如此操作？勒索软件团伙向监管部门举报受害者

ALPHV/BlackCat 勒索软件团伙将敲诈勒索提升到了一个新高度，该组织向美国证券交易委员会提交了一份投诉，指控其一名受害者未遵守“一旦遭遇网络攻击，需要在四天内披露”的有关规定。

早些时候，ALPHV/BlackCat 勒索软件团伙将软件公司 MeridianLink 列入了数据泄露名单，并威胁称在 24 小时内未收到赎金，将泄露被盗数据。（MeridianLink 是一家上市公司，主要为银行、信用社和抵押贷款机构等金融组织提供数字解决方案）

勒索软件团伙向美国证券交易委员会“告密”

根据 DataBreaches.net 报道，ALPHV 勒索软件团伙在 11月 7 日成功入侵了 MeridianLink 的网络系统，并在未加密系统的情况下窃取了该公司数据。

值得一提的是，安全事件发生后，MeridianLink 曾表现出希望通过协商付款来“换取”不泄露被盗数据。然而随着事态发展，MeridianLink 公司不愿意尽快支付赎金，这个举动“迫使” ALPHV  组织不得不施加更大压力，于是乎就向美国证券交易委员会（SEC）投诉 MeridianLink 没有披露影响 "客户数据和运营信息 "的网络安全事件。

ALPHV 勒索软件“恼羞成怒”（来源：Bleeping Computer）

为了证明投诉真实性，ALPHV 在其网站上公布 SEC 的提示、投诉和转介页面上填写的表格截图，显示攻击者向 SEC “告密”，MeridianLink 在遭受了 "重大违规"安全事件后，并没有按照 8-K 表格 1.05 项的要求披露。

ALPHV 勒索软件向 SEC 投诉 MeridianLInk（来源：Bleeping Computer ）

（注：根据美国证券交易委员会规定，美国机构发生安全事件后要在四个工作日内通报。值得一提的是，路透社在 10 月初曾指出美国证券交易委员会的网络安全新规 2023 年 12 月 15 日才生效。）

ALPHV 勒索软件还在其网站上提供了从美国证券交易委员会收到的针对 MeridianLink 投诉的回复。

SEC 回复 ALPHV 对 MeridianLInk 的投诉（来源：Bleeping Computer ）

MeridianLink 确认遭到网络攻击

MeridianLink 在给 BleepingComputer 的一份声明中表示，发现遭受网络攻击后，公司立即采取行动控制威胁，并聘请第三方专家团队进行调查。该公司还补充到目前仍在努力确定是否有任何消费者个人信息受到网络攻击的影响，如果有，一定会通知受影响的各方。

根据迄今为止掌握的资料，没有发现任何证据表明生产平台受到了未经授权的访问，此次事件造成的业务中断也微乎其微。——MeridianLink

此前，成功发动网络袭击后，勒索软件组织会通知受害目标，并向其施加压力。虽然也有一些勒索团伙曾威胁要向美国证券交易委员会报告漏洞和数据盗窃事件，但是从来没有一个组织真正实施过，ALPHV 可能开了一个先河！

参考文章：

https://www.bleepingcomputer.com/news/security/ransomware-gang-files-sec-complaint-over-victims-undisclosed-breach/