Ujawniając naruszenie Meridianlink, które nie zostało upublicznione w wymaganym czasie, osławiony Oprogramowanie ransomware ALPHV/BlackCat operacja podniosła stawkę, składając formalną skargę do Amerykańska Komisja Papierów Wartościowych i Giełd (SEC) przeciwko MeridianLink.
Oskarżenie koncentruje się wokół rzekomego nieprzestrzegania przez MeridianLink zaleceń zasada czterodniowego ujawnienia cyberataku, sygnalizując nowy rozdział w toczącej się walce z oprogramowaniem ransomware.
Zagrożenie, na jakie naraża firmę naruszenie MeridianLink
MeridianLink, notowana na giełdzie firma zajmująca się oprogramowaniem, specjalizująca się w rozwiązania cyfrowe dla podmiotów finansowych, znalazł się na celowniku grupy ransomware ALPHV/BlackCat. Napastnicy przenieśli swoją taktykę wymuszenia do domeny publicznej, umieszczając MeridianLink na swojej liście wycieków danych i wydając ją groźba ujawnienia rzekomo skradzionych danych chyba że okup zostanie zapłacony w ciągu zaledwie 24 godzin.
Według spostrzeżeń z DataBreaches.net, twierdził gang ransomware infiltrował sieć MeridianLink 7 listopada, fałszował dane firmowe bez stosowania typowych metod szyfrowania. Hakerzy zgłosili pomimo oznak, że MeridianLink zainicjował kontakt brak reakcji w sprawie negocjacji w sprawie okupu.
Złożenie skargi do SEC
W zaskakującym posunięciu grupa zajmująca się oprogramowaniem ransomware ALPHV zdecydowała się na eskalację konfrontacji z MeridianLink, składając formalną skargę do SEC. W skardze zarzucano, że MeridianLink nie ujawniła informacji istotny incydent związany z naruszeniem MeridianLink, wpływając zarówno na dane klientów, jak i informacje operacyjne. Obowiązek ten został określony w Formularz 8-K, poz. 1.05, nakazującego terminowe ujawnianie istotnych zdarzeń.
Aby wzmocnić tę tezę, ALPHV opublikowało zrzut ekranu skargi przesłali je za pośrednictwem oficjalnego kanału SEC, zapewniając rzadki wgląd w taktykę stosowaną przez podmioty zajmujące się oprogramowaniem ransomware w kontaktach z organami regulacyjnymi. Grupa również się podzieliła odpowiedź, jaką otrzymali od SEC, potwierdzający otrzymanie i potwierdzenie ich złożenia.
Odpowiedź MeridianLink i trwające dochodzenie
W odpowiedzi na te zarzuty spółka potwierdziła wystąpienie naruszenia MeridianLink, twierdząc to podjęli natychmiastowe działania powstrzymać zagrożenie. Angażując zespół zewnętrznych ekspertów, MeridianLink aktywnie bada incydent, aby ocenić potencjalny wpływ w sprawie danych osobowych konsumentów. Firma zobowiązała się do niezwłocznego powiadomienia zainteresowanych stron w przypadku wykrycia jakiegokolwiek kompromisu.
Ten incydent podkreśla ewoluującą taktykę stosowaną przez grupy zajmujące się oprogramowaniem ransomware, wykraczając poza tradycyjne metody wymuszenia. Nowe zasady SEC dotyczące cyberbezpieczeństwa wkrótce wejdą w życie w dniu 15 grudnia 2023 r., nakazać ujawnianie istotnych cyberataków w ciągu czterech dni roboczych. Wykorzystanie przez ALPHV kanałów regulacyjnych może oznaczać niepokojącą tendencję, w której wykorzystają podmioty zajmujące się oprogramowaniem ransomware legalne drogi wywrzeć dodatkową presję na swoje ofiary, zacierając granice między wojną cybernetyczną a zgodnością z przepisami.
W miarę jak organizacje przygotowują się coraz bardziej wyrafinowany krajobraz zagrożeń, sprawa ta stanowi wyraźne przypomnienie o pilnej potrzebie wprowadzenia solidnych środków cyberbezpieczeństwa.
Tymczasem obawy dotyczące cyberbezpieczeństwa zarówno wśród wiodących, jak i mniejszych firm rosną, ponieważ ataki na nie stają się coraz bardziej złożone i trudniejsze do zapobieżenia wraz z pojawieniem się strategii stosowanych przez grupy zajmujące się oprogramowaniem ransomware. Jeśli chcesz być na bieżąco z historiami budzącymi te obawy, zapoznaj się z naszymi artykułami o tym, jak naruszenie danych Okta spowodowało wyciek informacji o pracownikach i jak naruszenie danych Casio naraziło klientów w 149 krajach.
Autor wyróżnionego obrazu: Özgürcan Özergin/Bing Image Creator
Source: Naruszenie MeridianLink: grupa ransomware domaga się sprawiedliwości za skradzione dane
