近日，勒索軟件組織ALPHV（又稱BlackCat，前身是攻擊殖民地管道的DarkSide組織）向美國證券交易委員會（SEC）提交投訴，舉報其受害者——上市軟件公司MeridianLink未按規(guī)定披露數(shù)據(jù)泄漏事件。

這是勒索軟件組織首次向監(jiān)管部門“實名舉報”其受害者的違規(guī)行為，可謂開了行業(yè)先河。

ALPHV聲稱在11月7日侵入了MeridianLink的網(wǎng)絡并竊取了公司數(shù)據(jù)，但并未加密系統(tǒng)。并威脅后者在24小時不支付贖金就泄露所竊取的數(shù)據(jù)。

ALPHV表示，盡管MeridianLink似乎有意與其接觸進行贖金談判，但尚未收到公司的正式回應。MeridianLink的拖延戰(zhàn)術激怒了ALPHV，后者憤然向SEC提交投訴，稱MeridianLink未按政策要求披露影響“客戶數(shù)據(jù)和運營信息”的網(wǎng)絡安全事件。

為了證明投訴行為的真實性，ALPHV在其網(wǎng)站上發(fā)布了他們在SEC投訴頁面上填寫表格的屏幕截圖：

SEC的“四日”新規(guī)

由于美國機構頻繁遭受網(wǎng)絡安全事件，今年7月份SEC頒布了安全事件報告規(guī)則，要求上市公司在確定網(wǎng)絡攻擊屬于重大事件后的四個工作日內披露信息。

新規(guī)要求上市公司必須在報告文件中（特別是8-K表格）披露有關網(wǎng)絡攻擊的詳細信息（包括事件的性質、范圍和時間），規(guī)模較小的公司可延期180天披露。

SEC要求公司披露的網(wǎng)絡安全事件詳細信息具體如下（在提交表格8-K時可用）：

• 發(fā)現(xiàn)日期和事件狀態(tài)（正在進行或已解決）。
• 對事件性質和范圍的簡要描述。
• 未經(jīng)授權可能被泄露、更改、訪問或使用的任何數(shù)據(jù)。
• 該事件對公司經(jīng)營的影響。
• 有關公司正在進行或已完成的補救措施的信息。

然而，ALPHV可能沒有注意到，該新規(guī)的生效日期是2023年12月15日。

SEC新規(guī)讓CISO成為高危職業(yè)

MeridianLink對此事件回應稱：在確認事件后，公司立即采取行動以控制威脅，并聘請了第三方專家進行調查。公司還在努力確定是否有消費者個人信息受到此次網(wǎng)絡攻擊的影響，并將在確認后通知受影響方。根據(jù)目前的調查，未發(fā)現(xiàn)未經(jīng)授權訪問其生產平臺的證據(jù)，且此事件對業(yè)務造成的中斷影響很小。

那么問題來了，如果ALPHV聲稱的攻擊是事實，那么MeridianLink向SEC提交的報告就有瞞報事件的可能，而MeridianLink的CISO可能面臨觸犯法律的風險。

根據(jù)SEC的新規(guī)，如果企業(yè)瞞報網(wǎng)絡攻擊，而該企業(yè)的CISO看到SEC報告最終版本并意識到該文件誤導了SEC，那么該CISO就有責任向SEC檢舉揭發(fā)，否則將面臨欺詐從犯的指控。

今年10月份，SEC對SolarWinds席信息安全官Timothy G.Brown提出指控，指控其在2020年Sunburst網(wǎng)絡攻擊期間和之前未披露“已知風險”且未準確表述該公司的網(wǎng)絡安全措施，從而誤導投資者。這是CISO首次因瞞報事件而被SEC直接指控，被業(yè)界看作是導致CISO成為高風險職業(yè)的一個標志性事件。

但令CISO進退維谷的是，雖然SEC有舉報人保護機制，但只有當CISO的檢舉內容屬實且公司確實存在欺詐（瞞報）行為時，舉報人保護機制才會啟動。如果CISO判斷有誤，就不會有任何保護措施，被舉報公司可用各種可用方法對CISO進行報復。

勒索軟件的“催收”和“增收”新策略

舉報MeridianLink的ALPHV勒索軟件組織以其持續(xù)不斷調整和完善攻擊技術和業(yè)務策略而著稱，是最“敏捷”的勒索軟件組織之一。

根據(jù)GRIT發(fā)布2023年勒索軟件報告，ALPHV是二季度第二活躍的勒索軟件組織，受害者數(shù)量比第一季度增加了50%，在2023年最活躍最多產的十大勒索軟件組織中排名第二，僅次于LockBit：

雖然包括ALPHV等頭部勒索軟件組織在2023年開足馬力“收割”知名企業(yè)，但贖金收入?yún)s呈下滑趨勢。根據(jù)勒索軟件事件響應公司Coveware的一份報告，今年第二季度遭受勒索軟件攻擊的付費受害者數(shù)量“降至34%，創(chuàng)歷史新低。

“轉化率”和收入的暴跌迫使ALPHV這樣的勒索軟件組織不斷創(chuàng)新其“催收”和“增收”策略。例如，據(jù)惡意軟件研究小組VX-Underground透露，ALPHV今年七月份推出了其數(shù)據(jù)泄漏網(wǎng)站的API和Python爬蟲工具，幫助相關人員（例如新聞媒體和安全研究人員）快速獲取最新的受害者名單和信息（下圖）：

除了通過增加曝光量（甚至包括明網(wǎng)泄漏）外，一些勒索軟件組織開始采用“薄利多銷”的創(chuàng)收策略，即通過供應鏈來入侵大量企業(yè)來提高贖金總收入。

例如，Clop勒索軟件通過其大規(guī)模的MOVEit漏洞利用竊取數(shù)據(jù)，至少獲利7500萬美元。

向行業(yè)主管部門投訴也是勒索軟件組織向受害者施壓的“催收”策略之一。在ALPHV之前，曾有許多勒索軟件組織威脅受害者要向SEC報告數(shù)據(jù)泄露和數(shù)據(jù)盜竊事件，但ALPHV是迄今首次公開證實的案例。

過去，勒索軟件組織經(jīng)常通過聯(lián)系受害者的客戶來告知數(shù)據(jù)泄漏情況，有時還會直接電話恐嚇受害者。不久前這種恐嚇進一步升級，有勒索軟件組織甚至威脅要對受害者采取物理攻擊和傷害，這是RaaS流行導致勒索軟件攻擊技術門檻進一步降低后，勒索軟件“民主化”與黑社會活動產生交集的一種新的全球性趨勢。