باج افزار شخصی می شود: «ما می دانیم که کجا هستید»

تیم بیزلی، مشاور ارشد واکنش به حوادث در سمپریس، در حال بررسی یک حمله سایبری مربوط به کولاک نیمه شب روسیه بود که بسته‌ای حاوی عروسک‌های تودرتو و سایر هدایای منطقه‌ای در آستان او ظاهر شد. در آن زمان، بیزلی به عنوان محقق اصلی تیم تشخیص و پاسخ مایکروسافت (DART) خدمت می کرد. او فرض کرد که این از گروهی است که به سرویس اطلاعات خارجی کرملین (SVR) مرتبط است، اگرچه فرستنده یادداشتی از خود باقی نگذاشته است. او به The Register گفت: «فقط سوغاتی های کوچک و چیزهای سبد هدیه از آن منطقه از جهان.

"ما می دانیم که شما کجا هستید. وقتی چنین چیزهایی را به دست می آورید واقعا چشم باز می شود." در حالی که نفوذهای دیجیتال با پیامدهای فیزیکی چیز جدیدی نیست، مجرمان سایبری در سال های اخیر به آسیب های واقعی زندگی و آسیب های روحی و جسمی روی آورده اند تا قربانیان را مجبور به پرداخت مطالبات اخاذی کنند. برخی از گروه ها حتی از جرایم سایبری به عنوان دروازه ای برای ورود به خشونت واقعی استفاده می کنند.

در طول تابستان، یوروپل و بازرسان شرکای آن، 4340 URL "وحشتناک" را برای حذف به عنوان بخشی از سرکوب مداوم The Com (مخفف جامعه)، یک شبکه ضعیف از گروه‌های آنلاین که اعضای جوان آن در طیفی از فعالیت‌های غیرقانونی از جمله هک، هک کردن، اخاذی دیجیتال، خشونت فیزیکی و سایر تیراندازی‌های واقعی شرکت می‌کنند، علامت‌گذاری کردند. بیزلی گفت: «ما خشونت را به‌عنوان یک سرویس استفاده شده دیدیم.

او همچنین حملات باج‌افزاری را که در آن مدیران C-suite تصاویر مدارس فرزندان خود را مستقیما از مجرمان سایبری دریافت می‌کنند، در تلاش برای اعمال فشار روانی برای پرداخت هزینه اخاذی، بررسی کرده است. بیزلی گفت: "من تهدیدهایی را دیده ام که خانواده افراد را شامل می شود، از طریق شناسایی رسانه های اجتماعی، و در دنیای ما بیشتر و بیشتر شما انتظار آن را دارید، که مایه تاسف است." این نوع ارعاب و آسیب روانی علیه کارکنان شرکت‌های قربانی در چند سال اخیر افزایش یافته است تا جایی که تقریبا رایج است.

بر اساس گزارش سالانه خطر باج افزار Semperis، سی و هفت درصد از حملات باج افزار شامل تهدیدات روانی یا فیزیکی علیه کارکنان بوده است. مطالعه جهانی 1200 سازمان پس از باج افزار که در نیمه اول سال انجام شد، نشان داد که مهاجمان با تهدید روانی (23 درصد) و تهدیدات فیزیکی (17 درصد) برای پرداخت مجبور به پرداخت هستند. آنها نه تنها مدیران و کارکنان، بلکه خانواده های قربانیان خود را نیز هدف قرار می دهند.

یک چهارم از این قربانیان Doxxing را تجربه کردند - ارسال اطلاعات شخصی افراد، مانند نام، آدرس خانه و محل کار، و شماره تلفن آنلاین - در حالی که 25 درصد دیگر مجبور بودند در پاسخ به عفونت های باج افزار به دنبال درمان روانی و/یا پزشکی باشند. تقریبا همین تعداد (24 درصد) تیم‌های امنیتی شخصی را استخدام کردند، در حالی که 23 درصد تماس‌های swatting را تجربه کردند - این زمانی است که مهاجمان با خدمات اضطراری تماس می‌گیرند و یک حادثه ساختگی مانند بمب یا تهدید تیراندازی فعال را گزارش می‌کنند تا پاسخی مسلحانه ایجاد کند.

علاوه بر این، بیش از نیمی (53 درصد) از پاسخ دهندگان گزارش دادند که مهاجمان باج افزار در سال گذشته تهدیدات را انجام داده اند. برخی از این تهدیدات گزارش شده توسط کارکنان سازمان‌های باج‌گیری شده عبارتند از: پیام‌ها، نامه‌ها یا بسته‌های تهدیدآمیز: 57 درصد تهدید علیه خانواده یا دوستان: 37 درصد نفوذ فیزیکی: 19 درصد آدم‌ربایی: 17 درصد آسیب بدنی: 13 درصد تعقیب: 6 درصد. بیزلی گفت: «این گروه‌های شناخته شده‌تر هستند» که از تهدیدات روانی و فیزیکی برای وادار کردن پرداخت‌ها استفاده می‌کنند.

من Scattered Spider را دیده‌ام، ShinyHunters را دیده‌ام، Lapsus$ را دیده‌ام. با توجه به ارزش آن، ShinyHunters در یک مصاحبه اختصاصی با The Register ادعا کرد که آنها "به انسان ها حمله نمی کنند." با این حال، آنها اعتراف کردند که «در کارهایی که انجام می‌دهیم، گاهی اوقات مجبور می‌شویم شرکت را به حد مطلق برسانیم تا آنها را روی میز بگذاریم». بیزلی گفت که نکته مهم این گزارش برای مدافعان و مدیران این است که "در موضع خود بایستند". «زیر فشار کمان نخورید و فقط بدانید که می‌دانید مشکلی نیست.

اگر احساس می کنید تحت فشار هستید، به هر طریقی مجری قانون را درگیر کنید. از تماس گرفتن با پلیس نترسید. از اینکه اف بی آی را زودتر درگیر کنید نترسید. و به آنها پول ندهید.» این آخرین توصیه مهم است، زیرا پس از پرداخت، آنها برای دریافت بیشتر برمی گردند. گزارش Semperis نشان داد که 69 درصد از قربانیان باج‌افزار مورد بررسی، چندین بار در 12 ماه گذشته هدف قرار گرفته‌اند و 31 درصد چندین بار به مهاجمان پرداخت کرده‌اند. بیزلی گفت: «هیچ چیزی پرداخت نکنید. "هرگز به آنها پول ندهید."