Кибервымогатели изобретают все более изощренные способы давления на своих жертв. Ранее хакеры сделал общепринятой практику похищения данных перед их зашифровкой, справедливо полагая, что угроза публикации этих данных сделает пострадавшие компании и организации более сговорчивыми. Затем злоумышленники начали контактировать с партнерами жертв, уведомляя их о допущенной утечке. Следующим шагом стало создание сайтов для публикации похищенных данных не только в анонимной сети Tor, но и в общедоступном интернете – чтобы обеспечить максимальную огласку.

Но теперь вымогательская группировка ALPHV, также известная как BlackCat, пошла еще дальше: она пожаловалась на свою жертву… в Комиссию по ценным бумагам и биржам США. Суть этой парадоксальной коллизии в том, что жертвой стала компания MeridianLink, которая разрабатывает программное обеспечение и цифровые решения для финансовых организаций. Компания является публичной (ее акции торгуются на бирже), и, соответственно, должна подчиняться требованиям Комиссии по ценным бумагам и биржам. А Комиссия, обеспокоенная ростом числа киберинцидентов в США, еще в июле нынешнего года приняла правило, в соответствии с которым любая публичная компания, пострадавшая от кибератаки, обязана уведомить о случившемся в течение 4 дней в случае, если инцидент может повлиять на инвестиционную привлекательность компании.

Хакеры BlackCat атаковали системы MeridianLink 7 ноября и смогли, по их словам, похитить значительные объемы данных. Информация о компании появилась на сайте утечек BlackCat с уведомлением, что киберпреступники ожидают реакции с ее стороны. Реакции, вероятно, не последовало или же она не оправдала ожиданий вымогателей. Так или иначе, они сочли своим долгом донести на MeridianLink: в специальном разделе для жалоб и информации на сайте Комиссии по ценным бумагам и биржам киберпреступники сообщили, что компания уже более 4 дней не уведомляет регулятора об утечке данных.

Нельзя не оценить остроумие этого хода, однако, как выясняется, хакеры невнимательно читали официальные документы. Правило о раскрытии информации об инцидентах, хотя и было принято в июле, вступает в силу лишь с 15 декабря. Таким образом, никаких официальных санкций в отношении компании MeridianLink не последует. Сама она, кстати, уже признала факт инцидента, однако утверждает, что он не затронул продуктовые платформы и лишь в минимальной степени повлиял на бизнес-процессы.