Szivárgás és szivárgás között nagy különbség lehet. Ha most csak és kizárólag azokra az incidensekre fókuszálunk, ahol az adatlopás és zsarolás tétje nem csak az, hogy vajon visszakapjuk-e elkódolt adatainkat, hanem emellett az is, hogy nem fizetés esetén valamilyen publikus weboldalon, vagy a darkweben landolnak a személyes adatok, akkor egy új bűnözői módszer kialakulásának lehetünk tanúi: Fizess vagy nyilvánosságra hozzuk!

A kezdetek 2015-re tehetők, amikor a Chimera zsarolóvírus megjelent a színen. Ez ugyanis a titkosított állományokat nem csak zárolta, de a zsarolás azzal is kiegészült, hogy nem fizetés esetén a bizalmas vállalati dokumentumokat azonnal fel is töltötte egy nyilvános weboldalra. Ezzel pedig tovább lehetett erősíteni a nyomást pórul járt céges felhasználókon. A Chimera 638 dollárnak megfelelő összeget követelt váltságdíjként, ezt "természetesen" itt is a nehezen lekövethető Bitcoin formájában és TOR hálózaton keresztül várták a bűnözők.

Idén pedig azt is láthattuk, ahogy Dark Overlord behatolva a filmkészítők számítógépes rendszerébe a megjelenés előtt álló Orange is The New Black legfrissebb, ötödik évadáért 67 ezer USD-nek megfelelő (kb. 19 millió HUF) Bitcoint követelt előbb a gyártó Larson Studios cégtől, majd később a Netflixtől.

Mostani esetünkben egy litván "Beauty Surgery" nevű kozmetikai műtéteket végző sebészeti klinikánál történt támadás, melynek során az elkövetők a személyes adatokon felül mintegy 25 ezer fotót is zsákmányoltak. Ez utóbbiak között sok meztelen, a páciensekről a műtétek előkészítésénél készült fénykép is szerepel. A dolog ott fordult komolyra, amikor az intézménytől lopott adatok egy részét - köztük több ezer fotót - a "Tsar Team" (APT28) elnevezésű támadói csoport már fel is töltötte a netre.

A klinikának kiterjedt nemzetközi ügyfélköre van, mintegy 60 országból - köztük számos európai országból, az Egyesült Királyságból is - fordultak meg páciensek.

A Guardian információja szerint csak brit ügyfélből legalább 1500 szerepel az adatbázisban. A támadók az adatok érzékenységétől függően - van-e meztelen kép, útlevél és banki adatok, nemzetközi biztosítási számok, stb. - 50 és 2000 euró közötti összeget követeltek Bitcoinban.

Mielőtt egyesével kezdtek volna üzletelni, először 300 Bitcoint (570 ezer GBP, 735 ezer USD, 201 millió HUF) követeltek, amit később levittek 50 Bitcoinra (100 ezer GBP, 35 millió HUF). A klinika megtagadta a fizetést, az ügyfelek pedig rettegnek. Az intézmény a helyi CERT és a Deloitte cég munkatársainak segítségével próbálja rendezni a helyzetet.

Emlékezetes, hogy az adatlopásoknak bőségesen szokott utóélete is lenni, vagyis a kiszivárgott részletes személyes adatok birtokában megtévesztő és testre szabott átverések, adathalász kísérletek is érkeznek az áldozatokhoz, akiknek most emiatt is főhet a fejük. Most az intézmény azt tanácsolja az ügyfeleknek, ne nyissák meg az ismeretlenektől érkező zsaroló e-maileket, ha pedig saját személyes adataikat vagy meztelen fotóikat megtalálják a neten, kérjék az oldal adminisztrátorát és a Google keresőt, hogy tiltsa le ezeket a hivatkozásokat.

Az biztos, hogy egy ilyen ügyféladatokat súlyosan érintő incidens a GDPR 2018. május 25-i bevezetése után már akár 20 millió EUR büntetéssel sújtható lesz. Erre pedig a bűnözők is minden bizonnyal rá fognak repülni.