Ransomware leak sites: vad en uppgift betyder, och vad ni gör

De flesta ransomwaregrupper stjäl i dag data innan de krypterar, och många driver en öppen webbplats där de pekar ut de organisationer de säger sig ha angripit. Uppgifterna läses av journalister, forskare, försäkringsbolag och allt oftare av kunder som granskar sina leverantörer.

Den här guiden förklarar vad en sådan uppgift är och inte är, hur uppgifterna samlas in och kopplas till en organisation, var kopplingen kan bli fel och vad ni gör om er organisation finns med. Den är inte juridisk rådgivning. Hanterar ni en incident just nu, ta först in er incidentresponsleverantör och juridisk rådgivning, och läs det här senare.

Vad en uppgift på en leak site är

En leak site är en webbplats som drivs av en ransomwaregrupp, oftast bara nåbar via Tor. När ett offer inte betalar, eller för att öka pressen under en förhandling, publicerar gruppen offrets namn, ofta med en nedräkning, en beskrivning av de data gruppen säger sig ha och några provfiler. När tiden gått ut kan gruppen publicera materialet.

En sådan post är ett påstående från en kriminell grupp. Den stämmer oftast, men inte alltid:

• Den stämmer oftast, eftersom en grupp som pekar ut offer den aldrig har angripit förlorar den trovärdighet som utpressningen bygger på.
• Den kan vara fel eller missvisande. Grupper publicerar gamla incidenter på nytt, påstår sig ha data som egentligen kommer från ett tidigare intrång eller från en leverantör, överdriver vad de har tagit eller pekar ut ett moderbolag när det var ett dotterbolag som drabbades. Vissa grupper har publicerat påhittade uppgifter för att verka mer aktiva.

Alla angrepp hamnar inte på en leak site. Offer som betalar, eller som fortfarande förhandlar, publiceras ofta inte. Att det inte finns någon uppgift bevisar inte att ingenting har hänt.

Varför försäkringsbolag och kunder bryr sig

En uppgift på en leak site är en av få signaler om en tidigare incident som vem som helst kan se utifrån:

• Försäkringsbolag och mäklare ser den som ett tecken på att ett intrång har lyckats, och frågar vad som har ändrats sedan dess. Räkna med frågor om hur angriparen tog sig in, om den vägen är stängd och om backuper och behörigheter har förbättrats.
• Kunder och inköpare som bedömer sina leverantörer frågar om deras egna data berördes, och om ni berättade det i tid.
• Tillsynsmyndigheter kan fråga om incidenten anmäldes där den skulle.

Uppgiften avgör inte de samtalen, men den sätter i gång dem. Det är bättre att känna till den, och ha svaren klara, innan någon annan tar upp den.

Hur uppgifterna bevakas

Leak sites flyttar, försvinner och byter format ofta, så de flesta följer dem via bevakningstjänster: tjänster som besöker sidorna, registrerar varje post med gruppnamn och datum och publicerar listan. Två oberoende exempel är ransomware.live och RansomLook. Båda är öppna.

Att använda två tjänster spelar roll. Var och en missar poster som den andra fångar, och när båda oberoende av varandra har registrerat samma post är uppgiften bekräftad från två håll. TrustSek söker i båda och slår ihop en post som finns i båda till en uppgift, så att den aldrig räknas två gånger.

Felträffar och namnförväxlingar

Att koppla en post på en leak site till en verklig organisation är svårare än det ser ut. Offer anges på olika sätt: fullständigt företagsnamn, handelsnamn, domän, varumärke och ibland med stavfel. Vanliga problem:

• Samma namn. Många företag i olika länder har samma namn, eller namn som bara skiljer sig i bolagsformen. En post om ett företag utomlands kan se ut som en uppgift om ert.
• Närstående bolag. En post kan peka ut ett koncernbolag, en tidigare ägare eller en leverantör som hade era data, snarare än er organisation.
• Andra företag i texten. Poster nämner ofta offrets kunder eller partner. Att nämnas är inte att pekas ut.
• Handelsnamn. Ett offer som publiceras under ett varumärke som matchningen inte känner till missas helt.

TrustSek matchar försiktigt. Ett organisationsnamn jämförs bara med offrets namn eller postens rubrik, aldrig med den fria texten, eftersom beskrivningarna ofta nämner andra företag. Domänen matchas också. Avvägningen är medveten: färre felträffar, till priset av att ett offer som publicerats under ett okänt namn ibland missas.

Ser ni en uppgift som verkar gälla er, kontrollera själva posten hos bevakningstjänsten: gruppen, datumet, domänen, det land och den bransch som anges och eventuella filnamn i provmaterialet. Tror ni att TrustSek har kopplat er organisation felaktigt, skriv till support@trustsek.com med detaljerna.

Om er organisation nämns

Behåll lugnet och ta det i ordning. En uppgift kan vara dagar eller veckor gammal när ni ser den, så den första frågan är om ni redan känner till incidenten.

Är den ny för er, behandla den som en pågående incident.

1. Starta er incidentresponsplan och ta in er incidentresponsleverantör. Har ni en cyberförsäkring anger villkoren ofta vilka leverantörer ni ska använda och hur snabbt försäkringsbolaget ska underrättas, så läs dem och kontakta försäkringsbolaget eller mäklaren tidigt.
2. Säkra bevis innan ni städar upp: loggar, drabbade system, själva posten och när den publicerades. Låt er incidentrespons hämta posten och eventuellt publicerat material; att själv ladda ner läckta data kan skapa egna juridiska och säkerhetsmässiga problem.
3. Hitta vägen in och stäng den. En uppgift betyder oftast att data har lämnat ert nät. Att återställa från backup ändrar inte det, och samma åtkomst säljs ofta vidare till andra grupper. Byt inloggningsuppgifter, se över fjärråtkomst och leta efter bakdörrar som angriparen kan ha lämnat.
4. Polisanmäl brottet.
5. Låt incidentresponsen och juristerna sköta all kontakt med gruppen. Beslut om kontakt med gruppen, eller om betalning, har juridiska följder, bland annat kopplade till sanktioner, och ska inte fattas av en enskild person.

Ta in juridisk rådgivning och ert dataskyddsombud tidigt, eftersom tidsfristerna för anmälan redan kan ha börjat löpa:

• Personuppgifter (dataskyddsförordningen). Kan personuppgifter ha kommits åt eller förts ut, ska den personuppgiftsansvarige anmäla incidenten till tillsynsmyndigheten utan onödigt dröjsmål och, om möjligt, inom 72 timmar från att ha fått vetskap om den, om det inte är osannolikt att den medför en risk för människors fri- och rättigheter (artikel 33). I Sverige anmäler ni till Integritetsskyddsmyndigheten, IMY. Är risken för de registrerade hög, ska de också informeras (artikel 34). Alla personuppgiftsincidenter ska dokumenteras, även de som inte anmäls.
• Cybersäkerhetslagen. Organisationer som omfattas av NIS2, i Sverige genom cybersäkerhetslagen, har separata skyldigheter att rapportera betydande incidenter, med en första tidig varning inom 24 timmar (NIS2, artikel 23). Läs mer under NIS2 och cybersäkerhetslagen.
• Avtal. Kundavtal och personuppgiftsbiträdesavtal kräver ofta att ni informerar kunderna inom en viss tid. Behandlar ni data åt andra, underrätta dem utan onödigt dröjsmål så att de kan uppfylla sina egna skyldigheter.

Förbered vad ni ska säga. Kunder, medarbetare och kanske media kommer att fråga. Berätta vad ni vet, vad ni gör och när ni återkommer. Spekulera inte i vad angriparna påstår.

Är det en känd tidigare incident, se till att det finns dokumentation om vad som gjordes: hur angriparen kom in, att vägen är stängd och vilka anmälningar som gjordes och när. Det är vad ett försäkringsbolag eller en kund frågar efter när de ser uppgiften.

Så rapporterar TrustSek detta

Modulen ransomware-exponering söker efter organisationens namn och domän i de två bevakningstjänsterna vid varje kontroll. Det är en avläsning vid ett enda tillfälle. Det här rapporterar en kontroll:

Fynden står på engelska, så som TrustSek rapporterar dem i dag.

En färsk uppgift är allvarlig nog att på egen hand sätta en lägsta poäng, i nivån Hög eller högre, oavsett hur resten av domänen ser ut. Fyndet anger hur många bevakningstjänster som registrerade uppgiften och, när uppgifterna finns, vilken grupp som publicerade den och hur många separata incidenter som hittades. Konfidensen är högst när båda tjänsterna är överens, och lägre när bara en av dem har posten eller när namnträffen är svagare. En uppgift ligger kvar eftersom incidenten har inträffat. Allvarlighetsgraden sjunker när den senaste posten är mer än 12 månader gammal; att åtgärda orsaken tar inte bort den, och därför spelar dokumentationen av vad ni gjorde roll.

Varje bevakningstjänst avslutar en kontroll med ett av lägena Träff, Ingen träff, Misslyckades eller Ej kontrollerad. Bara Ingen träff hos båda betyder att ingen av dem har en matchande post, och inte ens då bevisar det, som ovan, att inget angrepp har skett. Metoden förklarar hur allvarlighetsgrad, konfidens och lägsta poäng fungerar.

Kontrollera om er organisation finns på en leak site

Se vad de två bevakningstjänsterna har om er organisation i dag, tillsammans med e-postsäkerhet, TLS och resten av bedömningen utifrån.

Er domän

Kontrollera er domän

Gratis, inget konto behövs. Tar ungefär 30 sekunder.