Атаки программ-вымогателей по-прежнему остаются одним из самых распространенных методов киберпреступлений. Как показывают последние аналитические данные, киберпреступные группировки все чаще угрожают своим жертвам доносами в надзорные органы о нарушениях таких регламентов, как GDPR (Общий регламент по защите данных).
Так, исследователи из компании Akamai уже в течение последних двух лет фиксируют растущую тенденцию применения этой тактики. В качестве примера специалисты по безопасности приводят группу, занимающуюся вымогательством, под названием Anubis. Утверждается, что ее участники в основном нацеливаются на отрасли с высокими рисками несоблюдения нормативных требований, такие как здравоохранение. Известная группировка Ransomhub также использует этот метод. Сообщается, что ее члены прямо поощряли своих партнеров угрожать взломанным компаниям регуляторными штрафами.
Последствия для компаний
«Это ставит компании под двойное давление, справиться с которым крайне сложно», — поясняет в интервью CSO Клаус Хильд, менеджер по разработке решений для корпоративного сектора в SailPoint. Им приходится выбирать между уплатой выкупа и потенциально разорительными штрафами, а также потерей репутации. «Это «комплаенс-шантаж» — это больше не теоретическая угроза, а стандартная практика картелей, занимающихся программами-вымогателями», — добавляет эксперт.
Тим Бергхоф, эксперт по безопасности из G DATA, в ответ на запрос CSO подтверждает, что с технической точки зрения такой подход является лишь дополнением к «общепринятому» двойному вымогательству, но может иметь колоссальные последствия. «Даже если поданное заявление окажется безосновательным. Расследования, инициированные ведомствами, привлекают внимание, связывают ресурсы и потенциально становятся достоянием общественности».
ИИ усиливает атаки
Хильд указывает на еще одну проблему: «Инструменты на базе искусственного интеллекта (ИИ) драматически ускоряют эти атаки. Сегодня злоумышленники могут в течение нескольких часов после кражи данных просканировать украденные документы на предмет «материальных» нарушений комплаенса — быстрее и точнее, чем многие компании успевают провести аудит собственных систем».
Специалист SailPoint продолжает: «Они готовят подробные, юридически обоснованные жалобы для регуляторов и устанавливают жесткие сроки. С появлением новых нормативных актов, таких как DORA в ЕС и ужесточением требований SEC к отчетности, арсенал этих шантажистов постоянно растет».
Бергхофф резюмирует: «Остается вопрос, что для компаний обернется менее плачевными последствиями: добровольное сообщение о нарушениях или анонимный донос в компетентный орган от преступной группы. Поскольку во многих областях до сих пор сохраняется значительная неопределенность в вопросах комплаенса, угрозы обращения в госорганы находят здесь потенциально благодатную почву».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Julia Mutzbauer
