Mei was nie 'n goeie maand vir die Letlandse burger Deniss Zolotarjovs nie. Die Amerikaanse Departement van Justisie verseker 'n vonnis van 102 maande teen hom vir sy rol in die Russiese ransomware-bende Karakurt.
Die saak het aan die lig gebring dat lede van Karakurt Russiese regeringsdatabasisse gebruik het om korporatiewe slagoffers te intimideer en hul eie rekrute te sif. Hierdie kriminele netwerk het ook die Amerikaanse 911-nooddienste ontwrig en ten minste $15 miljoen in lospryse van meer as 54 genoemde slagoffermaatskappye geëis.
Hierdie kriminele onderneming is 'n voorbeeld van 'n groeiende probleem wat korporatiewe sekuriteitspanne nie in isolasie kan oplos nie. Veerkragtigheidbeplanning wat steeds die bedreiging as 'n IT-afdelingprobleem behandel, beplan vir die verkeerde teenstander en onderskat die omvang van die probleem.
Wie is betrokke
Maatskappye moet die akteurprofiel verander waarvoor hulle kontinuïteitsplanne gebou het. Hierdie groepe opereer nie net internasionaal nie; hulle werk met staatsamewerking.
In 2024 het die Amerikaanse Tesourie-departement reeds sanksies opgelê aan die ransomware-groep Trickbot vir beweerde bande met Russiese intelligensie. Trickbot het verskeie ander groepe voortgebring, insluitend Conti, wat weer gelei het tot die stigting van Karakurt. Dus, die sanksies vir Trickbot se leiers word indirek na Karakurt deurgevoer.
Die vervolging in Mei het wat as passiewe staatsverdraagsaamheid gekenmerk is, in bewys van direkte operasionele steun omskep. Karakurt het omkoopgeld betaal om lede van verpligte Russiese militêre diens vry te stel en korrupsie in die staatsapparaat gekanaliseer om die operasie daarvan aan die gang te hou.
Vir organisasies met hoofkwartier in jurisdiksies wat Moskou as teëstanderlik beskou, is die praktiese gevolg dat die bedreigingsakteur aan die ander kant van die tafel minder soos georganiseerde misdaad optree as soos 'n kwasi-gekontrakteerde instrument van staatsbeleid.
Waar dit begin
Die verbetering van ransomware-veerkragtigheid beteken ook om te heroorweeg waar die oortreding eintlik begin. Security Scorecard se 2025-oorsig van 1 000 oortredings. gevind dat 41.4% van ransomware-aanvalle nou begin deur derdeparty-toegang deur middel van kwesbaarhede van verskaffers, en dat 35.5% van alle oortredings in 2024 'n derdeparty-komponent gehad het.
Die Europese reaksie behandel die korporatiewe omtrek as iets wat eindig met die swakste gekontrakteerde verskaffer: NIS2 brei kuberveiligheidsverpligtinge eksplisiet uit na "'n veel wyer ekosisteem van derdeparty-verskaffers, verskaffers en digitale diensverskaffers" wat kritieke aktiwiteite regoor die blok ondersteun.
'n Verkrygingskontrak is nou 'n gereguleerde sekuriteitsartefak op 'n manier wat dit drie jaar gelede nie was nie, en die meeste multinasionale maatskappye se verskaffer-aanboordprosesse is gekalibreer na 'n baie minder onderling gekoppelde weergawe van die risiko.
Waar dit eindig
Oortredings eindig nie meer by IT-infrastruktuur nie; hulle beïnvloed ondernemingsbedrywighede. Die 2021 Colonial Pipeline-aanval gedwing 'n operasionele stilstand wat die toevoer van ongeveer 45% van die brandstof wat langs die Amerikaanse ooskus verbruik is, ontwrig het en 'n federale noodtoestand tot gevolg gehad het.
Asahi Groep se September 2025 ransomware-voorval het dieselfde dinamiek op 'n ander skaal geïllustreer. Fabrieksvloere was tegnies nie besmet nie, maar tot 30 huishoudelike aanlegte gestop produseer omdat die IT-stelsels wat bestellings, logistiek en onderling afhanklike voorsieningskettings koördineer, af was.
Die les van Asaha Group is struktureel eerder as tegnies: in hoogs gedigitaliseerde bedrywighede versprei 'n IT-kompromie direk na die fisiese bedryfsmodel. Hoe meer 'n organisasie sy prosesse vir doeltreffendheid geoptimaliseer het, hoe wyer is die ontploffingsradius geneig om te wees.
Wat Veerkragtigheid nou eintlik beteken
Die Karakurt-vervolging beklemtoon 'n vlak en omvang van geopolitieke risiko wat moeilik is vir gewone kuberversekeringsmodelle om te prys. Die Colonial- en Asahi-sake maak dit duidelik dat die bedryfsmodel self die aanvalsoppervlak is. Om ransomware as 'n ondernemingsveerkragtigheidsprobleem te behandel eerder as 'n sekuriteitsbeheerprobleem is nou die laagste standaard wat die regulatoriese en bedreigingsomgewing vereis.
Die instellings wat die nuwe reëls skryf, het begin om veerkragtigheid te beskryf in taal waarop rade, nie ITSO's nie, sal optree. Dit dek bestuur, verskaffers toesig, besigheidskontinuïteit en die aanname dat 'n oortreding uiteindelik deur 'n verskaffer wat die maatskappy nie beheer nie, sal plaasvind.
Die standaarde wat reeds bestaan, doen die meeste van die vertaling. ISO 27001 se 2022-hersiening is die duidelikste geval, want dit het sy verskafferkontroles herskryf rondom presies die blootstelling aan derde partye wat die Security Scorecard se syfers beskryf. Kontroles A.5.19 tot A.5.23 skep 'n besigheidsdokument wie toegang tot wat het en skryf daardie sekuriteitsverpligtinge in verskafferooreenkomste.
Hierdie beheermaatreëls stoot dieselfde ondersoek deur die IKT-voorsieningsketting na die wolkdienste en subverwerkers wat aanboordkontroles nie altyd bereik nie. Dit verander die swakste verskaffer-perimeter in iets wat 'n maatskappy kan oudit.
ISO 22301 doen die parallelle werk vir kontinuïteit. Dit vereis 'n besigheidsimpakanalise en getoetste hersteldoelwitte eerder as geloof dat stelsels sal terugkeer, wat die gaping is wat die Asahi-sluiting blootgelê het.
Dit is alles goeie praktyk, maar NIS2 omskep baie daarvan in 'n wetlike plig. Artikel 21 noem voorsieningskettingsekuriteit as 'n spesifieke verpligting, nie 'n aanbeveling nie.
Die keuse van 'n raamwerk is die maklike deel. Die werk is om dosyne oorvleuelende kontroles, verskafferassesserings en kontinuïteitstoetse op datum te hou oor 'n organisasie waarvan die omtrek deur verskaffers loop wat dit nie ten volle beheer nie.
Deur 'n verenigde platform te gebruik om een stel bewyse teen ISO 27001, ISO 22301 en NIS2 gelyktydig te karteer, word verskaffersrisiko ontrafel en gedefinieer, wat 'n ouditspoor bied in 'n toestand wat 'n direksie kan verwerk en waarop kan optree voor 'n voorval eerder as daarna. Losprysware-veerkragtigheid hou op om 'n bindmiddel te wees wat iemand na 'n oortreding opdateer en word iets wat die C-suite kan bewys.
Brei jou kennis uit
Blog: Kubermisdaad teenoor geopolitiek: Hoe losprysware 'n geopolitieke instrument word
Blog: Phishing vir Moeilikheid S02 E05: Jy is Voldoenend. Is Jy Veerkragtig?
