Một nhóm mới xuất hiện tự gọi mình là ScarlettGroup đang thu hút sự chú ý từ các nhà nghiên cứu tình báo mối đe dọa. Nhóm tống tiền dữ liệu ScarlettGroup vận hành một trang web rò rỉ trên dark web và đã được liên kết với các cáo buộc vi phạm nhắm vào các tổ chức bao gồm VinSolutions và Nhà xuất bản Đại học Yale. Đối với hầu hết mọi người, điểm quan trọng không phải là bản thân nhóm này. Mà là cách dữ liệu lấy từ một doanh nghiệp có thể ảnh hưởng đến những khách hàng chưa từng nghe đến những người đang nắm giữ nó.
ScarlettGroup là ai và những gì họ đã tuyên bố
Theo báo cáo tình báo mối đe dọa từ Foresiet, ScarlettGroup là một nhóm tống tiền dữ liệu mới nổi. Dấu vết của nó bao gồm một trang web rò rỉ trên dark web và hoạt động trên các diễn đàn ngầm, nơi các nhóm như thế này quảng cáo những gì họ nói là đã lấy được.
Hai danh sách nổi bật. Trong một danh sách, một tác nhân đe dọa sử dụng tên ScarlettGroup cáo buộc đã đánh cắp dữ liệu quản lý quan hệ khách hàng (CRM) từ nhà cung cấp phần mềm ô tô VinSolutions. Bài viết trước đây của chúng tôi về cáo buộc vi phạm CRM VinSolutions của SCARLETTGROUP đề cập đến những gì đã được đăng. Trong một danh sách khác, nhóm đã đăng những gì họ trình bày là một vụ vi phạm của Nhà xuất bản Đại học Yale trên BreachForums, được trình bày chi tiết trong bài viết của chúng tôi về cáo buộc vi phạm dữ liệu Nhà xuất bản Đại học Yale.
Một lưu ý quan trọng ở đây. Đây là những cáo buộc do nhóm đưa ra, không phải những phát hiện đã được xác nhận. Các tác nhân tống tiền có động cơ phóng đại, và một danh sách trên trang web rò rỉ không chứng minh quy mô hay nội dung của bất kỳ vụ đánh cắp nào. Hãy coi chúng như những tín hiệu đáng theo dõi, không phải sự thật đã được xác lập.
Cách thức tống tiền qua trang web rò rỉ hoạt động
Tống tiền dữ liệu khác với ransomware cổ điển ở một điểm. Ransomware khóa hệ thống và đòi tiền để lấy khóa giải mã. Các nhóm tống tiền dữ liệu tập trung vào chính thông tin bị đánh cắp và đe dọa công bố nó trừ khi nạn nhân trả tiền.
Trang web rò rỉ là công cụ gây áp lực. Mô thức thông thường diễn ra như sau:
- Truy cập và đánh cắp. Những kẻ tấn công xâm nhập vào hệ thống và sao chép dữ liệu.
- Đăng danh sách. Tên của nạn nhân xuất hiện trên trang web rò rỉ của nhóm, thường kèm theo một mẫu làm bằng chứng.
- Gây áp lực. Nhóm đặt ra thời hạn. Các báo cáo công khai về ScarlettGroup mô tả đồng hồ đếm ngược trên dark web được sử dụng để đe dọa phát tán dữ liệu công ty.
- Phát tán hoặc bán. Nếu mục tiêu không trả tiền, dữ liệu có thể bị công bố hoặc bán trên các diễn đàn ngầm.
Vì áp lực đến từ việc phơi bày công khai, bản thân danh sách có thể gây tổn hại danh tiếng của một tổ chức trước khi bất kỳ ai xác minh cáo buộc. Trong khi đó, những người có hồ sơ có thể nằm trong dữ liệu không có tiếng nói tại bàn đàm phán.
Điều này có ý nghĩa gì với bạn
Nếu bạn là khách hàng của một công ty được nêu tên trên trang web rò rỉ, bạn là bên thứ ba trong tranh chấp. Bạn không làm gì sai, nhưng thông tin của bạn có thể là đòn bẩy.
Rủi ro phụ thuộc vào những gì đã bị lấy. Ví dụ, dữ liệu CRM thường chứa thông tin liên hệ và hồ sơ tương tác khách hàng. Dữ liệu của nhà xuất bản hoặc tổ chức có thể bao gồm tên, email và thông tin tài khoản. Chúng tôi không thể nói chính xác ScarlettGroup nắm giữ những gì, và các cáo buộc của nhóm chưa được xác minh độc lập. Nhưng những rủi ro thực tế đối với người tiêu dùng từ kiểu phơi bày này đã được hiểu rõ:
- Lừa đảo có mục tiêu. Kẻ lừa đảo có thể tham chiếu một mối quan hệ kinh doanh thực tế để làm cho tin nhắn trông hợp pháp.
- Tấn công tái sử dụng thông tin đăng nhập. Nếu mật khẩu bị lộ và bạn tái sử dụng chúng, các tài khoản khác trở nên dễ bị tổn thương.
- Mạo danh và gian lận. Thông tin cá nhân có thể giúp ai đó giả mạo bạn với ngân hàng, nhà mạng hoặc bộ phận hỗ trợ.
Không có điều nào trong số này là lý do để hoảng loạn. Đó là lý do để hành động sớm, vì chi phí thắt chặt bảo mật tài khoản của bạn là nhỏ so với việc khắc phục hậu quả sau gian lận.
Các bước để giảm thiểu rủi ro phơi bày
Bạn không thể kiểm soát liệu một công ty bạn sử dụng có bị xâm phạm hay không. Bạn có thể kiểm soát mức độ thiệt hại mà dữ liệu bị đánh cắp có thể gây ra.
- Kiểm tra xem bạn có bị ảnh hưởng không. Tìm thông báo từ các công ty bạn đã giao dịch, và kiểm tra email của bạn với một dịch vụ thông báo vi phạm uy tín.
- Sử dụng mật khẩu duy nhất. Trình quản lý mật khẩu giúp việc này trở nên thực tế. Nếu một trang web rò rỉ mật khẩu của bạn, các trang khác vẫn được bảo vệ.
- Bật xác thực đa yếu tố. Ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn SMS khi có thể.
- Hoài nghi với những tin nhắn bất ngờ. Nếu một email hoặc tin nhắn văn bản đề cập đến một giao dịch mua xe, một đại lý hoặc một đơn đặt sách mà bạn không mong đợi, hãy truy cập trực tiếp trang web chính thức của công ty thay vì nhấp vào.
- Theo dõi tài khoản tài chính của bạn. Xem lại sao kê và cân nhắc đóng băng tín dụng nếu các thông tin nhận dạng nhạy cảm có thể đã bị lộ.
- Cập nhật phần mềm. Điều này hạn chế những gì kẻ tấn công có thể làm với bất kỳ quyền truy cập nào chúng có được.
VPN có thể bảo vệ lưu lượng truy cập của bạn trên các mạng không đáng tin cậy, nhưng nó không làm gì với dữ liệu đã được lưu trữ trên máy chủ của công ty. Vệ sinh tài khoản là biện pháp phòng vệ phù hợp hơn ở đây.
Kết luận
Nhóm tống tiền dữ liệu ScarlettGroup vẫn đang mới nổi, và nhiều điều về phương thức và phạm vi của nó chưa được xác nhận. Điều rõ ràng là mô hình: đánh cắp dữ liệu, liệt kê nạn nhân công khai, và sử dụng mối đe dọa phát tán làm đòn bẩy. Điều đó đặt những khách hàng bình thường vào tầm ngắm.
Hãy bắt đầu bằng cách kiểm tra xem bạn có giao dịch với bất kỳ tổ chức nào được nêu tên không, sau đó thắt chặt mật khẩu và bật xác thực đa yếu tố. Để biết chi tiết về các danh sách cụ thể, hãy đọc bài viết của chúng tôi về cáo buộc vi phạm VinSolutions và cáo buộc vi phạm Nhà xuất bản Đại học Yale, và theo dõi các thông báo chính thức từ các công ty liên quan.
