Un caz recent documentat de Ransom-ISAC ridică semne serioase de întrebare cu privire la natura atacurilor de tip extorcare a datelor și la modul în care organizațiile publice gestionează astfel de incidente. O entitate guvernamentală din Statele Unite a plătit aproximativ un milion de dolari unui grup denumit Kairos pentru a împiedica publicarea unor fișiere furate. Cazul a fost analizat în detaliu de cercetătorul Rakesh Krishnan, pe baza unui jurnal de negociere divulgat și a traseului tranzacțiilor pe blockchain.
Ceea ce face acest incident remarcabil din punct de vedere tehnic și criminalistic este că grupul Kairos nu pare să fie o organizație clasică de tip ransomware. Krishnan nu a identificat nicio dovadă că atacatorii ar fi criptat vreodată sisteme informatice ale victimei. Modelul lor de operare se concentrează exclusiv pe exfiltrarea datelor și pe amenințarea cu publicarea acestora, o tactică denumită în literatura de specialitate drept extorcare pură sau data-theft extortion, fără componenta de blocare a accesului la date.
Analiza blockchain a permis cercetătorilor să urmărească plata în criptomonedă efectuată de entitatea guvernamentală, confirmând astfel că tranzacția a avut loc și că suma ajunsă la atacatori este semnificativă. Jurnalul de negociere divulgat oferă o perspectivă rară asupra modului în care astfel de discuții se desfășoară în practică, evidențiind presiunea psihologică exercitată de atacatori și vulnerabilitatea instituțiilor publice în fața unor astfel de scenarii, mai ales atunci când datele compromise pot afecta securitatea națională sau confidențialitatea cetățenilor.
Acest caz subliniază o tendință îngrijorătoare în peisajul amenințărilor cibernetice: grupurile criminale nu mai au nevoie să implementeze ransomware pentru a genera venituri substanțiale. Simpla posesie a unor date sensibile, combinată cu o strategie de negociere bine pusă la punct, poate fi suficientă pentru a determina o organizație să plătească sume considerabile. Această abordare este mai dificil de detectat și de atribuit, deoarece nu lasă urme vizibile în rețea precum procesele de criptare.
Pentru organizațiile publice și private din România, acest incident oferă o lecție directă și aplicabilă. Instituțiile care procesează date sensibile, fie că este vorba de date personale ale cetățenilor, informații financiare sau date cu caracter strategic, trebuie să investească nu doar în prevenirea accesului neautorizat, ci și în capacitatea de a detecta exfiltrarea datelor în timp real. Implementarea unor soluții DLP (Data Loss Prevention), monitorizarea atentă a traficului de rețea și realizarea unor audituri periodice de securitate sunt măsuri esențiale. Mai mult, existența unui plan de răspuns la incident care să includă scenarii de extorcare fără ransomware devine o necesitate stringentă, nu un opțional, în strategia de securitate cibernetică a oricărei organizații responsabile.