Hackerii legați de grupul de ransomware cl0p revendică responsabilitatea pentru campanie
Oracle a confirmat că clienții care folosesc E-Business Suite au primit e-mailuri de extorcare, marcând o escaladare a unei campanii de hacking raportată pentru prima dată de Google la începutul săptămânii. Compania a spus că atacul pare să exploateze vulnerabilități dezvăluite anterior și a îndemnat clienții să își actualizeze sistemele la cele mai recente niveluri de patch-uri de securitate, în timp ce investigațiile continuă. Oracle nu a dezvăluit câte organizații au fost vizate sau dacă au fost compromise date.
Campania, descrisă de Google ca fiind de „volum mare”, implică e-mailuri trimise directorilor de la mai multe firme, avertizând că informații sensibile, presupus furate din aplicațiile Oracle, vor fi publicate dacă nu se plătesc cererile de răscumpărare. Google a spus că hackerii care pretind afilierea cu grupul de ransomware cunoscut sub numele de cl0p și-au asumat responsabilitatea pentru campanie, dar a avertizat că nu a verificat aceste afirmații.
Declarația Oracle a părut să confirme elemente ale avertismentului anterior al Google, conform căruia atacatorii încercau să preseze clienții enterprise ai companiei să plătească sume mari.
Oracle a indicat posibila exploatare a unor defecte de software deja abordate în actualizări critice anterioare și a reiterat că clienții afectați ar trebui să aplice imediat Actualizarea Critică de Patch-uri din iulie 2025. Compania nu a răspuns la întrebările Reuters cu privire la amploarea sau distribuția geografică a atacurilor.
Analiștii de securitate cibernetică spun că incidentul se încadrează în tiparul operațiunilor de extorcare de date la scară largă, legate de grupurile de ransomware-as-a-service. Cynthia Kaiser, care conduce Centrul de Cercetare a Ransomware-ului la firma de securitate cibernetică Halcyon, a declarat pentru Reuters că cererile de răscumpărare recente observate de echipa sa au variat de la câteva milioane la până la 50 de milioane de EUR.
Ea a spus că dovezile timpurii sugerează posibile legături între campanie și cl0p, deși a avertizat că atribuirea rămâne incertă, deoarece grupurile criminale refolosesc adesea infrastructura și metodele celorlalți.
Grupul de ransomware cl0p, activ cel puțin din 2019, operează sub un model de ransomware-as-a-service, licențiind instrumentele sale de criptare și platformele de scurgere a datelor altor actori care împart profiturile din atacurile reușite. Structura sa descentralizată face dificilă pentru anchetatori urmărirea operațiunilor sau identificarea conducerii, deși cercetătorii în securitate cibernetică au evaluat de mult timp că rețeaua este vorbitoare de limbă rusă sau afiliată Rusiei.
Trend Micro, o firmă de securitate care a urmărit cl0p de mai mulți ani, a descris grupul ca fiind „un deschizător de drumuri” pentru că își modifică frecvent tacticile. Organizația a fost anterior legată de breșe de profil înalt, inclusiv atacurile de transfer de fișiere MOVEit din 2023, care au afectat guverne și corporații din întreaga lume.
Până vineri, nici Oracle, nici Google nu au furnizat dovezi directe că datele clienților ar fi fost exfiltrate. Ambele companii, însă, au îndemnat toți utilizatorii Oracle E-Business Suite să verifice dacă sistemele lor sunt complet actualizate și să raporteze orice comunicări suspecte echipelor lor interne de securitate. Ancheta rămâne în curs de desfășurare.
