Дзвінок до пробудження на $50 мільйонів для BigLaw

Деякі з найпрестижніших юридичних фірм Сполучених Штатів, зокрема Weil Gotshal & Manges, WilmerHale та Goodwin Procter, за повідомленнями, спільно заплатили майже $50 мільйонів кібервимагацькій групі за останні кілька місяців. Що робить цю справу особливо тривожною — це не лише сума. Це те, як стався напад. Жодні системи не були зашифровані. Не було заблокованого екрана, жодного зворотного відліку часу та жодної традиційної записки з вимогою викупу за розблокування заморожених файлів. Це була тихіша, більш хірургічна форма програм-вимагачів, побудована навколо викрадених даних, а не паралізованої інфраструктури.

Для галузі, яка зберігає одні з найчутливіших даних, що існують, від привілейованого листування з клієнтами до фінансових записів і деталей злиттів, цей інцидент є нагадуванням, що навіть найкраще забезпечені ресурсами установи можуть бути заскочені зненацька.

Чому програмне-вимагач не завжди виглядає як програмне-вимагач

Класичний образ атаки програм-вимагачів передбачає, що компанія прокидається й виявляє, що всі файли зашифровані, а повідомлення вимагає криптовалюту для відновлення доступу. Така версія програм-вимагачів досі існує, але зловмисники дедалі частіше переходять до іншої моделі: спочатку тихо викрасти дані, а потім погрожувати їх оприлюднити або продати, якщо не буде здійснено платіж. Шифрування не потрібне. Жодні системи не повинні виходити з ладу. Важіль впливу повністю ґрунтується на загрозі розголошення.

Ця зміна важлива, тому що вона змінює те, як виглядає «виявлення». Традиційні програм-вимагачі заявляють про себе в момент блокування файлів. Вимагання даних, натомість, може відбуватися тихо, іноді тижнями або місяцями, перш ніж жертва взагалі усвідомить, що інформація покинула її мережу. Юридичні фірми є особливо привабливими цілями для такого підходу, оскільки дані, які вони зберігають, — стратегія судових процесів, фінансова звітність, особиста інформація клієнтів — часто цінніші, якщо вони залишаються конфіденційними, ніж якби їх просто видалили.

Цей сценарій не є унікальним лише для юридичної галузі. Подібну тактику вимагання використовували проти компаній далеко за межами юридичного сектору. В Австралії зловмисник публічно погрожував оприлюднити мільйони файлів клієнтів, якщо Origin Energy не заплатить, а енергетичний гігант Shell розслідував заяви групи Cl0p про те, що вона викрала майже 89 ГБ корпоративних даних. Спільною ниткою в усіх цих випадках є те, що справжня шкода — це не заблокована система. Це самі дані та те, що станеться, якщо вони стануть публічними.

Що це означає для вас

Якщо ви клієнт юридичної фірми, бухгалтерської практики або будь-якої організації, яка обробляє чутливі особисті чи фінансові записи, цей інцидент є корисним нагадуванням, що безпека даних не гарантована просто тому, що установа є великою, усталеною чи добре фінансованою. Репутація та ресурси не означають автоматично сильних практик кібербезпеки.

Якщо ви працюєте в середовищі професійних послуг, особливо в бухгалтерській чи юридичній фірмі, висновок більш прямий: модель загроз вашої фірми має враховувати викрадення даних, а не лише простої систем. Плани резервного копіювання та відновлення, які готуються лише до зашифрованих файлів, не допоможуть, якщо реальний ризик — це витік конфіденційної інформації клієнтів. Страхові поліси кібербезпеки, плани реагування на інциденти та стратегії комунікації з клієнтами — усе це має відображати цю реальність.

Практичні захисти, які варто пріоритезувати

Кілька конкретних кроків можуть суттєво зменшити вразливість до такого типу атак. Надійне шифрування даних у стані спокою та під час передачі обмежує те, що зловмисники можуть фактично використати, навіть якщо їм вдасться отримати доступ до файлів. Регулярні, перевірені резервні копії залишаються важливими не тому, що вони скасовують витік даних, а тому, що вони забезпечують продовження операцій без необхідності вести переговори зі зловмисниками. Сегментація мережі — ще один ключовий захист: обмежуючи, наскільки далеко зловмисник може пересуватися всередині мережі, фірми зменшують шанси того, що один скомпрометований обліковий запис призведе до порушення всієї фірми.

Архітектура нульової довіри, яка вимагає безперервної перевірки користувачів і пристроїв, а не припускає довіру на основі розташування в мережі, є особливо ефективною проти того виду бокового переміщення, який перетворює один скомпрометований логін на витік даних усієї фірми. У поєднанні зі суворим контролем доступу, багатофакторною автентифікацією та моніторингом незвичних передач даних ці заходи значно ускладнюють зловмисникам можливість тихо збирати великі обсяги чутливої інформації, перш ніж хтось це помітить.

Підсумок

$50 мільйонів, виплачені цими великими юридичними фірмами, підкреслюють ширшу зміну в тому, як програми-вимагачі та кібервимагання фактично працюють сьогодні. Зловмисникам більше не потрібно блокувати жоден файл, щоб завдати серйозної шкоди — їм просто потрібен доступ до потрібних даних і достатньо терпіння, щоб тихо їх витягти. Для юридичних фірм, бухгалтерських практик і будь-якої організації, якій довіряють чутливу інформацію клієнтів, урок зрозумілий: шифрування, сегментація, перевірені резервні копії та принципи нульової довіри більше не є додатковими опціями. Це базові вимоги для захисту людей, які довіряють вам свою найприватнішу інформацію.