Nhóm ransomware ALPHV (còn gọi là “BlackCat”) đã nộp đơn khiếu nại chính thức lên Ủy ban Chứng khoán và Giao dịch Hoa Kỳ (SEC), cáo buộc rằng một nạn nhân gần đây đã không tuân thủ các quy định tiết lộ mới.

Người trong cuộc của ALPHV nói với databreaches.net rằng, vào ngày 7 tháng XNUMX, nhóm đã tấn công thành công nhà cung cấp dịch vụ cho vay kỹ thuật số MeridianLink, lấy cắp dữ liệu mà không mã hóa các tập tin của nó. Sau đó, ngoài một lần tương tác, diễn viên đe dọa sung mãn đã thất bại trong việc lôi kéo công ty vào các cuộc đàm phán về dữ liệu bị đánh cắp.

ALPHV đã đăng dữ liệu đó lên trang web rò rỉ của mình vào thứ Tư. Nó cũng thử một chiến thuật tống tiền bổ sung chưa từng có, nộp báo cáo về tội ác của chính mình cho SEC, cho rằng nạn nhân của nó đã không tuân theo. hướng dẫn mới của SEC về việc các công ty phải công khai các vi phạm của mình trong bao lâu.

“Đây là một cảnh báo khác cho các nhà lãnh đạo an ninh, những người phải nhận ra rằng các quyết định và kế hoạch tiết lộ không còn chỉ được hướng dẫn bởi các biện pháp thực hành tốt nhất về bảo mật; trách nhiệm pháp lý liên bang cũng đóng một vai trò quan trọng,” Patrick Tiquet, phó chủ tịch an ninh và kiến ​​trúc tại Keeper Security cho biết.

ALPHV Chơi Cảnh sát và Cướp cùng lúc

Ngày 26, SEC đã công bố các quy tắc mạng mới cho các công ty đại chúng. Một điểm nổi bật là yêu cầu các công ty tiết lộ “bất kỳ sự cố an ninh mạng nào mà họ xác định là nghiêm trọng”, cùng với mô tả về “các khía cạnh quan trọng về tính chất, phạm vi và thời gian của sự cố, cũng như tác động trọng yếu của nó hoặc tác động trọng yếu có thể xảy ra đối với người đăng ký.” Việc gửi như vậy “thường sẽ đến hạn bốn ngày làm việc sau khi người đăng ký xác định rằng sự cố an ninh mạng là nghiêm trọng”.

Khi bốn ngày trôi qua mà không có thông tin gì từ MeridianLink, ALPHV đã gửi thông tin về vi phạm thông qua trang web chính thức của SEC:

Nhóm viết: “Chúng tôi muốn bạn chú ý đến một vấn đề liên quan đến việc MeridianLink tuân thủ các quy tắc tiết lộ sự cố an ninh mạng được thông qua gần đây”. “Chúng tôi nhận thấy rằng MeridianLink, do một vi phạm nghiêm trọng ảnh hưởng đến dữ liệu khách hàng và thông tin hoạt động, đã không nộp thông tin tiết lộ cần thiết theo Mục 1.05 của Mẫu 8-K trong vòng bốn ngày làm việc quy định, theo yêu cầu của chính sách mới. quy định của SEC.”

Nguồn đã cung cấp cho databreaches.net ảnh chụp màn hình của biểu mẫu và biên nhận tự động xác nhận việc gửi.

Sắc thái trong Quy tắc SEC mới

Bỏ qua hành động táo bạo này, ALPHV có thể không gặp may với SEC vì hai lý do.

Bởi một điều, trong một tuyên bố được cung cấp cho BleepingComputer vào thứ Tư, MeridianLink tuyên bố rằng họ vẫn chưa chắc chắn liệu có bất kỳ thông tin cá nhân nào của người tiêu dùng bị xâm phạm hay không, đồng thời bổ sung thêm rằng “dựa trên cuộc điều tra của chúng tôi cho đến nay, chúng tôi không xác định được bằng chứng nào về việc truy cập trái phép vào nền tảng sản xuất của chúng tôi và vụ việc đã gây ra rất ít thiệt hại cho hoạt động kinh doanh”. gián đoạn.” Chính xác dữ liệu nào ALPHV đã đánh cắp và công bố có thể ảnh hưởng đến việc liệu hành vi vi phạm có phải là “quan trọng” hay không, theo ngôn ngữ của SEC.

Thứ hai, như đã lưu ý ở thông cáo báo chí ban đầu của nó, quy tắc công bố thông tin mới của SEC chỉ có hiệu lực vào ngày 18 tháng 180. (Các công ty nhỏ hơn thậm chí sẽ có nhiều thời gian hơn, có thêm XNUMX ngày trước khi họ phải bắt đầu hoạt động).

Những nạn nhân trong tương lai của các cuộc tấn công tương tự sẽ có ít thời gian nghỉ ngơi hơn để trông cậy.

Tiquet cảnh báo: “Sử dụng lời đe dọa nộp đơn khiếu nại 'không báo cáo' đối với nạn nhân của chính mình cho SEC là một chiến thuật hấp dẫn có thể vũ khí hóa quy định của chính phủ vì lợi ích của nhóm tội phạm mạng”. “Hành động kỷ luật từ SEC sẽ không được xem nhẹ và mức phạt có thể rất nặng.”

• Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
• PlatoData.Network Vertical Generative Ai. Trao quyền cho chính mình. Truy cập Tại đây.
• PlatoAiStream. Thông minh Web3. Kiến thức khuếch đại. Truy cập Tại đây.
• Trung tâmESG. Than đá, công nghệ sạch, Năng lượng, Môi trường Hệ mặt trời, Quản lý chất thải. Truy cập Tại đây.
• PlatoSức khỏe. Tình báo thử nghiệm lâm sàng và công nghệ sinh học. Truy cập Tại đây.
• nguồn: https://www.darkreading.com/risk/alphv-ransomware-group-files-sec-complaint-against-own-victim