Grup ransomware mengklaim kebocoran data besar-besaran tetapi keberadaan file sekolah Minneapolis menjadi misteri

Cerita ini berasal dari The 74, sebuah organisasi berita nirlaba yang meliput pendidikan di Amerika.

Sebuah geng dunia maya mengklaim telah menerbitkan jumlah yang mengejutkan dari catatan Sekolah Umum Minneapolis yang dicuri ke internet setelah distrik tersebut gagal memenuhi permintaan pemerasan $ 1 juta, tetapi di mana file sebenarnya sekarang tetap menjadi misteri.

Jumat dini hari, setelah jam hitung mundur geng Medusa pada tenggat waktu tebusan mencapai nol, file tersebut tidak tersedia untuk diunduh di situs kebocoran web gelapnya. Alih-alih, pesan “Unduh data sekarang!” tombol mengarahkan pengguna untuk menghubungi geng ransomware melalui protokol pesan instan terenkripsi. Upaya The 74 untuk mencapai geng tersebut tidak berhasil.

File dari korban Medusa sebelumnya tersedia di situs web yang dirancang menyerupai blog berita teknologi – semacam front. Berbeda dengan blog Medusa, situs ini tidak diturunkan ke web gelap dan tidak memerlukan alat khusus untuk mengaksesnya. Tautan unduhan juga diposting di saluran di Telegram, layanan media sosial terenkripsi yang telah ada digunakan oleh kelompok teror Dan ekstrimis sayap kanan. Namun hingga Jumat sore, file yang konon dicuri dari distrik Minneapolis tidak tersedia untuk diunduh di kedua platform tersebut.

Pelanggaran data dari korban sebelumnya tampaknya diunggah ke blog berita teknologi palsu sekitar sebulan setelah tebusan mereka berakhir, menunjukkan bahwa file Minneapolis dapat tersedia online setelah jeda singkat.

Namun, dalam sebuah pernyataan pada hari Jumat, distrik tersebut mengatakan “menyadari bahwa pelaku ancaman telah merilis data MPS tertentu di web gelap hari ini.”

“Kami bekerja sama dengan spesialis keamanan siber untuk mengunduh data dengan cepat dan aman sehingga kami dapat melakukan tinjauan mendalam dan komprehensif untuk menentukan cakupan penuh dari informasi pribadi apa yang terpengaruh dan kepada siapa informasi tersebut terkait,” lanjut distrik tersebut. “Ini akan memakan waktu. Anda akan dihubungi langsung oleh MPS jika tinjauan kami menunjukkan bahwa informasi pribadi Anda telah terpengaruh.”

Indikasi awal menyarankan file berisi sejumlah besar informasi sensitif tentang siswa dan staf. Menjelang batas waktu hari Jumat, Medusa memposting video singkat ke Vimeo yang mempratinjau file yang dimilikinya dan menerbitkan pohon file di blog web gelapnya yang konon menunjukkan nama dokumen yang disusupi. Pohon file menyarankan catatan tersebut melibatkan tuduhan kekerasan seksual siswa, keuangan distrik, disiplin siswa, pendidikan khusus, investigasi hak-hak sipil, penganiayaan siswa dan pemberitahuan pelanggar seks. Pada Jumat sore, posting blog web gelap yang menunjukkan pohon file mengumpulkan lebih dari 3.100 tampilan halaman.

Jika file tersedia di beberapa titik, analisis pohon file menunjukkan bahwa harta karun catatan yang dicuri sangat banyak. Pohon file mencantumkan lebih dari 172.000 catatan individu termasuk file cadangan yang besar. Meskipun tidak jelas berapa banyak dokumen yang berisi informasi yang dapat diidentifikasi secara pribadi dan data sensitif lainnya, jumlah file tersebut mencapai 157 terabyte yang mengejutkan.

“Astaga, banyak sekali,” kata Doug Levin, pakar insiden keamanan siber K-12 dan direktur nasional K12 Security Information eXchange. “Ini adalah eksfiltrasi yang sangat signifikan.”

Sebagai perbandingan, tahun lalu Los Angeles Unified School District mengalami serangan ransomware dan banyak sekali file distrik yang dicuri — termasuk ribuan catatan kesehatan mental sensitif siswa saat ini dan mantan – diunggah ke situs kebocoran web gelap. File dalam kebocoran tersebut, yang menarik perhatian nasional terhadap kerentanan keamanan siber di sekolah K-12, berjumlah sekitar 500 gigabyte. Ada 1.000 gigabyte dalam satu terabyte.

Catatan yang dicuri dari distrik sekolah Los Angeles bisa muat di hard drive satu laptop saja. Cakupan catatan yang dicuri di Minneapolis, sementara itu, lebih mirip dengan “seluruh sistem TI,” kata Levin, yang sangat prihatin dengan pelanggaran file cadangan distrik. “Anda mungkin sedang melihat beberapa data yang lebih sensitif yang disimpan distrik — cukup sensitif sehingga mereka mencadangkan dan memelihara file tersebut.”

Pelanggaran data terjadi lebih dari seminggu setelah Medusa mendaftarkan distrik tersebut di blog web gelapnya dan dua minggu setelah pejabat sekolah Minneapolis mengaitkan “kesulitan teknis” dengan sistem komputernya menjadi “peristiwa enkripsi”, sebuah karakterisasi halus yang dikatakan pakar keamanan dunia maya dan anggota komunitas meninggalkan publik dalam kegelapan tentang tingkat keparahan insiden tersebut.

Pakar keamanan dunia maya mengatakan upaya pra-pembocoran Medusa adalah upaya yang sangat agresif untuk meningkatkan perhatian publik seputar serangan itu dan memaksa distrik tersebut untuk memenuhi permintaan uang tebusan.

Keputusan Medusa untuk mengunggah file curiannya ke blog berita teknologi palsu daripada di web gelap kemungkinan merupakan taktik untuk meningkatkan risiko privasi bagi calon korban pelanggaran data dan meyakinkan organisasi yang diretas untuk membayar uang tebusan, kata Brett Callow, analis ancaman dari perusahaan keamanan siber Emsisoft.

Terlepas dari langkah-langkah ekstensif Medusa untuk mempublikasikan serangan ransomware sebelum tenggat waktu Jumat, grup tersebut “luar biasa tidak komunikatif,” sejak jam mencapai nol dan blog web gelapnya mulai mencantumkan catatan Minneapolis sebagaimana diterbitkan, kata Callow. Pakar dunia maya mengatakan dia juga menghubungi grup tersebut pada hari Jumat untuk menanyakan tentang pelanggaran Minneapolis tetapi tidak menerima tanggapan.

Orang yang tidak bekerja di cybersecurity mungkin tidak tahu cara mengakses situs web gelap, katanya, sedangkan blog berita teknologi lebih mudah diakses oleh masyarakat umum. Oleh karena itu, situs web gelap “lebih memperhatikan organisasi daripada data yang dirilis dari jaring bersih yang mudah diakses dan tautan ke sana dapat dibagikan melalui Twitter dan platform sosial lainnya. Jauh lebih mudah bagi orang untuk mengaksesnya.”

Callow setuju volume data yang konon dicuri dari distrik Minneapolis merupakan outlier di antara serangan ransomware — tetapi dia menawarkan peringatan.

“Hanya karena mereka menerbitkan pohon file tidak berarti mereka harus mendapatkan semua data yang ditampilkan di pohon itu,” katanya, mencatat bahwa organisasi seperti distrik sekolah dapat menutup peretas dari sistem mereka jika mereka tertangkap basah. .

Dalam pernyataan 9 Maret, distrik tersebut mengatakan telah “mengambil sikap terhadap para penjahat ini dan telah sepenuhnya memulihkan sistem kami tanpa perlu bekerja sama dengan penjahat.”

Selama rapat dewan sekolah hari Selasa, Inspektur Sementara Rochelle Cox mengatakan jaringan komputer distrik itu “terinfeksi dengan virus enkripsi yang pertama kali ditemukan” pada 18 Februari. Pencadangan yang aman memungkinkan distrik memulihkan banyak sistemnya, kata Cox, dan meskipun sensitif data sekarang telah dirilis ke publik, distrik tersebut tidak mengetahui adanya bukti bahwa informasi tersebut telah dimanfaatkan oleh penjahat untuk melakukan penipuan. Setelah distrik mengidentifikasi individu yang terkena dampak, Cox mengatakan akan memberi mereka layanan pemantauan kredit dan perlindungan identitas.

Namun ketika Cox memuji departemen teknologi distrik karena merespons dengan cepat untuk memulihkan sistem distrik setelah serangan itu, Levin, pakar keamanan dunia maya K-12, mengatakan banyaknya file yang konon dicuri menunjukkan bahwa pelaku ancaman telah bersembunyi di dalam sistem komputer MPS untuk minggu – jika tidak berbulan-bulan.

“Mengekstrak data sebanyak ini tanpa deteksi tentu mengkhawatirkan,” kata Levin. “Exfiltrasi massal semacam ini adalah sesuatu yang dicari oleh pakar keamanan siber saat mereka mempertahankan sistem dan ini tentu saja bukan sesuatu yang diunduh dalam satu atau dua jam.”

Saat distrik bekerja untuk menganalisis ruang lingkup serangan, mereka menasihati keluarga dan staf distrik untuk menghindari interaksi dengan email atau panggilan telepon yang mencurigakan, untuk mengubah kata sandi mereka dan memperingatkan mereka agar tidak mengunduh data apa pun yang dirilis oleh penjahat dunia maya karena hal itu akan menguntungkan mereka “ dengan menarik perhatian pada informasi dan meningkatkan ketakutan dan kepanikan komunitas kami.”