De ransomwaregroep ALPHV (ook bekend als “BlackCat”) heeft een formele klacht ingediend bij de Amerikaanse Securities and Exchange Commission (SEC), waarin ze beweert dat een recent slachtoffer niet heeft voldaan aan de nieuwe openbaarmakingsregels.

Een ALPHV-insider vertelde databaches.net dat de groep op 7 november met succes de digitale leendienstverlener MeridianLink heeft aangevallen en heeft geëxfiltreerd zonder de bestanden te versleutelen. Daarna, afgezien van één interactie, de productieve dreigingsacteur slaagde er niet in het bedrijf te betrekken bij onderhandelingen over de gestolen gegevens.

ALPHV plaatste die gegevens woensdag op de leksite. Het probeerde ook een ongekende extra afpersingstactiek uit, waarbij het een rapport over zijn eigen misdaad indiende bij de SEC, waarbij het beweerde dat het slachtoffer er niet in slaagde de instructies te volgen. nieuwe SEC-richtlijnen voor hoe snel bedrijven hun inbreuken openbaar moeten maken.

“Dit is de zoveelste waarschuwing voor veiligheidsleiders, die moeten erkennen dat besluiten en plannen voor openbaarmaking niet langer uitsluitend worden geleid door best practices op het gebied van beveiliging; federale wettelijke aansprakelijkheid speelt ook een belangrijke rol”, zegt Patrick Tiquet, vice-president van beveiliging en architectuur bij Keeper Security.

ALPHV speelt tegelijkertijd agent en overvaller

Op juli 26, de SEC heeft nieuwe cyberregels aangekondigd voor publieke bedrijven. Een opvallend kenmerk was de eis dat bedrijven “elk cyberveiligheidsincident waarvan zij vaststellen dat het van materieel belang is” bekendmaken, samen met een beschrijving van “de materiële aspecten van de aard, omvang en timing van het incident, evenals de materiële impact ervan of redelijkerwijs waarschijnlijke materiële impact op de registrant.” Een dergelijke indiening “dient doorgaans binnen vier werkdagen nadat een registrant heeft vastgesteld dat een cyberbeveiligingsincident materieel is.”

Toen er vier dagen verstreken zonder bericht van MeridianLink, verstrekte ALPHV informatie over de inbreuk via de officiële website van de SEC:

“We willen een zorgwekkende kwestie onder uw aandacht brengen met betrekking tot de naleving door MeridianLink van de onlangs aangenomen regels voor het openbaar maken van cyberbeveiligingsincidenten”, schreef de groep. “Het is onder onze aandacht gekomen dat MeridianLink, in het licht van een aanzienlijke inbreuk die klantgegevens en operationele informatie in gevaar brengt, er niet in is geslaagd om de vereiste openbaarmaking onder Item 1.05 van Formulier 8-K binnen de gestelde vier werkdagen in te dienen, zoals voorgeschreven door de nieuwe wet. SEC-regels.”

De bron voorzag databreaches.net van een screenshot van het formulier en de automatische ontvangstbevestiging ter bevestiging van de indiening.

Nuance in de nieuwe SEC-regel

Afgezien van de brutaliteit van deze stap, kan ALPHV om twee redenen geen geluk hebben met de SEC.

Om te beginnen: binnen een verklaring aan BleepingComputer Woensdag verklaarde MeridianLink dat het nog niet zeker was of persoonlijke informatie van consumenten in gevaar was gekomen, en voegde eraan toe dat “we op basis van ons onderzoek tot nu toe geen bewijs hebben gevonden van ongeoorloofde toegang tot onze productieplatforms, en dat het incident tot minimale omzet heeft geleid. onderbreking." Welke gegevens ALPHV precies heeft gestolen en gepubliceerd, kan van invloed zijn op de vraag of de inbreuk ‘wezenlijk’ is, in termen van de SEC.

Ten tweede, zoals opgemerkt in zijn oorspronkelijke persberichtwordt de nieuwe SEC-openbaarmakingsregel pas op 18 december van kracht. (Kleinere bedrijven zullen zelfs nog meer speelruimte hebben, met 180 dagen extra voordat ze aan boord moeten komen).

Toekomstige slachtoffers van soortgelijke aanvallen zullen minder pauzes hebben om op te rekenen.

“Het gebruik van de dreiging van het indienen van een klacht over het niet melden van een klacht tegen het eigen slachtoffer bij de SEC is een dwingende tactiek die een overheidsregelgeving zou kunnen bewapenen ten gunste van een cybercriminele groep”, waarschuwt Tiquet. “Disciplinaire maatregelen van de SEC mogen niet lichtvaardig worden opgevat en de boetes kunnen zeer hoog zijn.”

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• PlatoData.Network Verticale generatieve AI. Versterk jezelf. Toegang hier.
• PlatoAiStream. Web3-intelligentie. Kennis versterkt. Toegang hier.
• PlatoESG. carbon, CleanTech, Energie, Milieu, Zonne, Afvalbeheer. Toegang hier.
• Plato Gezondheid. Intelligentie op het gebied van biotech en klinische proeven. Toegang hier.
• Bron: https://www.darkreading.com/risk/alphv-ransomware-group-files-sec-complaint-against-own-victim