Angst voor lekken van pensioengegevens van de Zuid-Afrikaanse overheid leidt tot een onderzoek

Angst voor lekken van pensioengegevens van de Zuid-Afrikaanse overheid leidt tot een onderzoek

Tijdstempel: 18 maart 2024 3:00 uur
Angst voor lekken van pensioengegevens van de Zuid-Afrikaanse overheid doet onderzoek naar gegevensintelligentie van PlatoBlockchain ontstaan. Verticaal zoeken. Ai.

Zuid-Afrikaanse overheidsfunctionarissen onderzoeken berichten dat een ransomwarebende 668 GB aan gevoelige gegevens heeft gestolen en vervolgens online heeft gelekt nationale pensioengegevens.

De vermeende compromittering van de gegevens van de Government Pensions Administration Agency (GPAA) op 11 maart is nog niet publiekelijk bevestigd, maar het incident heeft al tot gevolg gehad nationaal nieuws in Zuid-Afrika. Het South African Government Employees Pension Fund (GEPF) kwam tussenbeide om de claims van de beruchte LockBit-cybercriminaliteitsbende te onderzoeken.

GEPF is een vooraanstaand pensioenfonds in Zuid-Afrika, met als klantenkring 1.2 miljoen huidige overheidswerknemers en 473,000 gepensioneerden en andere begunstigden.

“Het GEPF is in gesprek met de GPAA en haar toezichthoudende autoriteit, de National Treasury, om de waarheidsgetrouwheid en impact van het gerapporteerde datalek vast te stellen en zal te zijner tijd een verdere update geven”, legde het pensioenfonds uit in een openbare verklaring.

Niet goed beveiligd?

GPAA heeft de GEPF naar verluidt gerustgesteld dat zij heeft gehandeld om systemen te beveiligen terwijl het inbreukonderzoek aan de gang was. Uit voorlopig onderzoek blijkt echter dat de LockBit-claims mogelijk verband houden met een veiligheidsincident waarmee de GPAA te maken kreeg in februari.

Het bureau beweerde dat een poging om zijn systemen op 16 februari te hacken niet succesvol was, maar die claim kwam onder vuur te liggen na het vermeende LockBit-lek. GPAA zei in een openbare post op 21 februari dat het systemen heeft afgesloten en de mogelijk getroffen systemen isoleerde als reactie op wat het typeerde als een poging om “ongeautoriseerde toegang te krijgen tot GEPF-systemen.”

Het agentschap zei dat zijn administratiesysteem niet was geschonden.

“Het lijkt erop dat de juiste stappen zijn genomen om de gegevensveiligheid na het incident te garanderen door de gecompromitteerde servers te beveiligen”, zegt Matt Aldridge, hoofdoplossingenadviseur bij OpenText Cybersecurity. “Het incident roept echter zorgen op over de algehele beveiligingssituatie en de veerkracht van de systemen van de organisatie.”

Nasleep van Operatie Cronos

De schijnbare aanval op de GPAA komt slechts enkele weken na de Operatie Cronos neerhalen, een door wetshandhaving geleide poging om de activiteiten van LockBit en zijn ransomware-as-a-service-filialen te verstoren.

LockBit en zijn partners kregen een klap van deze actie, maar hebben sindsdien de aanvallen hervat met behulp van nieuwe encryptors en een herbouwde infrastructuur, waaronder een nieuwe leklocatie.

Amir Sadon, onderzoeksdirecteur bij Sygnia, een adviesbureau voor incidentrespons, zegt dat LockBit ook een nieuwe dataleksite heeft opgezet en ‘ervaren pentesters’ recruteert.

“De snelle aanpassing van LockBit onderstreept de uitdagingen van het permanent neutraliseren van cyberdreigingen, vooral die met geavanceerde operationele en organisatorische capaciteiten”, merkt hij op.

Andere experts waarschuwen dat het lekken van gegevens van GPAA het gevolg kan zijn van een aanval die dateert van vóór de uitschakeling van Operatie Cronos op 19 februari, dus het zou overhaast zijn om te concluderen dat LockBit al weer op volle operationele kracht is.

“De Government Pensions Administration Agency (GPAA) heeft op 16 februari een poging tot inbreuk gemeld – voorafgaand aan de aankondiging van de verwijdering”, zegt James Wilson, cyberdreigingsanalist bij ReliaQuest. “Het is daarom aannemelijk dat LockBit een oude aanval gebruikt als basis voor deze claim om het beeld te projecteren dat ze hun dreigingsvermogen hebben behouden.”

LockBit is wereldwijd de meest productieve ransomwaregroep en veruit de meest actieve ransomwarebende in Zuid-Afrika, goed voor 42% van de aanvallen daar in de afgelopen twaalf maanden, zo blijkt uit onderzoek van Malwarebytes gedeeld met Dark Reading.

Ransomwaregroepen zoals LockBit proberen een merk op te bouwen om aangesloten bedrijven aan te trekken en ervoor te zorgen dat slachtoffers betalen. “Sinds Operatie Cronos zal LockBit hard hebben gewerkt om het vertrouwen van aangesloten bedrijven te [her]winnen, dus het lek zal worden gebruikt als een manier om aan te tonen dat ze ‘business as usual’ voortzetten”, zegt Tim West, directeur van Threat. intelligentie en outreach bij WithSecure.

Ransomware-actoren zoals die achter LockBit maken voornamelijk gebruik van twee technieken om bedrijven te infiltreren: het benutten van legitieme accounts en het aanpakken van kwetsbaarheden in openbare applicaties.

Meestal stelen ze kopieën van de gegevens van een slachtoffer voordat ze deze coderen, zodat ze op twee manieren invloed kunnen uitoefenen tijdens onderhandelingen over losgeld. Vervolgens eisen ze betaling in ruil voor de gegevens, waarbij ze dreigen met het vrijgeven van de informatie via leksites als er geen losgeld wordt betaald.

Ransomware-aanvallen tegengaan

Het aannemen van proactieve verdedigingsstrategieën is van cruciaal belang voor de verdediging tegen de groeiende dreiging die uitgaat van ransomware-aanvallen. Het toevoegen van multifactorauthenticatie (MFA) voegt bijvoorbeeld een extra verificatiestap toe, waardoor de inspanningen van aanvallers om gecompromitteerde accounts of kwetsbaarheden te misbruiken, worden bemoeilijkt.

Up-to-date back-ups die regelmatig worden getest, eindpuntbescherming en mogelijkheden voor detectie van bedreigingen beschermen allemaal systemen tegen een ransomware-aanval. En door kwetsbaarheden te beheren en de potentiële impact ervan te beperken voordat ze kunnen worden gepatcht, zijn systemen ook beter bestand tegen ransomware.

Christiaan Beek, senior directeur dreigingsanalyse bij Rapid7, zegt dat “het toezicht houden op firewalls en VPN’s van cruciaal belang is, omdat deze aantrekkelijke toegangspunten bieden voor ongeautoriseerde toegang.”

Beek voegt eraan toe dat ook de beheer- en administratieve interfaces van publieke applicaties beveiligd moeten worden.

Tijdstempel:

Meer van Donkere lezing