Реформы в LockBit: группа решила ввести строгие правила для партнеров-вымогателей

Вымогательская группировка LockBit решила кардинально изменить свой подход к переговорам с жертвами. Лидеры обеспокоены низким уровнем выплат со стороны компаний. Одна из причин — несогласованность действий аффилированных лиц.

В рядах LockBit существует мнение, что менее опытные аффилиаты не могут добиться даже минимального выкупа от жертв и слишком часто предлагают скидки. Лидеры группы зафиксировали случаи, когда требуемая сумма занижалась до 90%.

Кроме того, специалисты по реагированию на инциденты отслеживают переговоры группы и используют полученные данные против самих хакеров. Это происходит, когда неопытные переговорщики в процессе общения с жертвой невольно раскрывают важные сведения о своей деятельности.

До вступления в силу новой политики в октябре не существовало четких стратегий или руководящих принципов для переговоров. Аффилиаты действовали исключительно по своему усмотрению.

В связи с этим, LockBit разработала специальные инструкции, определяющие минимальную сумму выкупа и максимально допустимый размер скидок.

Согласно данным, собранным аналитической компанией Analyst1 , LockBit провела опрос среди своих участников в сентябре, предоставив им возможность голосовать за потенциальные изменения правил.

В опросе было предложено шесть вариантов на выбор:

1. Оставить всё как есть. Аффилиаты устанавливают свои собственные правила без ограничений, как это было всегда.

2. Установить минимальную сумму выкупа в зависимости от годового дохода компании, например, на уровне 3%. А также запретить скидки выше 50%. Таким образом, если доход компании составляет 100 миллионов долларов, начальная сумма будет составлять 3 миллиона долларов, а окончательная выплата не должна быть менее 1,5 миллиона долларов.

3. Не устанавливать фиксированный минимум выкупа — он будет зависеть от ущерба, причиненного жертве. При этом размер скидки так же будет ограничен планкой в 50%. Например, если требуемая сумма составляет 1 миллион долларов, минимально допустимый платеж должен быть не менее 500 тысяч долларов.

4. Запретить любые платежи меньше, чем сумма, на которую жертва застрахована от кибератак.

5. Запретить любые платежи меньше 50% от суммы, на которую жертва застрахована от кибератак.

6. Другие предложения.

LockBit в итоге установила два правила, которые руководят всеми переговорами, начиная с 1 октября.

Первое касается размера выплат и того, как аффилиаты должны рассчитывать начальную сумму в зависимости от годового дохода атакованной компании.

• Доход до 100 миллионов долларов — выкуп должен составлять от 3 до 10%.
• Доход до 1 миллиарда долларов — выкуп должен составлять от 0,5 до 5%.
• Доход более 1 миллиарда долларов — выкуп должен составлять от 0,1 до 3%.

Руководство заявляет, что, хотя конечная стратегия остается на усмотрение партнера, рекомендации должны соблюдаться «в типичных сценариях использования вымогательского ПО».

Аффилиаты, например, могут корректировать сумму, если им не удается уничтожить резервные копии данных жертвы.

Второе правило касается скидок — было решено установить жесткий максимум в 50%.

«С 1 октября 2023 года строго запрещено предлагать скидки в более чем 50% от первоначально запрошенной суммы в переписке с атакованной компанией», — говорится в сообщении, которое LockBit разослала партнерам и предоставила Analyst1 .