'Amerikaanse hotelketen Caesars betaalde miljoenen aan hackers die data stalen'

Caesars Entertainment, een Amerikaanse keten van hotels en casino's, heeft mogelijk 'tientallen miljoenen' betaald aan ransomwaregroep Scattered Spider. Dat meldt persbureau Bloomberg. Hackers zouden gedreigd hebben om data van het bedrijf te publiceren.

Caesars Entertainment zou sinds eind augustus het doelwit zijn geweest van Scattered Spider, dat ook bekendstaat als UNC 3944. De groep wist via social engineering toegang te krijgen tot de netwerken van het bedrijf. Ze kreeg volgens Bloomberg toegang tot het netwerk van een externe leverancier voordat ze toegang kreeg tot de netwerken van Caesars Entertainment zelf.

Scattered Spider zou gedreigd hebben om gegevens van Caesars Entertainment online te zetten. Het bedrijf betaalde de cybercriminelen daarop 'tientallen miljoenen dollars', melden ingewijden aan het persbureau. Volgens The Wall Street Journal betaalde het bedrijf 'ongeveer de helft van de geëiste 30 miljoen dollar aan losgeld'.

Caesars heeft het datalek inmiddels bevestigd. Volgens de keten hebben de hackers via social engineering onder meer gegevens verkregen uit de database van zijn loyaliteitsprogramma. Daaronder vallen bijvoorbeeld rijbewijsnummers en mogelijk burgerservicenummers van 'een aanzienlijk aantal leden in de database'. Het bedrijf heeft geen aanwijzingen gezien dat er ook wachtwoorden, bankrekeninginformatie of betaalkaartinformatie van leden zijn verkregen.

Caesars heeft naar eigen zeggen 'stappen ondernomen om ervoor te zorgen dat de onbevoegde partij de gestolen gegevens verwijdert'. Daarmee lijkt het bedrijf te bevestigen dat het losgeld heeft betaald, hoewel dat niet concreet wordt genoemd. Het bedrijf zegt niet te kunnen garanderen dat de gegevens daadwerkelijk zijn verwijderd.

Een andere casinogroep, MGM Resorts International, kondigde eerder deze week aan te zijn gehackt. Daardoor lagen systemen van dat bedrijf plat, waaronder de gokmachines in zijn casino's en de boekingssystemen voor zijn hotels en restaurants. Er waren ook problemen met de digitale kamersleutels en de e-mailadressen van het bedrijf. Op sociale media zijn beelden te zien van lege casino's met niet-werkende gokmachines.

Bronnen vertellen aan Reuters dat Scatterred Spider ook achter deze aanval op MGM zit, hoewel de ALPHV/BlackCat-ransomwaregroep inmiddels de verantwoordelijkheid heeft opgeëist. De FBI kondigde eerder aan onderzoek te doen naar deze cyberaanval.

Reacties (101)

[wildhagen]

En zo houdt je dit businessmodel van de hackers in stand: geringe pakkans, relatief weinig moeite voor de hackers, en bedrijven betalen in grote aantallen toch wel forse bedragen aan deze groeperingen.

Op deze manier zal deze vorm van hacken in de toekomst alleen maar vaker en heviger gaan voorkomen. Het is financieel immers een lucratief businessmodel.

[Blokker_1999]

Het blijft eenvoudig van te roepen dat men niet zou mogen betalen, altijd leuk als je vanaf de zijlijn kan roepen hoe het moet. Tot de dag dat je zelf getroffen wordt en de afweging moet maken. Dan is het ineens zo eenvoudig niet meer.

Er bestaat ook geen wonderoplossing voor, anders hadden we die al lang toegepast. We kunnen bedrijven verplichten van meer te investeren in security, maar op het einde van de dag bestaat er geen bescherming die je 100% garandeerd dat het nooit mis zal gaan.

En dit soort van criminaliteit bestaat al heel lang, en voor zover mij bekend is er geen sterke verhoging van het aantal gevallen over de jaren heen. De tijd dat je in het breed cryptolockers zag rondgaan lijkt zelfs gewoon voorbij te zijn. Vandaag is het meer en meer gerichte aanvallen. En die kosten vaak echt wel moeite, tijd en werk. En vaak genoeg mislukken ze ook, maar die enkele keren dat het lukt zijn voldoende om door te zetten.

[nopcode]

maar op het einde van de dag bestaat er geen bescherming die je 100% garandeerd dat het nooit mis zal gaan

Er is te weinig focus op recovery mogelijkheden.
Tijdens zoon afweging zou restoren via een decryptor van de hacker groep niet makkelijker moeten zijn dan eigen backups terug te zetten..

[Blokker_1999]

Decrypten zal bijna altijd eenvoudiger en sneller zijn. Vergeet niet dat ook je (recente) backups getroffen kunnen zijn en dat je mogelijks weken aan werk verliest en data verliest die niet zomaar meer te herstellen is.

Sowieso zal alles je veel geld en tijd kosten. Je moet jezelf er ook van vergewissen dat de hackers buiten zijn en dat alle systemen terug in een propere staat verkeren. Dat kost allemaal tijd en geld, maar hoe lang kan je IT stilliggen, hoeveel tijd kan je er in investeren. Er komt zoveel meer bij kijken dan alleen de afweging wat sneller te herstellen is.

[michaelkamen]

Deze hacker groepen maken gebruik van een tweetrapsraket.
Mocht je niet willen betalen (omdat je je backups op orde had, of de verloren data voor lief neemt) dan dreigen ze al je data online te zetten. Voor veel bedrijven is dat alsnog reden om te betalen.

[lulkoekje]

Er is wel een wonderoplossing. Maak het illegaal en strafbaar om dergelijke losgelden te betalen. Er zijn blijkbaar tal van personen slachtoffer geworden van deze datadiefstal en middels het betalen van losgeld wordt dat nu 'weggemoffeld' onder het tapijt.
Er is geen enkele garantie voor de echte slachtoffers dat hun data inderdaad nu niet naar buiten komt of elders onder de hamer gaat. Ja die 'oplossing' is cru, maar na een periode zal dat naar mijn ziens zijn vruchten af werpen.

[HuisRocker]

Slachtoffers via wetgeving ook maar criminelen maken (de makkelijke/populistische route, in werkelijkheid geen oplossing) is een zwaktebod van ongekende proporties...

Beste mensen; afpersing (digitaal of niet) bestaat al langer dan de jaartelling! Als het echt zo makkelijk was als
'maak de betalende slachtoffers strafbaar en ... 3, 2, 1 ... hele probleem opgelost'
dan zou afpersing als woord niet eens meer bestaan, laat staan dat iemand nog zou weten wat het ooit betekende.

[lulkoekje]

En toch kan het zo simpel werken. Niet in alle gevallen, maar afgeperst worden en daarin meegaan om zaken onder de pet te houden, is te belachelijk voor woorden. Want er is nul, noppes, nada aan garanties dat het niet alsnog via andere wegen gelekt wordt. En de redenatie van eer onder dieven, want het is hun verdienmodel, dat is pas een grap.
De slachtoffers zijn geregeld ook slachtoffer door eigen nalatigheid.
In dat soort gevallen zou verbod op betalen of minimaal dat een verzekeraar toedeloe tegen je zegt als je met een claim als dit aankomt een soort van rechtvaardig zijn en zal dat stimuleren om betere maatregelen te treffen. Leergeld..

[HuisRocker]

En toch kan het zo simpel werken.

Dat zeg ik:
"makkelijke/populistische route, in werkelijkheid geen oplossing"

Die komen er altijd als een probleem na duizenden jaren nog steeds geen oplossing heeft en het probleem weer een nieuwe vorm heeft aangenomen.

De 'maar dit is toch echt iets anders en daarom nu ineens wel simpel op te lossen' retoriek, die precies dat is en zal blijveb; retoriek zonder fatsoenlijke onderbouwing.

[lulkoekje]

Niets doen, dat is jouw devies?
De onderbouwing van die redenering staat er: pijnlijk in het begin maar na een periode zullen er bredere maatregelen getroffen worden door de bedrijven en instanties. Daarbij doel ik met deze oplossing op het onder de pet houden van gelekte data. Het vrijkopen van systemen of productielijnen welke stil staan door gijzeling is een ander verhaal. Maar ook daar zal een goede voorbereiding helpen. Een voorbereiding welke bedrijven nog al te vaak niet nemen vanwege de kosten. Maar achteraf hadden ze maar al te graag wat extra uitgegeven aan hun IT om zoiets te voorkomen. En als men op voorhand weet dat daar ook nog een boete van x bedrag op staat, zal men dan niet eerder geneigd zijn betere beveiligingsmaatregelen te treffen, ik denk oprecht van wel, bij de meeste partijen draait het toch om het geld.. En toegegeven losstaand is het geen oplossing maar een prikkel om je beter te wapenen wat dan weer zal bijdragen aan minder gevallen van datadiefstal.

[HuisRocker]

Niets doen heb ik niet geopperd hoor, waarom doe je net alsof dat mijn, of 'de enige andere', optie zou zijn?

Het is een heel oud en zeer lastig probleem, maar er zijn vast wel mogelijkheden ter verbetering. Dat is het punt dan ook niet! Wat het punt wel is; het verschil tussen ons is dat ik niet pretendeer een(/de) oplossing te hebben, en al helemaal geen simpele!

En 'wie claimt moet voldoende onderbouwen en/of bewijzen', en dit gaat veel verder dan een beetje opportunistisch giswerk...

[lulkoekje]

Fair enough, toegegeven is het credo oplossing of de oplossing hiervoor niet op zijn plaats.
Maar nochtans zou ik het niet als populistisch classificeren. En 1 wonderoplossing is er vooralsnog niet, maar er valt wel degelijk tegen te wapenen. Iets wat veelal vanuit financieel oogpunt wordt nagelaten. Het betreft hier een comment, niet een propedeuse onderzoek. Dus bewijs van mijn bewering welke onderbouwd dat veel bedrijven dit nalaten heb ik niet paraat. Dit heeft zijn fundament in jarenlange nieuwsvergaring uit tal van bronnen liggen. Is het dan per definitie de waarheid, vast niet, maar het schuurt er dicht genoeg tegenaan om te concluderen dat een financiele prikkel of risico positief kan bijdragen aan de actiegewilligheid van sommige bestuursleden. Een prikkel om verdere en ook prijzige maatregelen te treffen waar veel elende mee voorkomen kan worden. En dat de bestuurders van organisaties (met winstoogmerk) geprikkeld worden door financiën, dient dat echt bewezen te worden?
Dus ik geef je gelijk het is niet dé oplossing, maar kan er wel deel vanuit maken.

[RVervuurt]

Het probleem ligt hem imo in het feit dat, zelfs als je miljoenen betaalt om je database te unlocken, je er nooit 100% zeker van bent dat ze de data verwijderen of op een later moment toch openbaar maken.

[YellowCube]

wat zijn de tegenmaatregelen dan?
want het is kennelijk ook gewoon dweilen met de kraan open.

[bbr]

1: Niet betalen. (want dan beloon je de hackers, en geen garantie dat ze je helpen)
2: Dagelijkse backups (als er wat fout gaat, dat je snel weer in de lucht bent.)
3: Beter beveiligen. (virus scanners, firewalls, ip whitelistsing, en je netwerk door whitehats laten scannen op mogelijke issues, en je data encrypten zodat als ze iets stelen, ze er nog niks mee kunnen)

[Reactie gewijzigd door bbr op 22 juli 2024 14:24]

[Richard89]

punt 2 is fijn voor als je data encrypted is, maar als de hackers de data al in handen hebben, kun je wel een backup restoren, maar de hackers kunnen alsnog de data op straat gooien (als je dus niet hebt betaald).

dus dat is ook niet altijd een waterdichte oplossing lijkt mij.

[RVervuurt]

Data op straat gooien kunnen ze ook als je wel hebt betaald.

Ze hebben al wat strafbaars gedaan om die data te pakken te krijgen, waarom zou je er dan maar van uitgaan dat ze opeens lieverdjes zijn als je ze betaald hebt?

[Reactie gewijzigd door RVervuurt op 22 juli 2024 14:24]

[Richard89]

Omdat als je dat blijft doet en bekend wordt, waarom zou je dan nog betalen als gedupeerde? Dan betaald niemand meer, want je data komt toch wel op straat te liggen..

[SuperDre]

Yep allemaal mogelijkheden, en ga er maar van uit dat dit ook zoveel mogelijk gebeurd bij dit soort bedrijven. Maar zero days en mensen (zoals in het geval van MGM) blijven de zwakste schakel. Onhackbaar bestaat niet, mits het ook nog bruikbaar moet blijven.

[VySio]

1: Niet betalen. (want dan beloon je de hackers, en geen garantie dat ze je helpen)

Je hebt gelijk dat er geen garantie Op hulp is. Maar uiteindelijk is de ransomwarewereld er bij gebaat dat ze zich gewoon aan hun woord houden. Ze hebben net als elk ander bedrijf een reputatie hoog. Want bedrijven maken een risicoafweging. Als de kans klein is dat je data snel ontsleuteld wordt dan schakelen ze de instanties in.

De post van Tweakers (of bloomberg) is eigenlijk dan ook de beste reclame voor de hackersgroep.

[RVervuurt]

Goed, dan werken ze even 3 jaar als “goede jongens” en verdienen miljoenen, waarna ze alsnog je data op straat gooien als ze genoeg verdiend hebben om te kunnen stoppen.

[mjtdevries]

En wat voor belang hebben ze daarbij?
Ze verdienen er geen geld aan om na 3 jaar alsnog je data op straat te gooien. Dus waarom zouden ze moeite gaan stoppen in iets waar ze niets aan verdienen en hun verdienmodel om zeep helpt?

[bbr]

Data is data.
Ze kunnen je eerst helpen voor 3 miljoen.

En dan een paar maanden later het aan een 2e partij verkopen voor nog eens 5 miljoen.
Een beetje hacker helpt eerst zichzelf.

En als de 1e partij dan claimt "ja maar we hadden je toch betaald?"
kunnen ze altijd nog zeggen dat de data van hun gestolen is door een derde partij.

[RVervuurt]

Tuurlijk wel, die data is gewoon geld waard op zo’n moment.

[mjtdevries]

Tuurlijk niet. Als ze het op straat hebben gegooid dan is het juist geen cent meer waard.

Dus zullen ze dat juist niet doen.
Wat ze na 3 jaar zouden kunnen doen is je opnieuw proberen af te persen met het dreigement het op straat te gooien. De waarde zit in het dreigement het op straat te gooien.

[Boy]

Volgens mij is punt 2 niet mogelijk, aangezien de malwares een tijdje slapend zijn (zeg een half jaar of zo) en de backups dus ook niet terug te zetten zijn.
Maar dan zouden de backups al gelijk niet terug te lezen moeten zijn lijkt me? Dat zou je moeten kunnen testen...

[nst6ldr]

1: Niet betalen. (want dan beloon je de hackers, en geen garantie dat ze je helpen)

Los daarvan, wat velen zich niet lijken te realiseren is dat je een volgende grotere aanval mogelijk maakt. Afpersen met ransomware is een toegankelijk verdienmodel, het wordt niet gedaan door mensen die slim genoeg zijn om zerodays te ontdekken. Zerodays worden verkocht op darkweb veilingen en de adoptie en versie van de betreffende software bepaalt de prijs. Dus door met kleine slachtoffers te beginnen en een deel van de winst te sparen, kan er vanzelf geinvesteerd worden in zeroday exploits voor grotere bedrijven.

[CPV]

De groep wist via social engineering toegang te krijgen tot de netwerken van het bedrijf.

En wat doe je met deze zwakke plekken in je bedrijf?

Aanvulling: een uur later lees ik dit:
https://nos.nl/artikel/24...n-aan-online-nepdirecteur
- Medewerkers zijn onder druk van de indiener van de valse factuur te snel tot betaling overgegaan en hebben de fraude te laat ontdekt
- In 2020 ging het ook al mis in Alkmaar, toen een gemeentemedewerker op een neplink klikte in een phishing-e-mail

[Reactie gewijzigd door CPV op 22 juli 2024 14:24]

[Frup]

Een boete, te betalen aan de schatkist, die even hoog is als het betaalde ‘losgeld’ aan de criminelen bijvoorbeeld.

[gaskabouter]

Zodat de schatkist er belang bij krijgt als bedrijven gehackt worden?

[Frup]

Ik zei ook ‘bijvoorbeeld’.
Het gaat er denk ik om dat er een prikkel is. Het kan toch niet dat bijv. leverancier de inloggegevens in de software laat staan? Zie https://nos.nl/artikel/24...ingen-minder-dan-uur-werk.
Er wordt m.i. nog steeds te slordig met data en de toegang daartoe omgegaan.

[gaskabouter]

Ik denk dat dit soort groepen onderschatten en ervan uitgaan dat slachtoffers altijd schuld hebben niet realistisch is. Victim blaming helpt niet en deze groepen zijn zeer professioneel, zelfs staatsgerelateerd.

[HuisRocker]

Goed om te zien dat er ook nog Tweakers zijn die wel 'verder kijken dan hun neus lang is'.
Er is nog hoop!
In de politiek gaat men misschien het onzalige idee van 'victim punishing' (het gaat immers verder dan 'blaming') straks nog overnemen, en dan niet omdat ze echt denken dat het helpt, maar alleen vanwege de hoeveelheid potentiële kiezers!

[MrMonkE]

Zag je met die 0-day .webp recent nog.

[gaskabouter]

Doe daar maar eens een bron van....

[mjtdevries]

Hoeveel aanvallen in de afgelopen 3 jaar heb jij gezien waarbij er niks te verwijten viel?
Die kan je op 1 hand tellen. Ze kwamen wel groots in het nieuws, juist omdat ze daardoor extra gevaarlijk waren, maar op de totale hoeveelheid hacks is het beperkt.

[gaskabouter]

Nogmaals. Als jij een bron hebt ben ik overtuigd. Die bron ga jij niet hebben vrees ik

[mjtdevries]

Het interesseert me niet wanneer jij overtuigd bent.
Ik ben gewoon benieuwd naar welk percentage jij denkt dat het slachtoffer niks verwijten valt.

Niemand kan dat percentage weten, omdat de meeste aanvallen helemaal niet bekend worden. Niet publiekelijk en ook niet bij security bedrijven.
Daarom dat ik ook mijn suggestie over 1% in de vragende vorm heb gezet.

Ik snap niet waarom je daar geen antwoord op wil geven en waarom ik daar op gemind word.
Jij ziet toch ook talloze berichten van datalekken langs komen waarbij er echt wel het nodige aan te merken was op de beveiliging?

Gaan we nou net doen alsof het er op lijkt dat in de meeste gevallen de bedrijven er niks aan hadden kunnen doen?
Iedere keer klaagt iedereen weer massaal over de duidelijke tekortkomingen waardoor een datalek mogelijk werd, maar vervolgens komt iemand met de term "victim blaming" op de proppen en dan gaan we ineens het tegenovergestelde beweren?

Ik vind het zelfs een zorgelijke trend worden dat bedrijven waarbij duidelijke tekortkomingen waren, in hun pers berichten doen alsof het onvermijdelijk is dat dit je een keer gaat overkomen.

We moeten echt niet naar een situatie toe waarbij we accepteren dat het regelmatig gebeurt dat je gegevens op straat komen, omdat mensen doen alsof het onvermijdbaar is en daarom ook minder tijd en energie gaan steken in het voorkomen. Want het is immers onvermijdbaar.

[gaskabouter]

Aha. Groot boos. In de criminaliteitsbestrijding loop je altijd achter de feiten aan. Zeker bij georganiseerde misdaad en aan helemaal als die nationaal ondersteund wordt, aka Noord Korea, Rusland etc, je kan slachtoffers van alles verwijten maar beter investeren in voorlichting, opsporing en preventie.

Victim blaming voegt niets toe

[SuperDre]

En jij denkt dat dat gaat helpen? Think again.

[Frup]

Ja, bescherming van gegevens wordt steeds belangrijker. Zolang data nog relatief simpel te stelen is, wordt er onvoldoende in bescherming ervan geïnvesteerd. Dat is niet alleen IT, maar denk ook aan awareness.

[HuisRocker]

Ik weet zelfs zeker dat het niet gaat helpen... Afpersing (digitaal of niet) bestaat al bijna net zo lang als de mensheid zelf! Maar gelukkig heeft men nu op Tweakers de totaal oplossing die ook nog eens te vangen is in een one-liner, wow!

[mjtdevries]

Tuurlijk zou zo'n draconische maatregel helpen.

Voor bedrijven is het puur een financiele afweging.
Kosten van terugzetten van de data en kosten van de reputatie schade vs losgeld.

Wanneer je de kosten van losgeld betalen met behulp van een boete hoog genoeg maakt is het voor een bedrijf goedkoper om niet te betalen.

Of zo'n boete wenselijk is, is een ander verhaal.
Nu maken bedrijven nog melding van een hack, maar dan geef je wel een erg grote prikkel om het allemaal onder de pet te houden. Daar zetten we dan uiteraard een nog grotere boete op.

[SuperDre]

Dan ga je er van uit dat data teruggezet kan worden, zodra dat niet kan, dan betekent het dat betalen mogelijk de enige optie is. Waarbij de extra boete dan mogelijk faillisement betekent, wat je als overheid ook echt niet wilt ivm banenverlies. Het betalen van dat losgeld is al een boete op zich. Naast dat er mogelijk dan misschien wel een aanklacht richting overheid kan gaan omdat die blijkbaar niets doen om dit soort hackers te pakken.

[Bender]

De geldkraan dichtdraaien.

[beerse]

Bij dit soort hotels (lees: casino's) zit er geen kraan op de geldstroom..
Misschien is dit concept wel een idee voor een volgende "Ocean's" film

[Bob Popcorn]

Dat zit er wel. Zie het filmpje waarbij veel gokautomaten plat liggen. Dan is het voor Ceasars/MGM een simpel rekensommetje hoor.

[TheVMaster]

Het lastige bij zo'n enorm casino in Las Vegas (weet niet of je er wel eens geweest bent), daar gaan miljarden in om en ik kan me voorstellen dat ze die gegevens liever niet online zien verschijnen.

Tuurlijk, je hebt geen enkele garantie dat die dat alsnog online verschijnt. Een ding weet je zeker, als je niet betaald dan gaat die data zeker online.

Wat is het alternatief voor dit soort hacks eigenlijk? Je zou idd allemaal niet moeten betalen, maar goed dan gaat er dus eerst wel een bak data lekken.

[YellowCube]

in de laatste tweakers podcast was er nog een goede discussie over het wel of niet moeten betalen van losgeld.
Ja, je zou criminelen in principe niet moeten betalen.
Doe je het niet dan liggen de gegevens op straat.

Er lijken tot nu toe geen gevallen te zijn waarbij er betaald werd en de gegevens alsnog op straat kwamen te liggen. Logisch, want daarmee ondermijnen deze criminelen hun eigen businessmodel als in: als je bedrijven laat betalen en je gooit de gegevens alsnog op straat, betaalt dadelijk niemand meer.
Je kunt het onderhands verkopen, maar dat komt ongetwijfeld uit en dan gooi je alsnog je eigen winkelruiten in (plus: doorverkopen is meer moeite en levert wellicht nog minder op)

Ik heb er verder geen hele sterke mening over ander dan dat ik het wel een redelijk genuanceerd en goed bekeken argument vond.

[UTWarcow]

Het merendeel van de gegevens liggen allang op straat, het is net als met andere gijzelingen, niet onderhandelen, niet betalen!

[kabelmannetje]

Welke gegevens heb je het over die al lang op straat liggen? Ik kan nergens iets vinden dat deze geopenbaard zijn.

Verder, je hebt makkelijk praten. Bij vele bedrijven betekent niet betalen, einde bedrijf.

[UTWarcow]

Persoonsgegevens en wachtwoorden. Betalen zal uiteindelijk voor veel bedrijven ook het einde betekenen.
Verder weet jij niet of ik makkelijk kan praten. Wat ik wel weet is dat zwichten voor geweld in welke vorm dan ook zal leiden tot meer geweld. Het belonen van slecht gedrag zal slecht gedrag bevorderen.

[kabelmannetje]

Nergens lees ik dat deze op internet rondzwerven. Dat verzin je er zelf bij.

Opnieuw, geen "losgeld" betalen is niet zo zwart/wit als jij het voorstelt. Als je 1000 man moet ontslaan omdat het bedrijf failliet gaat, dan zijn er andere belangen.

[UTWarcow]

Nergens lees jij dat deze op internet rondzwerven?

https://www.rtlnieuws.nl/...s-chantage-en-handel-data

https://www.hln.be/intern...rden-te-grabbel~adf0a699/

https://www.security.nl/p...n+data+via+Genesis+Market

https://nos.nl/artikel/23...ns-uit-coronasystemen-ggd

https://www.vpngids.nl/ni...alen-losgeld-aan-hackers/

[kabelmannetje]

Opnieuw, nergens lees ik dat afpersen resulteert in het alsnog dumpen van gevoelige informatie. En, als het bedrijf failliet gaat door geen losgeld te betalen, dan spelen heel andere belangen.

[Xfade]

Aan de andere kant, we hebben geen idee wat er al verhandeld is op het darknet.

[kabelmannetje]

Als we "geen idee hebben", hoe weet jij dan zo zeker dat jij wel een idee hebt?

[Xfade]

Kijk even op wie je reageert.

[Vlizzjeffrey]

Dat is niet zo, want als die gegevens al op straat zouden liggen voor de betaling geschied, zou er nooit reden zijn tot betaling.

[UTWarcow]

Heel veel bedrijven en mensen hebben geen benul van de hoeveelheid informatie die al gestolen is of rond zwerft op het net. Bedrijven betalen omdat mogelijk zou blijken dat er informatie bij hen vandaan komt, dat mijn BSN, email gegevens en NAW inmiddels al drie keer eerder is gestolen maakt voor dat bedrijf niets uit.

[nst6ldr]

Er lijken tot nu toe geen gevallen te zijn waarbij er betaald werd en de gegevens alsnog op straat kwamen te liggen.

Het is in 2022 bij grofweg een vijfde van de slachtoffers voorgekomen.

Door alle verbazing rondom het fenomeen waarbij ransomware bendes helpdesks oprichten (lees: huren in India) is er onterecht een imago van 'honor among thieves' ontstaan. Men vergeet dat het ook 'gewoon' criminelen zijn.

De logica rondom businessmodel is houdt ook geen water: je kan altijd onder een andere naam verder met afpersen als je onbetrouwbaar blijkt. Niemand gaat je een glassdoor review geven. En mocht ook dat geen soelaas bieden, dan verkoop je de data gewoon, zoals een vijfde van de slachtoffers toch al meemaken.

[mjtdevries]

Het probleem van dat artikel is dat er geen enkele onderbouwing van die beweringen is.
Terwijl het toch absoluut nieuwswaardig zou zijn als een bedrijf betaald heeft en de data daarna alsnog op straat komt te liggen.
Maar ik heb daar ook nog nooit een nieuws artikel over gezien.

Het is ook nogal opvallend dat alle security bedrijven die met cijfers komen hoe vaak dat dan gebeurd allemaal totaal verschillende percentages noemen.

Het geeft het gevoel dat niemand enig idee heeft of en hoeveel het voor komt. Anders zouden die cijfers niet zo afwijken en zou het in het nieuws komen.

[nst6ldr]

De bronnen staan er gewoon in genoemd en die kan je nalezen. Het argument wat je hier optuigt klopt ook niet: jij zou het groot nieuws vinden, voor ieder ander is het "crimineel doet criminele dingen" en daarmee amper een verassing. Er zou ook geen reden zijn om er groot nieuws van te maken, we krijgen nu al amper een procent van alle geslaagde aanvallen te zien.

Het komt op mij over alsof je de cijfers niet vertrouwd omdat ze niet bij jouw idee van criminelen passen, maar daar kan je simpelweg geen weloverwogen mening van vormen zolang je niet zit bij een partij die op grote schaal betrokken is bij cyber incidenten (verzekeraars, politie, etc).

[mjtdevries]

Die bronnen staan er in ja, en als je die gaat lezen dan zie je dat het komt uit een survey.
Sorry hoor, maar dit soort informatie kun je niet betrouwbaar uit een survey halen.
Zeker grote bedrijven lopen hier niet mee te koop en gaan zulke surveys niet invullen.

Ook bijzonder dat je mijn argument waarom ik die cijfers niet vertrouw totaal negeert.
Als de cijfers van de security bedrijven nauwkeurig zijn, dan zouden ze allemaal vergelijkbare percentages moeten vinden. Maar ze wijken onderling gigantisch af.
Ik hoor graag jouw verklaring daarvoor.

[nst6ldr]

Ook bijzonder dat je mijn argument waarom ik die cijfers niet vertrouw totaal negeert.

Die negeer ik niet: "Er zou ook geen reden zijn om er groot nieuws van te maken, we krijgen nu al amper een procent van alle geslaagde aanvallen te zien."

Als de cijfers van de security bedrijven nauwkeurig zijn, dan zouden ze allemaal vergelijkbare percentages moeten vinden. Maar ze wijken onderling gigantisch af.
Ik hoor graag jouw verklaring daarvoor.

Omdat ze allemaal een ander segment/branche bedienen. Infosec is per definitie maatwerk, je komt er daarom niet onderuit dat dit soort bedrijven bepaalde klanten aantrekken op basis van hun voorgaande klanten (i.e. specialisatie). Een klant in aerospace engineering zal eerder een bedrijf in de arm nemen die aantoont met Boeing of Lockheed Martin te hebben gewerkt, hetzelfde geldt voor banken, overheden, maar bijvoorbeeld ook MKB die eerder kijken naar het prijskaartje van de consultant of zelfs van de maatregelen die bij een kennis waren voorgeschreven.

[mjtdevries]

Maar geen van die security bedrijven zegt dat in een bepaalde sector bepaalde percentages zien. Ze doen allemaal uitspraken over percentages die in het algemeen gelden.

[kikibu]

Zijn bedrijven tegenwoordig niet gewoon verzekerd tegen dit soort hacks?

[wildhagen]

Er bestaan tegenwoordig inderdaad verzekeringen tegen ransomware, maar ik vermoed dat lang niet elk bedrijf zo'n verzekering heeft nee.

Ze schijnen nogal duur te zijn namelijk, en stellen ook best wel wat eisen aan de bedrijven met betrekking tot vereiste minimale beveiliging etc. En dat kost die bedrijven ook weer geld.

[theduke1989]

Zo blijft het toch wel lekker voor de hackers om geld binnen te harken. Nu is deze keten super groot dus kunnen dit makkelijker betalen.

Andere klantjes is een ander verhaal

[Bender]

Er is geen losgeld betaald, ze hebben een hackersgroep gefund om meer hacks mogelijk te maken...

[MrMonkE]

Zouden die hackers eigenlijk bij de volgende hacks aan moeten geven "Sponsored by Caesars"

[Vlizzjeffrey]

Zo kan je losgeld toch altijd zien?

[masauri]

Makkelijkere manier dan ocean's eleven natuurlijk.

[MrMonkE]

Wel met het risico dat je een 'Ocean's Eight' moet doen.

[M3m3nt0m0r1]

Volgens de keten hebben de hackers via social engineering onder meer gegevens verkregen uit de database van zijn loyaliteitsprogramma. Daaronder vallen bijvoorbeeld rijbewijsnummers en mogelijk burgerservicenummers van 'een aanzienlijk aantal leden in de database'.

Rijbewijsnummers en burgerservicenummers in een database voor een loyaliteitsprogramma?
Serieus??
Dat alleen al is een gigantische red flag.....

[roccothehelper]

Ik vraag me af of die hackers de gegevens na betaling verwijderen. Als dat niet zo is, en die hackers worden zelf slachtoffer. Ja ehh wat dan?

[wildhagen]

Ze claimen het vaak na betalen te verwijderen, maar zeker weten doe je dat niet. En je kunt er ook niet op vertrouwen, want mensen die dit soort dingen doen zijn per definitie niet betrouwbaar (anders deden ze dit soort zaken om te beginnen niet).

Dus het zou best kunnen dat je gegevens alsnog via een datalek bij de hackers weer bij anderen terecht komen.

En er bestaat uit eigen ervaring (als beheerder) ook ransomware waar je wel netjes betaalt, krijg je een decryptor, maar die stopt er na een aantal bestanden mee. Mag je weer betalen, voor de volgende batch. En daarna voor de volgende batch. Zo loopt zo'n ransomware-groep financieel al snel aardig binnen natuurlijk...

Nog los van technieken als 'double extortion', dat je wel betaalt, maar dat ze dan alles alsnog (deels) publiceren. En dan heb je tegenwoordig ook 'triple extortion' technieken, waarbij ze ook DDoS-attacks uitvoeren. Lockbit is hiermee bezig bijvoorbeeld, zie https://www.bleepingcompu...-triple-extortion-tactic/

[Blokker_1999]

Waarom zouden criminelen niet te vertrouwen zijn? Dat ze geen respectabele carriere hebben gekozen is correct, maar dat wil niet zeggen dat je ze niet kunt vertrouwen. Het aantal voorbeelden waarbij na betaling de gegevens alsnog zijn vrijgekomen is zo beperkt dat ik er mij niet 1 kan herinneren.

Wat winnen ze er mee om die data te behouden? Gaan ze je een tweede keer afpersen betaal je niet meer want dan zit je in een straatje zonder einde. Bewaren ze het en lekt het uit is ook hun reputatie om zeep want gaat niemand nog willen betalen.

[wildhagen]

Waarom zouden criminelen niet te vertrouwen zijn? Dat ze geen respectabele carriere hebben gekozen is correct, maar dat wil niet zeggen dat je ze niet kunt vertrouwen. Het aantal voorbeelden waarbij na betaling de gegevens alsnog zijn vrijgekomen is zo beperkt dat ik er mij niet 1 kan herinneren.

Dan heb je een erg slecht geheugen vrees ik, want in 18 (!) procent van de gevallen waarin betaald werd aan ransomwarebendes, wordt na betaling alsnog de data gelekt.

En in 35 (!) procent van de gevallen werd na de betaling de data alsnog niet (volledig) unlocked.

Zie https://www.bleepingcompu...-after-paying-the-ransom/

Dat is een substantieel deel van de gevallen dus.

En het is een mooi voorbeeld waarom criminelen, want dat zijn dit, niet te vertrouwen zijn.

Er lijkt soms een wat romantisch beeld over/rondom dit soort groeperingen te bestaan, alsof het een Robin Hood-achtige verenigingen zijn. Wel, dat zijn het absoluut niet, ze begaan serieuze misdrijven.

[Reactie gewijzigd door wildhagen op 22 juli 2024 14:24]

[mjtdevries]

Elk security bedrijf hanteert totaal andere percentages.
Hoeveel geloof kan je hechten aan die percentages als ze zo gigantisch verschillen?

[Polydeukes]

Wat ze ermee winnen is dat ze voor dezelfde dataset meerdere keren betaald kunnen worden. Betrouwbaarheid is geen noodzakelijke eis om af te persen, zolang je "leverage" maar groot genoeg is.

[nst6ldr]

Waarom zouden criminelen niet te vertrouwen zijn?

Omdat dat vaak het geval is.

Je projecteert commerciële normen en waarden op criminelen. Dat ze geld willen verdienen betekent niet dat ze mensen op hun wenken gaan bedienen omdat ze bang zijn voor een slechte review. Je zegt wel droog dat men stopt met betalen als ze niet betrouwbaar blijken, maar dat is een kwestie van simpelweg meer leverage uitoefenen.

[Bender]

Dat is inderdaad altijd de vraag, maar als diensten niet meer geleverd worden na betalen gaan andere de dienst ook niet meer afnemen.

[mphilipp]

Het is hetzelfde als met ontvoeringen van personen om losgeld. Er wordt altijd heel stoer gezegd 'wij onderhandelen niet met ontvoerders' maar het blijkt dat dat in vele gevallen toch echt (stiekem) gedaan wordt als het 'serieuze' criminelen zijn. Je wilt ontvoering niet lonend maken, maar soms kun je gewoon niet anders.
Idem met ransomware. Als je niet meer bij je data kunt en/of je data misschien wel op straat komt te liggen, zijn er weinig opties. Het nare is dat je nooit de garantie hebt dat die data niet alsnog gaat circuleren. Het blijven criminelen.

[Amarius]

Is het dan echt zo moeilijk of kostbaar(der) om je (digitale) gegevens zodanig te beschermen?

[SuperDre]

Het is gewoon niet mogelijk om een systeem onhackbaar te maken. Betere beveiliging kan, maar je kunt maar beveiligen met de kennis waar je toegang tot hebt, en sommige hackers zijn heel goed in het ou-of-the-box denken.

[nst6ldr]

Het lijkt wel een vak apart, dat beveiligen. Waren er maar bedrijven die dit als dienst konden aanbieden.

[SuperDre]

En nog kunnen die bedrijven geen 100% zekerheid geven dat je niet gehacked wordt, dat is gewoon onmogelijk.

[nst6ldr]

Dat is wat een beheerder zou zeggen, die gaan compleet voorbij aan het uitgangspunt van beveiliging en denken in een specifiek referentiekader terwijl informatiebeveiliging bij de bestuurders begint.

[SuperDre]

Nee, dat is gewoon een feit. 100% veilig is feitelijk onmogelijk, rekening houdend met dat het systeem ook nog praktisch bruikbaar moet blijven. Als je denkt dat het wel mogelijk is, dan heb je toch behoorlijke oogkleppen op, of, als je in dienst bent van zo'n beveiligingsbedrijf, dan ben je gewoon glashard aan het liegen.

[nst6ldr]

Je mist wederom de strekking omdat je het referentiekader van een beheerder toepast. Nogmaals: informatiebeveiliging begint bij het bestuur. Blindelings maatregelen toepassen op je endpoints en netwerk is geen beveiliging. Het is alsof je het huis van de klant gaat voorzien van camera's in de tuin, driepunts sluiting op de deur van de logeerkamer en een slagboom op zolder, zonder eerst in kaart gebracht te hebben wat de belangen nu eigenlijk zijn: wat is een realistische aanvaller en wat zijn zijn gereedschappen (waar beveilig je tegen?), hoe ga je de uitsteltijd van de belangen van de klant verhogen (welke maatregelen zijn nodig?), hoe ga je detectie inrichten (wat is nodig om binnen de uitsteltijd een hack te constateren?), en wat zijn de te nemen acties bij een aanval (wat komt er in het draaiboek?).

"Alles is te hacken" is net zo kort door de bocht als "Ja maar ik heb virusscanner". Informatiebeveiliging is een vak apart, als je dat niet begrijpt is het gevaarlijk om te pretenderen dat je er verstand van hebt.

[CPV]

De groep wist via social engineering toegang te krijgen tot de netwerken van het bedrijf.

Hoe wil je je tegen dit soort gaten in je bedrijf beschermen?

Aanvulling: een uur later lees ik dit:
https://nos.nl/artikel/24...n-aan-online-nepdirecteur
- Medewerkers zijn onder druk van de indiener van de valse factuur te snel tot betaling overgegaan en hebben de fraude te laat ontdekt
- In 2020 ging het ook al mis in Alkmaar, toen een gemeentemedewerker op een neplink klikte in een phishing-e-mail

[Reactie gewijzigd door CPV op 22 juli 2024 14:24]

[mjtdevries]

Hoe wil je je tegen dit soort gaten in je bedrijf beschermen?

Mensen trainen met awareness campagnes.
Factuur fraude is niet nieuw. Mensen die op zo'n afdeling werken horen getraind te zijn hoe dat te herkennen, en wat voor dingen vooral niet en wel te doen.

En ransomware begint meestal met phishing mails. Je kunt mensen ook prima trainen om phishing mails beter te herkennen.

Je moet er echter wel tijd in steken om dat te organiseren.

Is het 100% garantie? Uiteraard niet, maar je maakt de kans wel veeeeeeel kleiner.
Denken dat je je niet tegen menselijke fouten kan beschermen is het slechtste wat je kunt doen.

[SuperDre]

Juist, de mens is dan de zwakste schakel. En ook 'experts' kunnen een keertje ff niet opletten, dus alleen de schuld leggen bij 'ongeinformeerde' personen klopt ook niet.

[Milanobrotchen]

Ik bedenk me nu, eigenlijk zou je dit soort hackgroepen kunt zien als HELE dure pen testers hahaha

[Reactie gewijzigd door Milanobrotchen op 22 juli 2024 14:24]