一个自称ScarlettGroup的新近现身团伙正引起威胁情报研究人员的关注。ScarlettGroup数据勒索团伙运营着一个暗网泄露网站，并被认为与针对VinSolutions和耶鲁大学出版社等组织的入侵声明有关。对大多数人来说，重点不在于该团伙本身，而在于从企业窃取的数据最终可能如何影响那些从未听说过数据持有者的客户。
ScarlettGroup是谁，它声称了什么
根据Foresiet的威胁情报报告，ScarlettGroup是一个新兴的数据勒索团伙。其活动足迹包括一个暗网泄露网站以及地下论坛中的活动，这类团伙通常会在这些地方宣传他们声称已窃取的内容。
有两个条目尤为引人注目。其中一个条目中，一名使用ScarlettGroup名称的威胁行为者声称其从汽车软件提供商VinSolutions窃取了客户关系管理（CRM）数据。我们此前关于SCARLETTGROUP VinSolutions CRM入侵声明的报道涵盖了所发布的内容。另一个条目中，该团伙在BreachForums上发布了其称为耶鲁大学出版社入侵的内容，详见我们关于耶鲁大学出版社数据泄露声明的文章。
这里需要注意一个前提。这些是该团伙提出的声明，而非已确认的调查结果。勒索行为者有夸大其词的动机，泄露网站上的条目并不能证明任何窃取行为的规模或内容。应将其视为值得关注的信号，而非既定事实。
泄露网站勒索如何运作
数据勒索与经典勒索软件在一个方面有所不同。勒索软件锁定系统并要求支付赎金以获取解密密钥。数据勒索团伙则聚焦于被盗信息本身，并威胁除非受害者付款，否则将公开这些信息。
泄露网站是施压工具。通常的模式如下：
- 访问与窃取。 攻击者进入系统并复制数据。
- 列名。 受害者的名称出现在该团伙的泄露网站上，通常附带样本作为证据。
- 施压。 该团伙设定截止日期。关于ScarlettGroup的公开报道描述了用于威胁发布公司数据的暗网倒计时器。
- 发布或出售。 如果目标不付款，数据可能会被公开或在地下论坛出售。
由于压力来自公开曝光，列名本身就可能在任何人对声明进行核实之前损害组织声誉。与此同时，记录可能存在于这些数据中的人却无权参与谈判。
这对你意味着什么
如果你是在泄露网站上被点名公司的客户，你就是这场纠纷的第三方。你没有做错任何事，但你的信息却可能成为筹码。
风险取决于被盗内容。例如，CRM数据通常包含联系方式和客户互动记录。出版商或机构数据可能包括姓名、电子邮件和账户详情。我们无法确切说出ScarlettGroup持有什么，该团伙的声明也未经过独立验证。但此类暴露带来的现实消费者风险是众所周知的：
- 定向钓鱼。 诈骗者可以利用真实的业务关系使信息看起来合法。
- 凭据重用攻击。 如果密码被泄露而你重复使用，其他账户就会变得脆弱。
- 冒充和欺诈。 个人详细信息可以帮助他人向银行、运营商或客服冒充你。
这一切都不是恐慌的理由。而是尽早行动的理由，因为收紧账户安全的成本与欺诈发生后的清理相比微不足道。
降低暴露风险的步骤
你无法控制你使用的公司是否被入侵。你可以控制被盗数据能造成多大损害。
- 检查你是否受影响。 留意你打过交道的公司发出的通知，并通过信誉良好的泄露通知服务检查你的电子邮件。
- 使用唯一密码。 密码管理器使这变得可行。如果一个网站泄露了你的密码，其他网站仍然安全。
- 开启多因素认证。 尽可能优先使用身份验证器应用或硬件密钥，而非短信。
- 对意外消息保持怀疑。 如果一封电子邮件或短信提到你未曾预期的车辆购买、经销商或图书订单，请直接访问该公司官方网站，而不是点击链接。
- 关注你的金融账户。 查看对账单，如果敏感标识符可能已暴露，考虑冻结信用。
- 保持软件更新。 这限制了攻击者利用所获访问权限能做的事情。
VPN可以保护你在不可信网络上的流量，但对已存储在公司服务器上的数据毫无作用。账户卫生才是这里更相关的防御措施。
底线
ScarlettGroup数据勒索团伙仍在发展之中，关于其方法和影响范围的许多信息尚未确认。明确的是其模式：窃取数据，公开列出受害者，并利用发布威胁作为筹码。这使普通客户处于火线之中。
首先检查你是否与任何被点名的组织有业务往来，然后收紧你的密码并启用多因素认证。有关具体条目的详细信息，请阅读我们关于VinSolutions入侵声明和耶鲁大学出版社数据泄露声明的报道，并留意相关公司发布的官方通知。
