135 millió forintnak megfelelő (457 ezer dollár) összeget fizetett a utahi egyetem (University of Utah) a bűnözőknek, miután a zsarolóvírussal fertőzték meg a rendszerüket. Az ellopott és egyúttal titkosítással is túszul ejtett információk között a hallgatók és az egyetemi személyzet bizalmas adatai is szerepeltek.

A július 19-i incidens komoly leállást okozott a College of Social and Behavioral Science (CSBS) részlegnél, a szerverek elérhetetlenné váltak. Mivel a fenyegetés újabban automatikusan kiegészül a nemfizetés esetén az adatoknak való nyilvánosságra hozatalával, az egyetem úgy határozott, hogy kifizeti a 457 059 USD összegű követelést.

A pénz jelentős részét az egyetem kiberbiztosítása fedezte, de saját forrásokkal még ki kellett egészíteniük. A kalkulációnál nyilván figyelembe vették az adatszivárgás miatti esetleges perek, illetve lehetséges büntetések költségeit is.

A vezetés tájékoztatta az alkalmazottakat és a hallgatókat, azonnali jelszócserére szólított fel, és ígéretet tett a kibervédelmük megerősítésére. Idén tavasszal a Michigan Állami Egyetemen, a Chicagói Columbia Főiskolán és a San Francisco-i Kaliforniai Egyetemen is történt hasonló ransomware támadás, ott 6 napos határidőt adtak a NetWalker zsarolóvírus váltságdíjának kifizetésére.

Egyszer korábban már pedzegettük azt a szálát is a dolognak, hogy miért lehet erősen kontraproduktív az ilyen jellegű biztosítás, ha nem társul hozzá megfelelő szigor és elvárás technikai oldalról, hiszen a megtámadott intézményeknek ilyenkor sokkal kényelmesebb megfelelő és költséges védelem kiépítése helyett más pénzét elverni.

Vagyis amit az ilyen eseteknél rendre hiányolni lehet, az a következmények látható formája. Vajon simán tovább vihető a biztosítás ilyenkor ugyanazokkal a kezdeti feltételekkel? Megkövetel-e a biztosító szigorúbb előírásokat (hitelesítés, multifaktoros autentikáció, központi vezérlésű frissítéskezelés, jelszó policy, nyitott portok tiltása, jogosultságok és hálózati megosztások leszabályozása, dolgozói képzéseket, stb.) az intézmények számítógépes rendszereinek védelmében, ellenkező esetben a jövőben akár meg is tagadja a kár kifizetését?

Vajon megjelennek-e itt a utahi egyetemnél, és az összes többi hasonlóan pórul járt állami intézménynél a piaci fizetéseket ígérő IT biztonsági pozíciók álláshirdetései, vagy az "igen, a jövőben megerősítjük a kibervédelmünket" mondás csak egy ilyenkor kötelező megnyugtató szófordulat panel?

Az mindenesetre látszik, hogy az ilyen adatokat publikussá is tevő ransomware kártevők életciklusa felívelőben van, mert az adott intézménynek még ha van is használható, naprakész mentése - amivel időveszteséggel és extra munkával elkezdheti a helyreállítást - a nyilvánosságra kerülés fenyegetése miatt sokan mégis a váltságdíj fizetése mellett döntenek.

A hasonló esetekben pedig brutális összegű kifizetésekhez tudnak hozzájutni a bűnözői körök, nem rég írtunk a CWT Business Travel Management Company esetéről, ahol 1.3 millió forintnak megfelelő összeget utaltak abban a reményben, hogy a bizalmas adatok nem kerülnek nyilvánosságra. Az FBI a fejlemények miatt már tavaly ősszel frissítette a korábbi összefoglaló útmutatóját, amelyben már nem utasítja el kategorikusan az esetleges váltságdíjfizetést, emellett igyekszik a megelőzéshez praktikus tanácsokat adni.