Ransom Εγκεκριμένο: 5 Δημόσιες Εταιρείες που Πλήρωσαν τους Κυβερνοεπιτιθέμενους

Ο αριθμός των οργανισμών που αντιμετωπίζουν μια επίθεση ransomware αυξάνεται. Σύμφωνα με τη Sophos, 59% των οργανισμών αντιμετώπισαν μία το 2024 και η πλειονότητά τους (70%) οδήγησε σε κρυπτογράφηση δεδομένων.

Δεν αυξάνεται μόνο ο αριθμός των επιθέσεων ransomware, αλλά και το ποσό των πληρωμών. Η μέση πληρωμή ransomware ήταν λιγότερο από $200k το 2023, η οποία αυξήθηκε κατά 650% σε $1.5 million σε περίπου ένα χρόνο, σύμφωνα με τα δεδομένα της IBM.

Αναμένεται ότι αυτές οι επιθέσεις θα κοστίσουν $275 billion σε παγκόσμιες ζημιές ετησίως μέχρι το 2031. Λοιπόν, τι είναι οι επιθέσεις ransomware;

Το ransomware είναι ένας τύπος κακόβουλου λογισμικού, σχεδιασμένος να εμποδίζει την πρόσβαση ενός οργανισμού στο σύστημά του ή να κρυπτογραφεί τα δεδομένα του. 

Για να το πετύχουν, οι επιτιθέμενοι μολύνουν ένα σύστημα με ιό, τον οποίο χρησιμοποιούν για να στέλνουν phishing email που μπορεί να περιέχουν κακόβουλο σύνδεσμο ή να κλέψουν τα διαπιστευτήρια σύνδεσης ενός υπαλλήλου, ώστε να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση στο εταιρικό δίκτυο. 

Σε αντάλλαγμα για κλειδιά αποκρυπτογράφησης ή επαναφορά πρόσβασης στο σύστημα, οι κυβερνοεγκληματίες απαιτούν λύτρα από τα θύματα. Οι οργανισμοί βρίσκονται σε δύσκολη θέση, όπου η πληρωμή των λύτρων φαίνεται η πιο απλή και οικονομικά αποδοτική λύση για την επαναφορά της πρόσβασης. 

Ορισμένες παραλλαγές ransomware έχουν προσθέσει λειτουργίες όπως κλοπή δεδομένων, προσφέροντας ακόμη ένα κίνητρο για την πληρωμή των λύτρων. Ωστόσο, σε ορισμένες υψηλού προφίλ περιπτώσεις, η πληρωμή των λύτρων μπορεί στην πραγματικότητα να είναι η λιγότερο επιζήμια επιλογή, παρά τους κινδύνους.

Εταιρείες που Πλήρωσαν Λύτρα για την Προστασία των Πελατών τους

Αν και η αποδοχή των απαιτήσεων των επιτιθέμενων και η πληρωμή λύτρων δεν είναι ο ιδανικός τρόπος αντιμετώπισης των κυβερνοεγκλημάτων, καθώς δεν εγγυάται την ασφαλή επιστροφή των κλεμμένων δεδομένων ή την αποκατάσταση των λειτουργιών της οντότητας, και ενθαρρύνει περαιτέρω κυβερνοεπιθέσεις, μερικές φορές δεν υπάρχει άλλη επιλογή παρά να προστατεύσετε την επιχείρηση και τους πελάτες.

Με αυτό, ας ρίξουμε μια ματιά σε μερικές από τις πιο υψηλού προφίλ περιπτώσεις κυβερνοεγκλήματος όπου οι εταιρείες πλήρωσαν το λύτρο και τι συνέβη μετά.

1. CNA Financial Corp (CNA )

Μία από τις μεγαλύτερες ασφαλιστικές εταιρείες στις ΗΠΑ, CNA Finance Corp., έγινε θύμα επίθεσης ransomware τον Μάρτιο του 2021. Πλήρωσε λύτρα ύψους $40 million σε Bitcoin (BTC), την μεγαλύτερη γνωστή πληρωμή ransomware ποτέ, για να επανακτήσει τον έλεγχο μετά το κλείδωμα των συστημάτων της για δύο εβδομάδες.

Η επίθεση προήλθε από μια ομάδα κυβερνοεγκληματιών που ονομάζεται Phoenix, η οποία αρχικά ζήτησε λύτρα για 999 BTC (περίπου $55 million τη στιγμή) πριν τα αυξήσει σε 1099 BTC, δηλώνοντας:

“Χαραμάζουμε χρόνο. Το κόστος αυξήθηκε.”

Οι επιτιθέμενοι ισχυρίστηκαν ότι τα δεδομένα που είχαν ήταν σημαντικά και ότι “Θα έχει σοβαρές συνέπειες αν διαρρεύσει.” Τα λύτρα ζητήθηκαν ως αντάλλαγμα για μη δημοσιοποίηση της κλοπής, επιστροφή των δεδομένων, διαγραφή των αντιγράφων των κλεμμένων δεδομένων και αποκατάσταση όλων.

Αλλά πώς ακριβώς συνέβη η παραβίαση; Λοιπόν, οφείλεται σε μια μικρή αδυναμία ασφαλείας που οδήγησε σε τόσο σοβαρό περιστατικό. Οι επιτιθέμενοι έπεισαν έναν μόνο υπάλληλο της CNA να αποδεχθεί μια ψεύτικη ενημέρωση προγράμματος περιήγησης. Στη συνέχεια ενεργοποίησαν γρήγορα την απενεργοποίηση του συστήματος, και η επίθεση δεν μπόρεσε να ανιχνευθεί άμεσα. 

Πραγματικά, χρειάστηκαν μερικές εβδομάδες στη CNA για να ανακαλύψει ότι είχε παραβιαστεί. Κατά τη διάρκεια αυτού του χρόνου, οι επιτιθέμενοι έκλεψαν δεδομένα πελατών και κλείδωσαν τη CNA από το δίκτυό της.

Η εταιρεία δεν παρείχε ενημέρωση ούτε, μέχρι μια εβδομάδα μετά την επίθεση. Στη συνέχεια δημοσίευσε μια ενημέρωση εξηγώντας ότι η επίθεση είχε περιοριστεί και ότι εργάζονταν για την επαναφορά των κανονικών επιχειρηματικών λειτουργιών. Δύο εβδομάδες αργότερα, αποκαλύφθηκε ότι εργαλεία ανίχνευσης και παρακολούθησης άκρων είχαν αναπτυχθεί ως μέρος της διαδικασίας αποκατάστασης.

Δύο μήνες μετά την επίθεση, η CNA δημοσίευσε την αναφορά περιστατικού, στην οποία σημείωσε ότι δεν ήταν στοχευμένη επίθεση. Και όταν ανίχνευσε το ransomware, η εταιρεία αποσύνδεσε τα συστήματά της από το δίκτυο για να εμποδίσει τη διάδοση της απειλής.

Μερικούς μήνες μετά, ο ασφαλιστής ανακοίνωσε ότι η έρευνά του είχε ολοκληρωθεί, αποκαλύπτοντας ότι ο δράστης αντιγράφει πληροφορίες πριν αναπτύξει το ransomware, αλλά ότι ανέκτησαν τις πληροφορίες γρήγορα και δεν έχουν “κανένα λόγο να υποψιαστούμε ότι οι πληροφορίες έχουν ή θα χρησιμοποιηθούν λανθασμένα.”

Η ασφαλιστική holding εταιρεία με έδρα το Σικάγο επίσης συμβούλευσε την κυβέρνηση, συμπεριλαμβανομένου του FBI και του Office of Foreign Assets Control (OFAC), σχετικά με την επίθεση. Σε δήλωση, είπε, “Η CNA ακολούθησε όλους τους νόμους, κανονισμούς και δημοσιευμένες οδηγίες, συμπεριλαμβανομένης της οδηγίας ransomware του OFAC του 2020, στη διαχείριση αυτού του ζητήματος,” αλλά δεν σχολίασε τα λύτρα.

Σύμφωνα με αυτή την οδηγία, η υπηρεσία θα μπορούσε να επιβάλει πολιτικές ποινές σε άτομα των ΗΠΑ που πραγματοποιούν πληρωμές σε απαγορευμένες οντότητες.

Η έρευνα της εταιρείας αποκάλυψε ότι μια ομάδα απειλών που ονομάζεται Phoenix χρησιμοποίησε το ransomware Phoenix Cryptolocker για να επιτεθεί στο δίκτυό της. Τότε, η ομάδα δεν υπόκειται σε κυρώσεις των ΗΠΑ.

Η CNA είναι εταιρεία με κεφαλαιοποίηση $13 δισεκατομμυρίων, των μετοχών της, όπως γράφεται, διαπραγματεύονται στα $48.16, μειωμένες κατά 0.43% από την αρχή του έτους (YTD) αλλά αυξημένες κατά 32.27% τα τελευταία δύο χρόνια. Με αυτά, τα κέρδη ανά μετοχή (EPS) των τελευταίων δώδεκα μηνών (TTM) είναι 3.28, το P/E (TTM) είναι 14.67, και το ROE (TTM) είναι 8.98%. Οι μέτοχοι της CNA απολαμβάνουν επίσης μια αξιοπρεπή απόδοση μερίσματος 3.82%.

Τα πρόσφατα οικονομικά του τριμήνου δείχνουν καθαρό εισόδημα $274 million και βασικό εισόδημα $281 million.

2. Caesars Entertainment (CZR )

Η εταιρεία καζίνο-ψυχαγωγίας πλήρωσε $15 million ως λύτρα σε μια ομάδα κυβερνοεγκλήματος που ονομάζεται Scattered Spider, τον ίδιο δράστη που κατέστρεψε το σύστημα υπολογιστών της MGM λίγες ημέρες μετά την παραλαβή των λύτρων από την Caesars Entertainment. Οι επιτιθέμενοι ζήτησαν επίσης λύτρα από τη MGM, αλλά αυτή δεν πλήρωσε.

Στην περίπτωση της Caesars, όπως αναφέρεται σε μια καταχώρηση με την U.S. Securities and Exchange Commission (SEC), οι επιτιθέμενοι ζήτησαν λύτρα $30 million, αλλά η εταιρεία συμφώνησε να πληρώσει μόνο το ήμισυ, το οποίο καλύφθηκε εν μέρει από τις πολιτικές κυβερνοασφάλισης της εταιρείας. Η εταιρεία δεν προέβλεψε ότι η πληρωμή ή οι συνέπειες θα είχαν ουσιαστικό αντίκτυπο στα κέρδη της.

Η επίθεση συνέβη στα μέσα Αυγούστου 2023 και πραγματοποιήθηκε από το Scattered Spider, επίσης γνωστό ως UNC3944 ή Roasted 0ktapus. Η ομάδα, που αποτελείται από νέους χάκερς με έδρα τις ΗΠΑ και το Ηνωμένο Βασίλειο, εξειδικευμένους στην κοινωνική μηχανική, έχει συνδεθεί με επιθέσεις σε άλλες εταιρείες, όπως Cloudflare, Twilio, και Okta.

Για να στοχεύσουν την Caesars, οι χάκερς πρώτα παραβίασαν έναν εξωτερικό προμηθευτή IT. Για αυτό, οι επιτιθέμενοι προσποιήθηκαν ότι ήταν υπάλληλος της Caesars και έπεισαν τον προμηθευτή να παρέχει διαπιστευτήρια σύνδεσης στο Okta, τον πάροχο διαχείρισης πρόσβασης της Caesars.

Αυτό έδωσε στους κυβερνοεγκληματίες μη εξουσιοδοτημένη πρόσβαση στο δίκτυο του γιγαντιαίου ξενοδοχείου και καζίνο. Στη συνέχεια έκλεψαν τα δεδομένα των μελών του προγράμματος πιστότητας της Caesars, που περιλάμβαναν άδειες οδήγησης και αριθμούς κοινωνικής ασφάλισης, πριν αναπτύξουν το ransomware BlackCat/ALPHV. Η εταιρεία δήλωσε ότι δεν υπήρχαν αποδείξεις ότι οι επιτιθέμενοι πρόσβαση σε PIN, κωδικούς πρόσβασης, τραπεζικούς λογαριασμούς ή δεδομένα κάρτας πληρωμής.

Η Reuters, εν τω μεταξύ, ανέφερε ότι η ομάδα hacking Scattered Spider δηλώνει ότι πήρε έξι τεραμπάιτ δεδομένων από τα συστήματα της Caesars και της MGM.

“Έχουμε λάβει μέτρα για να διασφαλίσουμε ότι τα κλεμμένα δεδομένα διαγράφονται από τον μη εξουσιοδοτημένο δράστη, αν και δεν μπορούμε να εγγυηθούμε αυτό το αποτέλεσμα.”

– Η Caesars δήλωσε στην καταχώρηση

Ενώ η εταιρεία δεν αποκάλυψε πόσοι πελάτες επηρεάστηκαν, η καταχώρηση ανέφερε λίγο κάτω από 42.000 άτομα που επηρεάστηκαν. Τότε, η Bloomberg ανέφερε ότι η Caesars πλήρωσε τα λύτρα μετά την επίθεση της ομάδας και την απειλή δημοσίευσης των δεδομένων της εταιρείας.

Μέχρι τα τέλη Σεπτεμβρίου, η εταιρεία είχε επαναφέρει τις κανονικές λειτουργίες. Ωστόσο, μετά το γεγονός, η Caesars αντιμετώπισε οικονομικές και φήμης ζημιές καθώς και πολλαπλές αγωγές συλλογικής δράσης που κατηγορούσαν την εταιρεία για αμέλεια και αδικαιολόγητο κέρδος λόγω της αποτυχίας προστασίας των προσωπικών δεδομένων των πελατών της.

Με κεφαλαιοποίηση λίγο πάνω από $6 δισεκατομμύρια, οι μετοχές CZR διαπραγματεύονται αυτή τη στιγμή στα $29.41, μειωμένες κατά 12% φέτος μέχρι τώρα. Οι τιμές των μετοχών της είναι επίσης μακριά από το κορυφαίο επίπεδο του 2021 περίπου $119. Το EPS (TTM) είναι -1.10, και το P/E (TTM) είναι -26.80.

Όσον αφορά τα οικονομικά της εταιρείας, τα καθαρά έσοδα GAAP για το Q1 2025 ανήλθαν σε $2.8 δισεκατομμύρια και το Adjusted EBITDA αυξήθηκε κατά 4% YoY σε $43 million “driven by significant gains” στο Digital τμήμα της.

3. Blackbaud Inc. (BLKB )

Το 2020, κυβερνοεγκληματίες διείσδυσαν στους διακομιστές της Blackbaud, μιας εταιρείας που παρέχει λογισμικό για μη κερδοσκοπικούς οργανισμούς και εκπαιδευτικά ιδρύματα, παραβιάζοντας τα δεδομένα περισσότερων από 13,000 οργανισμών. Η εταιρεία με έδρα τη South Carolina πλήρωσε λύτρα $235,000 σε BTC στους χάκερς με την υπόσχεση διαγραφής των προσωπικών δεδομένων των πελατών.

Η κυβερνοεπίθεση συνέβη τον Φεβρουάριο