rail, зазвичай починаються з викрадених облікових даних, фішингових електронних листів або використаних вразливостей програмного забезпечення, а не з якоїсь незупинної сили. Особи, які пишуть і розгортають код програм-вимагачів, — це люди, яких у деяких випадках можна ідентифікувати, переслідувати та засудити, навіть через роки після атаки.

Якщо ви працюєте в організації, яка обробляє конфіденційні дані, ця справа підкреслює важливість припущення, що будь-яке успішне вторгнення може включати крадіжку даних, а не лише шифрування. Самих лише стратегій резервного копіювання недостатньо. Організаціям потрібні плани реагування на інциденти, які враховують можливість витоку файлів, і вони повинні визначити свою позицію щодо сплати викупу до того, як станеться атака, а не під час хаосу, який вона спричиняє. Для окремих користувачів висновок подібний до того, що ми давно рекомендували: надійні унікальні паролі, багатофакторна автентифікація та обережне поводження з вкладеннями й посиланнями в електронних листах залишаються найефективнішими засобами захисту від методів початкового доступу, які уможливлюють атаки програм-вимагачів.

Ключові висновки

Цей вирок показує, що оператори програм-вимагачів не є недоторканними і що терпляча слідча робота зрештою може пов'язати фрагмент шкідливого коду з особою, яка його написала. Для організацій справа підтверджує цінність відмови від вимог викупу та підготовки до сценаріїв витоку даних, а не припущення, що шифрування є єдиним ризиком. Для окремих осіб це нагадування про те, що атаки програм-вимагачів майже завжди починаються з буденної помилки в безпеці — слабкого пароля, неоновленої системи або успішної фішингової спроби, — і все це можна запобігти за допомогою базової гігієни безпеки. Оскільки дедалі більше справ про програми-вимагачі потрапляє до судів, очікуйте на подальший аналіз того, як ці операції фінансуються, керуються і зрештою ліквідуються.