Группировка ImNotAVillain вымогает деньги за украденные документы клиентов банка и данные итальянских ведомств

Британский эпизод касается 680 клиентов с высоким достатком. На своей странице группировка утверждает, что банк получил сообщение о проблеме с базой пользователей и не отреагировал. В список попали полные имена, электронная почта, телефоны, адреса, идентификаторы аккаунтов и банковских счетов, выводы и пополнения в криптовалюте, переводы в обычных деньгах, а также документы KYC (сведения, собранные банком при проверке клиента) и селфи-подтверждения личности. Отдельно предлагается заплатить за удаление своей записи до момента продажи. После заключения сделки исключить данные уже нельзя. Контакты для сотрудников банка, прессы и клиентов ведут в две системы обмена сообщениями.

Второе объявление посвящено Италии. Группировка заявляет о более чем 85 тысячах файлов общим объёмом 150 гигабайт и о персональных данных свыше 130 тысяч государственных служащих. По её словам, в служебных почтовых ящиках лежали незащищённые копии паспортов, медицинских карт и иммиграционных документов. Среди примеров названы полное личное дело офицера с дипломатическими паспортами и лицензия на оружие для судна под израильским флагом. Сумма выкупа по итальянскому объявлению не указана, а происхождение файлов не раскрыто.

По данным CyberXTron, проникновения в сети жертв не было вовсе. Выбор целей начинался с анализа блокчейна: злоумышленники находили клиентов с заметной криптовалютной активностью, а затем сопоставляли кошельки с реальными именами. После этого в банк уходили запросы от имени сотрудников правоохранительных органов. Они приходили с легитимного правительственного домена и проходили внутренние проверки. Банк сам передавал сведения в ответ на такие обращения, так что сбор данных шёл через обычную процедуру согласований, а не через техническую утечку. Похожий канал использовался и в Италии - через адрес в системе заверенных электронных писем. Подтверждения тому, был ли правительственный ящик взломан или скопирован, пока нет.

Давление строится на коротком таймере и угрозе распродажи. Требование - около шести тысяч монеро с дедлайном в 24 часа. Параллельно предлагается платное исключение записей из будущей сделки. Общение идёт через сеть Tor, открытый сайт и мессенджеры. Открытый домен зарегистрировали незадолго до публикации, и репутационные сервисы помечают его как связанный с фишингом и мошенничеством; на момент проверки он не открывался. Отдельный сайт-двойник упоминается в связи с другим претендентом на ответственность.

Права на украденные данные оспаривают несколько сторон. Ранее некий претендент требовал десять тысяч биткоинов - около 780 миллионов долларов по тогдашнему курсу. ImNotAVillain называет его бывшим партнёром, который получил лишь небольшую выборку и теперь выдаёт чужую работу за свою. Группировка обещает доказать авторство оригиналами, объёмом данных и перепиской с компаниями. Банк, в свою очередь, заявляет, что прямых сообщений ни от кого из них не получал.

Реакция последовала быстро. Банк заблокировал адрес, с которого приходили поддельные запросы, и уведомил профильное государственное ведомство, полицию, финансовые регуляторы и органы по защите данных. В Италии прокуратура начала проверку по факту несанкционированного доступа к компьютерной системе, имеющей общественное значение. Регулятор по персональным данным призвал банки срочно пересмотреть защиту систем доступа и выясняет, не пострадали ли другие финансовые организации.

Практический вывод для организаций - не доверять запросам на чувствительные данные, даже если они приходят с официального домена. Каждое обращение стоит подтверждать по независимому каналу, а выдачу документов клиентов и истории операций вести с участием нескольких сотрудников и с записью в журнале. Помогает и сокращение объёма хранимых копий удостоверений: чем меньше таких файлов лежит на серверах, тем меньше теряется при инциденте. Полезно также следить за повторяющимися запросами об одних и тех же клиентах, отслеживать появление данных на площадках утечек и заранее готовить сценарии оповещения клиентов. План реагирования нужен отдельный - для утечки и вымогательства, а не только для шифрования. Мониторинг теневого сегмента сети и открытых ресурсов позволяет заметить публикацию раньше, чем её увидят сами клиенты. Многофакторная аутентификация и ограничение прав доступа снижают ущерб от подмены сотрудника, а обучение службы поддержки помогает распознать попытку сброса доступа к чужому профилю.