US gov’t warns against paying off ransomware attackers

Companies facilitating ransomware payments run the risk of facing stern penalties for violating US regulations

 

Amer Owaida

 The COVID-19 pandemic has been accompanied by a surge in ransomware attacks targeting the computer systems of organizations in various industries, with an increasing number of victims opting to pay the ransom in an effort to resume operations as soon as possible. Against this backdrop, the US Treasury Department’s Office of Foreign Assets Control (OFAC) has now issued an advisory to warn organizations making or facilitating ransomware payments that they could run afoul of US regulations and face stern penalties.

 

“Companies that facilitate ransomware payments to cyber actors on behalf of victims, including financial institutions, cyber insurance firms, and companies involved in digital forensics and incident response, not only encourage future ransomware payment demands but also may risk violating OFAC regulation,” reads the advisory, which is intended to “highlight the sanctions risks associated with ransomware payments related to malicious cyber-enabled activities”.

 

The warning is intended to dissuade organizations from paying ransom fees especially to cybercriminal gangs that have faced sanctions from the US government or are in any way connected to blacklisted entities. The Lazarus Group, which US authorities believe orchestrated the WannaCry aka WannaCryptor attack in 2017, and Evil Corp, which is behind the Dridex malware, are just two examples of such threat actors.

 

RELATED READING: The cyber insurance question

Typically, ransomware prevents access to a device or to data on it until the victim pays a fee. A number of ransomware gangs have recently expanded their tactics adding a form of doxing wherein they comb through the victims’ systems looking for sensitive data that they will then threaten to release unless an additional fee on top of the ransom is paid.

 

To highlight the magnitude of the ransomware scourge, OPAC referenced data from the FBI’s latest two Internet Crime Reports, which showed that reported ransomware cases increased by one-third between 2018 and 2019. What’s more, losses emanating from the incidents skyrocketed by almost 150 percent.

 

By paying the ransom fees, said OFAC, the victims are also effectively encouraging cybercriminals to continue and expand their operations and target other organizations. It’s also worth mentioning that even if a company ultimately decides to pay the ransom there is no guarantee that the black hats behind the attack will restore access to their systems or return any pilfered data.

 

Indeed, organizations would be better advised to take precautions that help them avoid ransomware attacks in the first place. These should include routine employee training on cybersecurity best practices, investing in business continuity solutions, creating regular backups, disabling internet-facing RDPs entirely as well as investing in a reputable multilayered security solution. For further advice on how organizations can protect themselves against ransomware you can refer to our detailed white paper, Ransomware: An enterprise perspective.

Biometrische inbreuk

Werd je gezicht onlangs gestolen?

Het is heel eenvoudig om je wachtwoord of pincode te resetten. Je gezicht? Niet zo gemakkelijk!

Door Cameron Camp, researcher ESET

Na een datalek kan je je pincode, wachtwoord en je beveiligingsvragen gemakkelijk resetten. Maar kan je je gezicht resetten? Natuurlijk, is een chirurgische ingreep altijd mogelijk, maar dit kan vrij prijzig zijn en neemt veel tijd in beslag, en dit omdat een leverancier onzorgvuldig omging met biometrische gegevens.

Latere resets kunnen nog vreemder worden. Dit tilt identificatiediefstal (identify theft)naar een heel nieuw niveau. Ik kan me geen telefoontje naar je online accounts voorstellen waarbij je zegt "Dat ben ik niet!" Het antwoord: "Is dit jouw gezicht?" Moeilijk te beweren dat je de frauduleuze aankoop niet hebt gedaan.

Verkopers in de biometrische wereld weten dat ze echt gevoelige informatie beschermen, ze zouden dus bijzonder aandachtig moeten zijn om dat niet te laten gebeuren, toch?

Het Amerikaanse ministerie van Binnenlandse Veiligheid had onlangs een probleem met diefstal van biometrische gegevens (had a brush with biometric data theft) en ze worden precies verondersteld goed te zijn in het beschermen van gegevens, misschien zelfs beter dan de meeste leveranciers in deze sector. Ze hebben ongetwijfeld toegang tot goede bronnen. Hoe zit het met andere leveranciers?

Hier zit een pseudo-marketing gestuurd verhaal achter: geef ons alstublieft jouw gezicht zodat we veiligheid kunnen garanderen. Maar na jarenlang actief te zijn in beveiliging, hebben we bij ESET geleerd dat er niet zoiets bestaat als perfecte beveiliging, enkel betere of slechtere. Gegevens verrijken is niet nodig om overtuigend te lijken. Het is een van de redenen waarom medische dossiers een topdoelwit zijn voor gegevensdiefstal: ze zijn steeds dichter bij wat je zelf bent en zijn bijzonder moeilijk te vervalsen.

Gezichtsherkenning zit in de lift. China heeft er uitgebreid mee geëxperimenteerd en gebruikte machine learning om de zware "face-lift" te doen. Tal van andere landen hebben zich bij die strijd gevoegd.

Singapore is een nationaal identiteitsbewijs aan het invoeren (national ID based on the citizen’s face) op basis van het gezicht van de burgers. Het is onmogelijk om hierbij geen zinnen in te voegen die ‘Orwell’ bevatten.

Je zou kunnen zeggen dat je gezicht kan worden vastgelegd door de groeiende zwerm openbare camera's. Wat is het probleem dan toch? Jouw biometrisch profiel, inclusief je gezicht, kan gebruikt worden om digitaal te communiceren met een steeds groter aantal bedrijven en organisaties waarmee je in aanraking komt. Dit kan je echte leven aanzienlijke schade berokkenen.

Ik had een vriendin die bij de overheid werkte en per ongeluk - door een computerstoring - dood werd verklaard. Het heeft haar meer dan twintig jaar gekost om dat in orde te krijgen. Ze moest haar dienstverleners ervan overtuigen dat ze niet dood was. Het was niet genoeg dat ze met hen aan de telefoon was. Het deed vreemd aan. In hun ogen leeft ze nu wel, maar haar pensioen is nog altijd gereset, zodat ze nu nog steeds hoeft te werken. Terwijl ze "dood" was, heeft iemand ook haar sociaalzekerheidsnummer gestolen en grote schulden gemaakt.

Het valt bijzonder moeilijk te bewijzen dat je niet dood bent. Maar het is ook moeilijk te bewijzen dat je niet je profiel, inclusief je gezicht, bent.