ما الذي تسرقه فدية الابتزاز المزدوج فعليًا

لطالما كانت النصيحة القياسية للنجاة من هجوم فدية بسيطة: احتفظ بنسخ احتياطية جيدة، ويمكنك استعادة أنظمتك دون دفع. لم تعد هذه النصيحة كافية بعد الآن. لم تعد عصابات الفدية الحديثة تكتفي بتشفير بياناتك، بل تقوم أولاً بنقلها (سرقتها) إلى الخارج. يُعرف هذا بالابتزاز المزدوج، وهو يغير بشكل جذري حسابات الضحايا والمدافعين على حد سواء.

إليك كيفية عمل ذلك. قبل أن يقوم المهاجمون أبدًا بتفعيل التشفير الذي يمنعك من الوصول إلى ملفاتك، يقومون بهدوء بنسخ بيانات حساسة من شبكتك: سجلات العملاء، المستندات المالية، معلومات الموظفين، الملكية الفكرية، أيًا كان ما يمكنهم العثور عليه. فقط بعد سحب تلك البيانات يبدأ الهجوم المرئي. هذا يعني أنه بحلول الوقت الذي تلاحظ فيه رسائل الفدية أو الملفات المقفلة، تكون السرقة قد حدثت بالفعل. الاستعادة من النسخ الاحتياطي تحل مشكلة التشفير، لكنها لا تفعل شيئًا لمنع المهاجمين من التهديد بتسريب أو بيع البيانات المسروقة.

هذا التحول مهم لأنه يحول كل حادثة فدية إلى خرق بيانات محتمل، بغض النظر عن وجود نسخ احتياطية سليمة في مكان ما دون مساس. لذلك، يجب أن تبدأ حماية فدية الابتزاز المزدوج قبل وقت طويل من وصول المهاجم إلى مفاتيح التشفير الخاصة بك.

لماذا لا يضمن دفع الفدية استعادة بياناتك

نقطة تستحق التكرار لأي مؤسسة تزن خياراتها أثناء هجوم: لا يوجد عقد قانوني يُلزم عصابة فدية بحذف البيانات المسروقة بعد الدفع. هذه كيانات إجرامية تعمل خارج أي اتفاق قابل للتنفيذ. الدفع لا يُلزمها بتدمير نسخ ملفاتك، ولا يمنعها من إعادة بيع البيانات لمجرمين آخرين أو تسريبها لاحقًا على أي حال.

السجل السابق للشركات التي تدفع ليس مطمئنًا أيضًا. حتى بعد دفع الفدية، لا يوجد ضمان لاستعادة بيانات قابلة للاستخدام، ولا ضمان بعدم ظهور نفس البيانات مرة أخرى في محاولة ابتزاز مستقبلية. لدى المهاجمين كل الحوافز للاحتفاظ بنسخ كورقة ضغط، لأن الضحية التي دفعت مرة لتجنب الإحراج أو التعرض التنظيمي قد تدفع مرة أخرى تحت ضغط متجدد.

هذه الديناميكية اشتدت فقط مع تطور تكتيكات الابتزاز. بعض العصابات تستخدم الآن أدوات آلية لتسريع وتخصيص حملة الضغط ضد الضحايا، وهو اتجاه تمت تغطيته بالتفصيل في كيف تستخدم عصابات الفدية الآن الذكاء الاصطناعي للضغط على الضحايا بشدة. الخلاصة متسقة: الوقاية والاحتواء أهم بكثير من الأمل في أن تكرم مجموعة إجرامية بالتزامها في صفقة غير قانونية.

تجزئة الشبكة واستخدام VPN كخطوط دفاع أولى

لأن سرقة البيانات تحدث قبل الهجوم المرئي، فإن أكثر الدفاعات فعالية هي تلك التي تحد من ما يمكن أن يصل إليه المتسلل في المقام الأول، وليس فقط ما يحدث بعد الانفجار.

تجزئة الشبكة محورية في هذا. عندما يجلس كل جهاز وخادم على شبكة مسطحة واحدة، يمكن للمهاجم الذي يخترق محطة عمل واحدة أن يتحرك جانبيًا في كثير من الأحيان للوصول إلى خوادم الملفات وأنظمة النسخ الاحتياطي وقواعد البيانات التي تحتوي على سجلات حساسة. تجزئة الشبكة إلى مناطق معزولة، وفصل الأنظمة المالية عن وصول الموظفين العام، وعزل البنية التحتية للنسخ الاحتياطي عن أنظمة الإنتاج، وتقييد الوصول الإداري، يعني أن حسابًا أو جهازًا مخترقًا واحدًا لا يفتح الباب لكل شيء دفعة واحدة.

الوصول الآمن عن بُعد مهم بنفس القدر. الموظفون والمقاولون المتصلون من خارج المكتب هم نقطة دخول شائعة للمهاجمين، خاصة عندما يعتمد الوصول عن بُعد على بروتوكولات مكشوفة أو مصادقة ضعيفة. استخدام VPN مهيأ بشكل صحيح مع مصادقة قوية، بدلاً من ترك سطح المكتب البعيد أو منافذ الإدارة في متناول الإنترنت مباشرة، يغلق أحد أكثر المسارات استغلالًا شيوعًا إلى الشبكة. بالاقتران مع المصادقة متعددة العوامل ومبدأ الامتياز الأقل (إعطاء المستخدمين والأنظمة فقط الوصول الذي يحتاجونه فعليًا)، تقلل هذه الإجراءات من كمية البيانات التي يمكن أن يكشفها أي خرق واحد.

نظافة البيانات تكمل خط الدفاع الأول هذا. المنظمات التي لا تعرف البيانات الحساسة التي تخزنها، أو أين توجد، أو من يمكنه الوصول إليها، ليس لديها طريقة للحد من ما يمكن للمهاجم سرقته. تدقيق وتقليل البيانات الحساسة المخزنة بانتظام، وتشفيرها أثناء التخزين، وإزالة ما لم يعد مطلوبًا، يقلص الهدف حتى إذا تمكن المهاجمون من الدخول.

بناء خطة استجابة للحوادث قبل أن تتعرض للهجوم

حتى إجراءات الوقاية القوية يمكن أن تفشل ضد مهاجم مصمم، ولهذا السبب يجب أن توجد خطة الاستجابة للحوادث قبل الأزمة، وليس أثناءها. خطة مبنية في منتصف هجوم نشط، تحت الضغط ومع ساعة عد تنازلي من المهاجم، من المرجح أن تؤدي إلى أخطاء مكلفة.

خطة فعالة تحدد من لديه سلطة اتخاذ القرارات، بما في ذلك ما إذا كان سيتم إشراك جهات إنفاذ القانون أو متخصصي الاستجابة للحوادث الخارجيين، قبل تصاعد الموقف. تحدد كيفية عزل الأنظمة لوقف الحركة الجانبية بمجرد اكتشاف نشاط مشبوه، وتضع بروتوكولات اتصال بحيث لا تعمل الفرق القانونية والتقنية والتنفيذية من معلومات مختلفة. كما تراعي واقع الابتزاز المزدوج تحديدًا: نظرًا لأن البيانات قد تكون مسروقة بالفعل حتى إذا تم اكتشاف التشفير مبكرًا، يجب أن تتضمن الخطة خطوات لتقييم البيانات التي ربما تم كشفها وإخطار الأطراف المتضررة كما هو مطلوب قانونًا.

ماذا يعني هذا بالنسبة لك

بالنسبة لمعظم المنظمات، التحول العملي هو هذا: لم يعد من الممكن التعامل مع الدفاع ضد الفدية باعتباره مجرد مشكلة نسخ احتياطي واستعادة. الابتزاز المزدوج يعني أن الضرر يحدث غالبًا قبل أن تعلم أن هجومًا جارٍ. هذا يجعل التحكم في الوصول والتجزئة والاتصالات الآمنة عن بُعد بنفس أهمية تخطيط الاستعادة. إذا كانت مؤسستك أو إعدادك الشخصي يعتمد على الوصول عن بُعد إلى أنظمة حساسة، فإن استخدام VPN حسن السمعة مع مصادقة قوية هو خطوة أساسية، وليس خيارًا إضافيًا. المهاجمون أيضًا يصبحون أكثر تطورًا في كيفية الضغط على الضحايا بعد الخرق، وهو أمر يستحق الفهم بشروطه الخاصة.

خلاصات قابلة للتنفيذ

  • افترض أن أي حادثة فدية قد تكون أيضًا خرقًا للبيانات، وخطط لاستجابتك وفقًا لذلك، وليس فقط حول استعادة الملفات.
  • قسم شبكتك بحيث لا يمكن لجهاز أو حساب مخترق واحد الوصول إلى كل شيء، خاصة أنظمة النسخ الاحتياطي.
  • اشترط الوصول عبر VPN مع مصادقة متعددة العوامل لأي اتصال عن بُعد بالأنظمة الداخلية، وتجنب كشف بروتوكولات الوصول عن بُعد مباشرة على الإنترنت.
  • دقق في البيانات الحساسة التي تخزنها فعليًا وأين، وأزل أو شفر ما لا تحتاجه.
  • ابنِ وتدرب على خطة الاستجابة للحوادث الآن، بما في ذلك سلطة اتخاذ القرار وخطوات الاتصال، حتى لا ترتجل أثناء هجوم نشط.
  • لا تتعامل مع دفع الفدية كمسار استعادة موثوق. لا يوجد عقد يجبر المهاجمين على حذف البيانات المسروقة أو توفير فك تشفير فعال، والدفع لا يضمن عدم ظهور بياناتك لاحقًا.